Audiens Bagaimana Amazon IVS Bekerja dengan IAM Identitas Kebijakan Otorisasi Berdasarkan Tag Amazon IVS Peran Akses istimewa dan tidak memiliki hak istimewa Praktik Terbaik untuk Kebijakan Contoh Kebijakan Berbasis Identitas Pemecahan Masalah

Pengelolaan Identitas dan Akses

AWSIdentity and Access Management (IAM) adalah AWS layanan yang membantu administrator akun mengontrol akses ke sumber daya dengan aman. AWS Setiap sumber daya AWS dimiliki oleh akun AWS, dan izin untuk membuat atau mengakses sumber daya diatur oleh kebijakan izin. Administrator akun IAM mengontrol siapa yang dapat diautentikasi (masuk) dan diotorisasi (memiliki izin) untuk menggunakan sumber daya Amazon IVS. IAM adalah fitur AWS akun Anda yang ditawarkan tanpa biaya tambahan.

Penting: Untuk informasi lengkap, lihat halaman produk AWS IAM, Panduan Pengguna IAM, dan Permintaan AWSAPI Penandatanganan. Sepanjang bagian ini, kami juga menyediakan tautan ke bagian tertentu dari Panduan Pengguna IAM. Anda harus terbiasa dengan materi ini sebelum melanjutkan.

Audiens

Cara Anda menggunakan IAM berbeda, tergantung pada pekerjaan yang Anda lakukan di Amazon IVS:

Pengguna layanan - Jika Anda menggunakan layanan Amazon IVS untuk melakukan pekerjaan Anda, administrator Anda memberi Anda kredensyal dan izin yang Anda butuhkan. Saat Anda menggunakan lebih banyak fitur Amazon IVS untuk melakukan pekerjaan Anda, Anda mungkin memerlukan izin tambahan. Memahami cara akses dikelola dapat membantu Anda meminta izin yang tepat dari administrator Anda. Jika Anda tidak dapat mengakses fitur di Amazon IVS, lihatPemecahan Masalah.
Administrator layanan - Jika Anda bertanggung jawab atas sumber daya Amazon IVS di perusahaan Anda, Anda mungkin memiliki akses penuh ke Amazon IVS. Tugas Anda adalah menentukan fitur dan sumber daya Amazon IVS mana yang harus diakses karyawan Anda. Anda kemudian harus mengirimkan permintaan ke administrator IAM Anda, untuk mengubah izin pengguna layanan Anda. Tinjau informasi di halaman ini untuk memahami konsep IAM dasar. Untuk mempelajari lebih lanjut tentang bagaimana perusahaan Anda dapat menggunakan IAM dengan Amazon IVS, lihat. Bagaimana Amazon IVS Bekerja dengan IAM
Administrator IAM - Jika Anda administrator IAM, Anda dapat menulis kebijakan untuk mengelola akses ke Amazon IVS. Untuk melihat contoh kebijakan berbasis identitas Amazon IVS yang dapat Anda gunakan di IAM, lihat. Contoh Kebijakan Berbasis Identitas

Bagaimana Amazon IVS Bekerja dengan IAM

Sebelum Anda dapat membuat permintaan Amazon IVS API, Anda harus membuat satu atau beberapa identitas IAM (pengguna, grup, dan peran) dan kebijakan IAM, lalu lampirkan kebijakan ke identitas. Diperlukan waktu hingga beberapa menit agar izin menyebar; sampai saat itu, permintaan API ditolak.

Untuk tampilan tingkat tinggi tentang cara kerja Amazon IVS dengan IAM, lihat AWSLayanan yang Bekerja dengan IAM di Panduan Pengguna IAM.

Identitas

Anda dapat membuat identitas IAM untuk memberikan otentikasi bagi orang dan proses di akun Anda. AWS Grup IAM adalah kumpulan pengguna IAM yang dapat Anda kelola sebagai satu unit. Lihat Identitas (Pengguna, Grup, dan Peran) di Panduan Pengguna IAM.

