Esempi di base di policy Amazon SQS

Questa sezione mostra le policy di esempio per i casi d'uso Amazon SQS più comuni.

Puoi utilizzare la console per verificare gli effetti di ogni policy quando la alleghi all'utente. Inizialmente l'utente non dispone di alcuna autorizzazione e non sarà in grado di eseguire alcuna operazione nella console. Quando le policy vengono collegate all'utente, è possibile verificare che l'utente possa eseguire diverse operazioni nella console.

Nota

Ti consigliamo di utilizzare due finestre del browser: una per concedere le autorizzazioni e l'altra per accedere AWS Management Console utilizzando le credenziali dell'utente per verificare le autorizzazioni man mano che le concedi all'utente.

Esempio 1: concedere un'autorizzazione a uno Account AWS

La seguente politica di esempio concede 111122223333 al Account AWS numero l'SendMessageautorizzazione per la coda denominata 444455556666/queue1 nella regione Stati Uniti orientali (Ohio).

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_SendMessage",
      "Effect": "Allow",
      "Principal": {
         "AWS": [ 
            "111122223333"
         ]
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:us-east-2:444455556666:queue1"
   }]  
}

Esempio 2: concedere due autorizzazioni a una Account AWS

La politica di esempio seguente concede 111122223333 sia il Account AWS numero che SendMessage l'ReceiveMessageautorizzazione per la coda denominata. 444455556666/queue1

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_Send_Receive",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333"
         ]
      },
      "Action": [
         "sqs:SendMessage",
         "sqs:ReceiveMessage"
      ],
      "Resource": "arn:aws:sqs:*:444455556666:queue1"
   }]
}

Esempio 3: concedere tutte le autorizzazioni a due Account AWS

La seguente politica di esempio concede due Account AWS numeri diversi (111122223333e444455556666) l'autorizzazione a utilizzare tutte le azioni a cui Amazon SQS consente l'accesso condiviso per la coda 123456789012/queue1 denominata nella regione Stati Uniti orientali (Ohio).

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333",
            "444455556666"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

Esempio 4: Concedere autorizzazioni multi-account a un ruolo e un nome utente

La seguente politica di esempio concede role1 e, username1 in base al Account AWS numero, 111122223333 l'autorizzazione per più account a utilizzare tutte le azioni a cui Amazon SQS consente l'accesso condiviso per la coda 123456789012/queue1 denominata nella regione Stati Uniti orientali (Ohio).

Le autorizzazioni per più account non sono applicabili alle azioni seguenti:

• AddPermission

• CancelMessageMoveTask

• CreateQueue

• DeleteQueue

• ListMessageMoveTask

• ListQueues

• ListQueueTags

• RemovePermission

• SetQueueAttributes

• StartMessageMoveTask

• TagQueue

• UntagQueue

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "arn:aws:iam::111122223333:role/role1",
            "arn:aws:iam::111122223333:user/username1"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

Esempio 5: Concedere un'autorizzazione a tutti gli utenti

La seguente policy di esempio concede a tutti gli utenti (utenti anonimi) l'autorizzazione ReceiveMessage per la coda denominata 111122223333/queue1.

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1"
   }]
}

Esempio 6: Concedere un'autorizzazione limitata nel tempo a tutti gli utenti

La seguente policy di esempio concede a tutti gli utenti (utenti anonimi) l'autorizzazione ReceiveMessage per la coda denominata 111122223333/queue1, ma solo tra le ore 12 (mezzogiorno) e le ore 15 del 31 gennaio 2009.

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage_TimeLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "DateGreaterThan" : {
            "aws:CurrentTime":"2009-01-31T12:00Z"
         },
         "DateLessThan" : {
            "aws:CurrentTime":"2009-01-31T15:00Z"
         }
      }
   }]
}

Esempio 7: Concedere tutte le autorizzazioni a tutti gli utenti in un intervallo CIDR

La seguente policy di esempio concede a tutti gli utenti (anonimi) l'autorizzazione a utilizzare tutte le azioni Amazon SQS possibili che possono essere condivise per la coda denominata 111122223333/queue1, ma solo se la richiesta proviene dall'intervallo CIDR 192.0.2.0/24.

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_AllActions_AllowlistIP",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         }
      }
   }]
}

Esempio 8: Autorizzazioni per l'elenco di elementi consentiti e l'elenco di elementi bloccati per utenti in diversi intervalli CIDR

La policy di esempio seguente dispone di due istruzioni:

• La prima dichiarazione concede a tutti gli utenti (utenti anonimi) nell'intervallo CIDR 192.0.2.0/24 (fatta eccezione per 192.0.2.188) l'autorizzazione per utilizzare l'azione SendMessage per la coda denominata 111122223333/queue1.

• La seconda dichiarazione blocca tutti gli utenti (utenti anonimi) nell'intervallo CIDR 12.148.72.0/23 in modo che non possano utilizzare la coda.

JSON

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_SendMessage_IPLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         },
         "NotIpAddress" : {
            "aws:SourceIp":"192.0.2.188/32"
         }
      }
   }, {
      "Sid":"Queue1_AnonymousAccess_AllActions_IPLimit_Deny",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"12.148.72.0/23"
         }
      }
   }]
}