Membuat Kebijakan IAM untuk Akses ke SES Contoh Kebijakan IAM untuk SES

Identity and access management di Amazon SES

Anda dapat menggunakan AWS Identity and Access Management (IAM) dengan Amazon Simple Email Service (Amazon SES) untuk menentukan tindakan SES API yang dapat dilakukan pengguna, grup, atau peran. (Dalam topik ini kita mengacu pada entitas ini secara kolektif sebagai pengguna.) Anda juga dapat mengontrol alamat email pengguna agar dapat digunakan untuk alamat email "Dari", penerima, dan "Jalur-Kembali".

Misalnya, Anda dapat membuat kebijakan IAM yang memungkinkan pengguna di organisasi Anda untuk mengirim email, namun tidak melakukan tindakan administratif seperti memeriksa statistik pengiriman. Sebagai contoh lain, Anda dapat menulis kebijakan yang memungkinkan pengguna mengirim email melalui SES dari akun Anda, tetapi hanya jika mereka menggunakan alamat “Dari” tertentu.

Untuk menggunakan IAM, Anda menentukan kebijakan IAM, yang merupakan dokumen yang secara eksplisit menentukan izin, dan melampirkan kebijakan untuk pengguna. Untuk mempelajari cara membuat kebijakan IAM, lihat Panduan Pengguna IAM. Selain menerapkan pembatasan yang Anda tetapkan dalam kebijakan Anda, tidak ada perubahan pada cara pengguna berinteraksi dengan SES atau cara SES melakukan permintaan.

catatan

Jika akun Anda berada di kotak pasir SES, pembatasannya juga mencegah penerapan beberapa kebijakan ini - lihat. Minta akses produksi
Anda juga dapat mengontrol akses ke SES dengan menggunakan kebijakan otorisasi pengiriman. Sedangkan kebijakan IAM membatasi apa yang dapat dilakukan pengguna individu, pengiriman kebijakan otorisasi membatasi bagaimana identitas terverifikasi individu dapat digunakan. Selanjutnya, hanya kebijakan otorisasi pengiriman yang dapat memberikan akses lintas akun. Untuk informasi selengkapnya tentang otorisasi pengiriman, lihat Menggunakan otorisasi pengiriman dengan Amazon SES.

Jika Anda mencari informasi tentang cara menghasilkan kredensi SES SMTP untuk pengguna yang sudah ada, lihat. Mendapatkan kredensial SMTP Amazon SES

Membuat Kebijakan IAM untuk Akses ke SES

Bagian ini menjelaskan bagaimana Anda dapat menggunakan kebijakan IAM khusus dengan SES. Untuk mempelajari cara membuat kebijakan IAM secara umum, lihat Panduan Pengguna IAM.

Ada tiga alasan Anda mungkin menggunakan IAM dengan SES:

Untuk membatasi tindakan pengiriman-email.
Untuk membatasi alamat email "Dari", penerima, dan "Jalur-Kembali" yang dikirim oleh pengguna.
Untuk mengontrol aspek-aspek umum penggunaan API seperti periode waktu yang pengguna izinkan untuk memanggil API agar dapat digunakan.

Membatasi Tindakan

Untuk mengontrol tindakan SES yang dapat dilakukan pengguna, Anda menggunakan Action elemen kebijakan IAM. Anda dapat mengatur Action elemen untuk setiap tindakan SES API dengan awalan nama API dengan string huruf kecil. ses: Misalnya, Anda dapat mengatur Action ke ses:SendEmail, ses:GetSendStatistics, atau ses:* (untuk semua tindakan).

Kemudian, tergantung pada Action, tentukan elemen Resource sebagai berikut:

Jika Action elemen hanya mengizinkan akses ke API pengirim email (yaitu, dan/atau): ses:SendEmail ses:SendRawEmail

Untuk mengizinkan pengguna mengirim dari identitas apa pun di Akun AWS Anda, atur Resource menjadi *
Untuk membatasi identitas yang diizinkan untuk dikirim oleh pengguna, atur Resource ke ARN identitas yang Anda izinkan untuk digunakan pengguna.

Jika Action elemen mengizinkan akses ke semua API:

Jika Anda tidak ingin membatasi identitas yang dapat dikirim oleh pengguna, atur Resource menjadi *
Jika Anda ingin membatasi identitas yang diizinkan untuk dikirim oleh pengguna, Anda perlu membuat dua kebijakan (atau dua pernyataan dalam satu kebijakan):
- Satu dengan Action set ke daftar eksplisit dari non-email-sending API yang diizinkan dan Resource diatur ke*
- Satu dengan Action diatur ke salah satu API pengiriman-email (ses:SendEmail dan/atau ses:SendRawEmail), dan Resource diatur ke ARN identitas yang Anda izinkan untuk digunakan oleh pengguna.

Untuk daftar tindakan SES yang tersedia, lihat Referensi API Layanan Email Amazon Simple. Jika pengguna akan menggunakan antarmuka SMTP, Anda harus mengizinkan akses ke ses:SendRawEmail minimum.

Membatasi Alamat Email

Jika Anda ingin membatasi pengguna ke alamat email tertentu, maka Anda dapat menggunakan blok Condition. Di blok Condition, Anda menentukan syarat dengan menggunakan kunci syarat seperti yang dijelaskan dalam Panduan Pengguna IAM. Dengan menggunakan kunci syarat, Anda dapat mengontrol alamat email berikut:

catatan

Kunci syarat alamat email ini hanya berlaku untuk API yang tercantum dalam tabel berikut.