Kebijakan

Lihat bagian ini di Panduan Pengguna IAM:

Manajemen Akses — Semua tentang kebijakan.
Tindakan, Sumber Daya, dan Kunci Kondisi untuk Amazon IVS
AWSKunci Konteks Kondisi Global
Referensi Elemen Kebijakan IAM JSON - Semua elemen yang dapat Anda gunakan dalam kebijakan JSON.

Secara default, pengguna dan peran IAM tidak memiliki izin untuk membuat atau memodifikasi sumber daya Amazon IVS (bahkan untuk mengubah kata sandi mereka sendiri). Mereka juga tidak dapat melakukan tugas menggunakan AWS konsol, AWS CLI, atau AWS API. Administrator IAM harus membuat kebijakan IAM yang memberikan izin kepada pengguna dan peran untuk melakukan operasi API tertentu pada sumber daya tertentu yang mereka butuhkan.

Kebijakan IAM menentukan izin untuk tindakan terlepas dari metode yang digunakan untuk melakukan operasi. Sebagai contoh, anggap saja Anda memiliki kebijakan yang mengizinkan tindakan iam:GetRole . Pengguna dengan kebijakan tersebut bisa mendapatkan informasi peran dari AWS Management Console, AWS CLI, atau API. AWS

Kebijakan adalah dokumen kebijakan izin JSON yang terdiri dari elemen. Amazon IVS mendukung tiga elemen:

Tindakan — Tindakan kebijakan untuk Amazon IVS menggunakan ivs awalan sebelum tindakan. Misalnya, untuk memberikan izin kepada seseorang untuk membuat saluran Amazon IVS dengan metode Amazon IVS CreateChannel API, Anda menyertakan ivs:CreateChannel tindakan tersebut dalam kebijakan untuk orang tersebut. Pernyataan kebijakan harus memuat elemen Action atau NotAction.
Sumber daya - Sumber daya saluran Amazon IVS memiliki format ARN berikut:
```
arn:aws:ivs:${Region}:${Account}:channel/${channelId}
```
Misalnya, untuk menentukan VgNkEJgOVX9N saluran dalam pernyataan Anda, gunakan ARN ini:
```
"Resource": "arn:aws:ivs:us-west-2:123456789012:channel/VgNkEJgOVX9N"
```
Beberapa tindakan Amazon IVS, seperti untuk membuat sumber daya, tidak dapat dilakukan pada sumber daya tertentu. Dalam kasus tersebut, Anda harus menggunakan wildcard (*):
```
"Resource":"*"
```
Ketentuan - Amazon IVS mendukung beberapa kunci kondisi global:aws:RequestTag,aws:TagKeys, danaws:ResourceTag.

Anda dapat menggunakan variabel sebagai placeholder dalam kebijakan. Misalnya, Anda dapat memberikan izin pengguna IAM untuk mengakses sumber daya hanya jika ditandai dengan nama pengguna IAM pengguna. Lihat Variabel dan Tag di Panduan Pengguna IAM.

Amazon IVS menyediakan kebijakan terkelola AWS yang dapat digunakan untuk memberikan seperangkat izin identitas yang telah dikonfigurasi sebelumnya (hanya baca atau akses penuh). Anda dapat memilih untuk menggunakan kebijakan terkelola, bukan kebijakan berbasis identitas yang ditunjukkan di bawah ini. Untuk detailnya, lihat Kebijakan Terkelola untuk Amazon IVS.

Otorisasi Berdasarkan Tag Amazon IVS

Anda dapat melampirkan tag ke sumber daya Amazon IVS atau meneruskan tag dalam permintaan ke Amazon IVS. Untuk mengontrol akses berdasarkan tag, Anda memberikan informasi tag dalam elemen kondisi kebijakan menggunakanaws:ResourceTag/key-name,aws:RequestTag/key-name, atau kunci aws:TagKeys kondisi. Untuk informasi selengkapnya tentang menandai resource Amazon IVS, lihat “Penandaan” di Referensi API Streaming Latensi Rendah IVS, Referensi API Streaming Waktu Nyata IVS, dan Referensi API Obrolan IVS.

Sebagai contoh, lihat Lihat Saluran Amazon IVS Berdasarkan Tag.