Kunci Syarat	Deskripsi	API
`ses:Recipients`	Membatasi alamat penerima, yang meliputi alamat Kepada:, "CC", dan "BCC".	`SendEmail`, `SendRawEmail`
`ses:FromAddress`	Membatasi alamat "Dari".	`SendEmail`, `SendRawEmail`, `SendBounce`
`ses:FromDisplayName`	Membatasi alamat "Dari" yang digunakan sebagai nama tampilan.	`SendEmail`, `SendRawEmail`
`ses:FeedbackAddress`	Membatasi alamat "Jalur-Kembali", yang merupakan alamat tempat pentalan dan aduan dapat dikirim kepada Anda melalui penerusan umpan balik email. Untuk informasi tentang penerusan umpan balik email, lihat Menerima notifikasi Amazon SES melalui email.	`SendEmail`, `SendRawEmail`

Membatasi oleh SES versi API

Dengan menggunakan ses:ApiVersion kunci dalam kondisi, Anda dapat membatasi akses ke SES berdasarkan versi SES API.

catatan

Antarmuka SES SMTP menggunakan SES API versi 2 dari. ses:SendRawEmail

Membatasi Penggunaan API Umum

Dengan menggunakan kunci AWS -wide dalam kondisi, Anda dapat membatasi akses ke SES berdasarkan aspek-aspek seperti tanggal dan waktu bahwa pengguna diizinkan akses ke API. SES hanya mengimplementasikan kunci kebijakan AWS -wide berikut:

aws:CurrentTime
aws:EpochTime
aws:SecureTransport
aws:SourceIp
aws:SourceVpc
aws:SourceVpce
aws:UserAgent
aws:VpcSourceIp

Untuk informasi selengkapnya tentang kunci ini, lihat Panduan Pengguna IAM.

Contoh Kebijakan IAM untuk SES

Topik ini memberikan contoh kebijakan yang mengizinkan akses pengguna ke SES, tetapi hanya dalam kondisi tertentu.

Contoh kebijakan di bagian ini:

Memungkinkan Akses Penuh ke Semua Tindakan SES
Mengizinkan Akses ke hanya SES API versi 2
Mengizinkan Akses Hanya ke Tindakan Pengiriman-Email
Membatasi Periode Waktu Pengiriman
Membatasi Alamat Penerima
Membatasi Alamat "Dari"
Membatasi Nama Tampilan Pengirim Email
Membatasi Tujuan dari Umpan Balik Pentalan dan Aduan

Memungkinkan Akses Penuh ke Semua Tindakan SES

Kebijakan berikut memungkinkan pengguna untuk memanggil tindakan SES.


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:*"
      ],
      "Resource":"*"
    }
  ]
}

Mengizinkan Akses ke hanya SES API versi 2

Kebijakan berikut memungkinkan pengguna untuk memanggil hanya tindakan SES API versi 2.


{
  		                 "Version":"2012-10-17",
  		                 "Statement":[
  		                     {
  		                         "Effect":"Allow",
  		                         "Action":[
  		                         "ses:*"
  		                         ],
  		                         "Resource":"*",
  		                         "Condition": {
  		                             "StringEquals" : {
  		                             "ses:ApiVersion" : "2"
  		                             }
  		                         }
  		                     }
  		                 ]
  		             }

Mengizinkan Akses Hanya ke Tindakan Pengiriman-Email

Kebijakan berikut memungkinkan pengguna untuk mengirim email menggunakan SES, tetapi tidak mengizinkan pengguna untuk melakukan tindakan administratif seperti mengakses statistik pengiriman SES.


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*"
    }
  ]
}

Membatasi Periode Waktu Pengiriman

Kebijakan berikut memungkinkan pengguna untuk memanggil API pengirim email SES hanya selama bulan September 2018.


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "DateGreaterThan":{
          "aws:CurrentTime":"2018-08-31T12:00Z"
        },
        "DateLessThan":{
          "aws:CurrentTime":"2018-10-01T12:00Z"
        }
      }
    }
  ]
}

Membatasi Alamat Penerima

Kebijakan berikut memungkinkan pengguna untuk memanggil API pengirim email SES, tetapi hanya ke alamat penerima di domain example.com (sensitif huruf besar). StringLike


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringLike":{
          "ses:Recipients":[
            "*@example.com"
          ]
        }
      }
    }
  ]
}

Membatasi Alamat "Dari"

Kebijakan berikut memungkinkan pengguna untuk memanggil API pengirim email SES, tetapi hanya jika alamat “Dari” adalah marketing@example.com.


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "ses:FromAddress":"marketing@example.com"
        }
      }
    }
  ]
}

Kebijakan berikut memungkinkan pengguna untuk memanggil SendBounceAPI, tetapi hanya jika alamat “Dari” adalah bounce@example.com.


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendBounce"
      ],
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "ses:FromAddress":"bounce@example.com"
        }
      }
    }
  ]
}

Membatasi Nama Tampilan Pengirim Email

Kebijakan berikut memungkinkan pengguna untuk memanggil API pengirim email SES, tetapi hanya jika nama tampilan alamat “Dari” termasuk Pemasaran (StringLikesensitif huruf besar).


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "StringLike":{
          "ses:FromDisplayName":"Marketing"
        }
      }
    }
  ]
}

Membatasi Tujuan dari Umpan Balik Pentalan dan Aduan

Kebijakan berikut memungkinkan pengguna untuk memanggil API pengiriman email SES, tetapi hanya jika “Jalur Kembali” email diatur ke feedback@example.com.


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "ses:FeedbackAddress":"feedback@example.com"
        }
      }
    }
  ]
}

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Menghapus data pribadi

Kebijakan terkelola AWS