Peran

Lihat Peran IAM dan Kredenal Keamanan Sementara di Panduan Pengguna IAM.

IAM role adalah entitas di dalam akun AWS Anda yang memiliki izin tertentu.

Amazon IVS mendukung penggunaan kredensyal keamanan sementara. Anda dapat menggunakan kredensial sementara untuk masuk dengan federasi, memiliki IAM role, atau menjalankan peran lintas-akun. Anda memperoleh kredensi keamanan sementara dengan memanggil operasi AWSSecurity Token Service API seperti AssumeRole atau. GetFederationToken

Akses istimewa dan tidak memiliki hak istimewa

Sumber daya API memiliki akses istimewa. Akses pemutaran yang tidak memiliki hak istimewa dapat diatur melalui saluran pribadi; lihat. Menyiapkan Saluran Privat

Praktik Terbaik untuk Kebijakan

Lihat Praktik Terbaik IAM di Panduan Pengguna IAM.

Kebijakan berbasis identitas adalah pilihan yang sangat tepat. Mereka menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya Amazon IVS di akun Anda. Tindakan ini dapat menimbulkan biaya untuk akun AWS Anda. Ikuti rekomendasi ini:

Berikan hak istimewa paling sedikit — Saat Anda membuat kebijakan khusus, berikan hanya izin yang diperlukan untuk melakukan tugas. Mulailah dengan seperangkat izin minimum dan berikan lebih banyak izin sesuai kebutuhan. Melakukannya lebih aman daripada memulai dengan izin yang terlalu lunak, lalu mencoba mengencangkannya nanti. Secara khusus, cadangan ivs:* untuk akses admin; jangan menggunakannya dalam aplikasi.
Aktifkan otentikasi multi-faktor (MFA) untuk operasi sensitif — Untuk keamanan ekstra, pengguna IAM harus menggunakan MFA untuk mengakses sumber daya sensitif atau operasi API.
Gunakan ketentuan kebijakan untuk keamanan ekstra — Sejauh praktis, tentukan kondisi di mana kebijakan berbasis identitas Anda mengizinkan akses ke sumber daya. Misalnya, Anda dapat menulis kondisi untuk menentukan rentang alamat IP yang diijinkan dari mana permintaan harus datang. Anda juga dapat menulis kondisi untuk mengizinkan permintaan hanya dalam tanggal atau rentang waktu tertentu, atau untuk meminta penggunaan SSL atau MFA.

Contoh Kebijakan Berbasis Identitas

Gunakan Konsol Amazon IVS

Untuk mengakses konsol Amazon IVS, Anda harus memiliki seperangkat izin minimum yang memungkinkan Anda membuat daftar dan melihat detail tentang sumber daya Amazon IVS di akun Anda. AWS Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana dimaksud untuk identitas dengan kebijakan tersebut. Untuk memastikan akses ke konsol Amazon IVS, lampirkan kebijakan berikut ke identitas (lihat Menambahkan dan Menghapus Izin IAM di Panduan Pengguna IAM).

Bagian-bagian dari kebijakan berikut menyediakan akses ke:

Semua titik akhir Amazon IVS API
Kuota layanan Amazon IVS Anda
Titik akhir Amazon S3 diperlukan untuk fungsionalitas IVS auto-record-to -S3 (low-latency-streaming) dan fungsionalitas perekaman komposit IVS (streaming waktu nyata).
Penciptaan uto-record-to -S3 service-linked-role
Amazon Cloudwatch untuk mendapatkan metrik untuk sesi live-stream Anda


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "ivs:*",
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "servicequotas:ListServiceQuotas"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucketPolicy",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicy",
        "s3:ListAllMyBuckets",
        "s3:PutBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "iam:AttachRolePolicy",
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/aws-service-role/ivs.amazonaws.com/AWSServiceRoleForIVSRecordToS3*"
    },
    {
      "Action": [
        "cloudwatch:GetMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "lambda:AddPermission",
        "lambda:ListFunctions"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Izinkan Pengguna untuk Melihat Izin Mereka Sendiri

Contoh ini menunjukkan kebijakan yang memungkinkan pengguna IAM untuk melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di AWS konsol atau menggunakan CLI AWS atau API secara terprogram. AWS


{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ViewOwnUserInfo",
         "Effect": "Allow",
         "Action": [
            "iam:GetUserPolicy",
            "iam:ListGroupsForUser",
            "iam:ListAttachedUserPolicies",
            "iam:ListUserPolicies",
            "iam:GetUser"
         ],
         "Resource": [
            "arn:aws:iam:*:*:user/${aws:username}"
         ]
      },
      {
         "Sid": "NavigateInConsole",
         "Effect": "Allow",
         "Action": [
            "iam:GetGroupPolicy",
            "iam:GetPolicyVersion",
            "iam:GetPolicy",
            "iam:ListAttachedGroupPolicies",
            "iam:ListGroupPolicies",
            "iam:ListPolicyVersions",
            "iam:ListPolicies",
            "iam:ListUsers"
         ],
         "Resource": "*"
      }
   ]
}

Akses Saluran Amazon IVS

Di sini, Anda ingin memberikan pengguna IAM di AWS akun Anda akses ke salah satu saluran Amazon IVS Anda,. VgNkEJgOVX9N Anda juga ingin mengizinkan pengguna menghentikan stream (ivs:StopStream), menambahkan metadata (ivs:PutMetadata), dan memperbarui channel (ivs:UpdateChannel). Kebijakan ini juga memberikan izin yang diperlukan oleh konsol Amazon IVS:ivs:ListChannels,,ivs:ListStreams, ivs:GetChannel dan. ivs:GetStream


{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ListChannelsInConsole",
         "Effect":"Allow",
         "Action":[
            "ivs:ListChannels",
            "ivs:ListStreams"

         ],
         "Resource":"arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid":"ViewSpecificChannelInfo",
         "Effect":"Allow",
         "Action":[
            "ivs:GetChannel",
            "ivs:GetStream"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N"
      },
      {
         "Sid":"ManageChannel",
         "Effect":"Allow",
         "Action":[
            "ivs:StopStream",
            "ivs:PutMetadata",
            "ivs:UpdateChannel"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N" 
      }
   ]
}

Lihat Saluran Amazon IVS Berdasarkan Tag

Anda dapat menggunakan kondisi dalam kebijakan berbasis identitas untuk mengontrol akses ke sumber daya Amazon IVS berdasarkan tag. Contoh ini menunjukkan kebijakan yang memungkinkan melihat saluran. Kebijakan ini juga memberikan izin yang diperlukan untuk menyelesaikan tindakan ini di konsol Amazon IVS.


{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ListWidgetsInConsole",
         "Effect": "Allow",
         "Action": "ivs:ListChannels",
         "Resource": "arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid": "ViewChannelIfOwner",
         "Effect": "Allow",
         "Action": "ivs:GetChannel",
         "Resource": "arn:aws:ivs:*:*:channel/*",
         "Condition": {
            "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
         }
      }
   ]
}

Anda dapat melampirkan kebijakan ini ke pengguna IAM di akun Anda. Namun, izin diberikan hanya jika saluran ditandai dengan nama pengguna pengguna tersebut sebagai pemilik. Jika pengguna bernama richard-roe mencoba melihat saluran Amazon IVS, saluran tersebut harus diberi tag Owner=richard-roe atauowner=richard-roe; jika tidak, ia ditolak aksesnya. (Kunci tag kondisi Owner cocok dengan keduanya Owner dan owner karena nama kunci kondisi tidak peka huruf besar/kecil.)

Pemecahan Masalah

Gunakan informasi berikut untuk membantu mendiagnosis dan memperbaiki masalah umum yang mungkin Anda temui saat bekerja dengan Amazon IVS dan IAM.

Saya tidak berwenang untuk melakukan tindakan di Amazon IVS.

Contoh kesalahan berikut terjadi ketika pengguna IAM mateojackson mencoba menggunakan AWS konsol untuk melihat detail tentang saluran tetapi tidak memiliki izin. ivs:GetChannel
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: ivs:GetChannel on resource: arn:aws:ivs:us-west-2:123456789012:channel/VgNkEJgOVX9N
```
Dalam hal ini, Mateo meminta administratornya untuk memperbarui kebijakannya untuk memungkinkannya mengakses sumber daya arn:aws:ivs:us-west-2:123456789012:channel/VgNkEJgOVX9N dengan menggunakan tindakan ivs:GetChannel.
Saya ingin melihat kunci akses saya.

Setelah membuat access key pengguna IAM, Anda dapat melihat access key ID Anda setiap saat. Namun, Anda tidak dapat melihat secret access key Anda lagi. Jika Anda kehilangan secret key, Anda harus membuat pasangan access key baru. Kunci akses memiliki dua bagian:
- ID kunci akses (misalnya,AKIAIOSFODNN7EXAMPLE)
- Kunci akses rahasia (misalnya,wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY)
Seperti halnya nama pengguna dan kata sandi, Anda harus menggunakan ID kunci akses dan kunci akses rahasia bersama-sama untuk mengautentikasi permintaan Anda. Kelola access key Anda seaman nama pengguna dan kata sandi Anda.

Penting: Jangan berikan kunci akses Anda ke pihak ketiga, bahkan untuk membantu menemukan ID pengguna kanonik Anda. Melakukannya mungkin memberi seseorang akses permanen ke akun Anda.

Saat Anda membuat pasangan access key, Anda diminta menyimpan access key ID dan secret access key di lokasi yang aman. Kunci akses rahasia hanya tersedia saat Anda membuatnya. Jika Anda kehilangan secret access key Anda, Anda harus menambahkan access key baru ke pengguna IAM Anda.

Anda dapat memiliki paling banyak dua kunci akses. Jika Anda sudah memiliki dua, Anda harus menghapus satu pasangan kunci sebelum membuat pasangan baru. Lihat Mengelola Kunci Akses untuk Pengguna IAM di Panduan Pengguna IAM.
Saya seorang administrator dan ingin mengizinkan orang lain mengakses Amazon IVS.

Untuk mengizinkan orang lain mengakses Amazon IVS, Anda harus membuat entitas IAM (pengguna atau peran) untuk orang atau aplikasi yang memerlukan akses. Orang atau aplikasi akan menggunakan kredensyal untuk entitas tersebut untuk mengakses. AWS Anda kemudian harus melampirkan kebijakan ke entitas yang memberikan izin yang benar di Amazon IVS.

Untuk memulai, lihat Membuat Pengguna dan Grup Delegasi IAM Pertama Anda di Panduan Pengguna IAM.

Saya ingin mengizinkan orang di luar AWS akun saya untuk mengakses sumber daya Amazon IVS saya.

Anda dapat membuat peran yang dapat digunakan pengguna di akun lain atau orang di luar organisasi untuk mengakses sumber daya Anda. Anda dapat menentukan siapa yang dipercaya untuk mengambil peran tersebut. Untuk layanan yang mendukung kebijakan berbasis sumber daya atau daftar kontrol akses (ACL), Anda dapat menggunakan kebijakan tersebut untuk memberi akses kepada orang ke sumber daya Anda. Untuk informasi terkait, lihat bagian Panduan Pengguna IAM ini:

Untuk belajar...	Lihat...
Cara menyediakan akses ke sumber daya Anda di seluruh AWS akun yang Anda miliki	Menyediakan Akses ke Pengguna IAM di AWS Akun Lain yang Anda Miliki
Cara menyediakan akses ke sumber daya Anda ke AWS akun pihak ketiga	Menyediakan Akses ke AWS Akun yang Dimiliki oleh Pihak Ketiga
Cara menyediakan akses melalui federasi identitas	Menyediakan Akses ke Pengguna yang Diautentikasi Secara Eksternal (Federasi Identitas)
Perbedaan antara menggunakan peran dan kebijakan berbasis sumber daya untuk akses lintas akun	Bagaimana Peran IAM Berbeda dari Kebijakan Berbasis Sumber Daya

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Perlindungan Data

Kebijakan Terkelola untuk Amazon IVS