Come funziona Amazon Connect con IAM

Prima di utilizzare IAM per gestire l'accesso ad Amazon Connect, è necessario comprendere quali IAM funzionalità sono disponibili per l'uso con Amazon Connect. Per una panoramica generale del funzionamento di Amazon Connect e di altri AWS serviziIAM, consulta AWS Services That Work with IAM nella Guida per l'IAMutente.

Policy basate su identità per Amazon Connect

Con le politiche IAM basate sull'identità, puoi specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. Amazon Connect supporta azioni, risorse e chiavi di condizione specifiche. Per maggiori informazioni su tutti gli elementi utilizzati in una JSON policy, consulta IAMJSONPolicy Elements Reference nella Guida per l'IAMutente.

Azioni

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'Actionelemento di una JSON policy descrive le azioni che è possibile utilizzare per consentire o negare l'accesso a una policy. Le azioni politiche in genere hanno lo stesso nome dell' AWS APIoperazione associata. Esistono alcune eccezioni, come le azioni basate solo sulle autorizzazioni che non hanno un'operazione corrispondente. API Esistono anche alcune operazioni che richiedono più operazioni in una policy. Queste operazioni aggiuntive sono denominate operazioni dipendenti.

Includi le operazioni in una policy per concedere le autorizzazioni a eseguire l'operazione associata.

Le azioni delle policy in Amazon Connect utilizzano il seguente prefisso prima dell'operazione: connect:. Le istruzioni della policy devono includere un elemento Action o NotAction. Amazon Connect definisce un proprio set di azioni che descrivono le attività che puoi eseguire con quel servizio.

Per specificare più azioni in una sola istruzione, separa ciascuna di esse con una virgola come mostrato di seguito:

"Action": [
      "connect:action1",
      "connect:action2"

È possibile specificare più azioni tramite caratteri jolly (*). Ad esempio, per specificare tutte le azioni che iniziano con la parola Describe, includi la seguente azione:

"Action": "connect:Describe*"

Per un elenco delle azioni Amazon Connect, consulta Operazioni, risorse e chiavi di condizione per Amazon Connect.

Risorse

Amazon Connect supporta le autorizzazioni a livello di risorsa (specificando una risorsa in una policy). ARN IAM Di seguito è riportato un elenco di risorse Amazon Connect:

• Istanza

• Contatti

• Utente

• Profilo di instradamento

• Profilo di sicurezza

• Gruppo di gerarchia

• Queue

• File

• Flusso

• Ore di operatività

• Numero di telefono

• Modelli di attività

• Dominio di Profili cliente

• Tipo di oggetto di Profili cliente

• Campagne in uscita

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'elemento Resource JSON policy specifica l'oggetto o gli oggetti a cui si applica l'azione. Le istruzioni devono includere un elemento Resourceo un elemento NotResource. Come best practice, specifica una risorsa utilizzando il relativo Amazon Resource Name (ARN). Puoi eseguire questa operazione per azioni che supportano un tipo di risorsa specifico, note come autorizzazioni a livello di risorsa.

Per le azioni che non supportano le autorizzazioni a livello di risorsa, ad esempio le operazioni di elenco, utilizza un carattere jolly (*) per indicare che l'istruzione si applica a tutte le risorse.

"Resource": "*"

La risorsa dell'istanza Amazon Connect ha quanto segueARN:

arn:${Partition}:connect:${Region}:${Account}:instance/${InstanceId}

Per ulteriori informazioni sul formato diARNs, consulta Amazon Resource Names (ARNs) e AWS Service Namespaces.

Ad esempio, per specificare l'i-1234567890abcdef0istanza nella tua dichiarazione, usa quanto segue: ARN

"Resource": "arn:aws:connect:us-east-1:123456789012:instance/i-1234567890abcdef0"

Per specificare tutti le istanze che appartengono ad un account specifico, utilizza il carattere jolly (*):

"Resource": "arn:aws:connect:us-east-1:123456789012:instance/*"

Alcune azioni Amazon Connect , ad esempio quelle per la creazione di risorse, non possono essere eseguite su una risorsa specifica. In questi casi, è necessario utilizzare il carattere jolly (*).

"Resource": "*"

Molte API azioni di Amazon Connect; coinvolgono più risorse. Ad esempio,

Per specificare più risorse in un'unica istruzione, separale ARNs con virgole.

"Resource": [
      "resource1",
      "resource2"

Per visualizzare un elenco dei tipi di risorse Amazon Connect e relativiARNs, consulta Azioni, risorse e chiavi di condizione per Amazon Connect. Lo stesso articolo spiega con quali azioni è possibile specificare le caratteristiche ARN di ciascuna risorsa.

Chiavi di condizione

Gli amministratori possono utilizzare AWS JSON le politiche per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire azioni su quali risorse, e in quali condizioni.

L'elemento Condition(o blocco Condition) consente di specificare le condizioni in cui un'istruzione è in vigore. L'elemento Conditionè facoltativo. Puoi compilare espressioni condizionali che utilizzano operatori di condizione, ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta.

Se specifichi più elementi Conditionin un'istruzione o più chiavi in un singolo elemento Condition, questi vengono valutati da AWS utilizzando un'operazione ANDlogica. Se si specificano più valori per una singola chiave di condizione, AWS valuta la condizione utilizzando un'operazione logicaOR. Tutte le condizioni devono essere soddisfatte prima che le autorizzazioni dell'istruzione vengano concesse.

Puoi anche utilizzare variabili segnaposto quando specifichi le condizioni. Ad esempio, è possibile concedere a un IAM utente l'autorizzazione ad accedere a una risorsa solo se è contrassegnata con il suo nome IAM utente. Per ulteriori informazioni, consulta gli elementi IAM della politica: variabili e tag nella Guida IAM per l'utente.

AWS supporta chiavi di condizione globali e chiavi di condizione specifiche del servizio. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'IAMutente.

Amazon Connect definisce il proprio set di chiavi di condizione e, inoltre, supporta l'uso di alcune chiavi di condizione globali. Per visualizzare tutte le chiavi di condizione AWS globali, consulta AWS Global Condition Context Keys nella Guida IAM per l'utente.

Tutte le EC2 azioni di Amazon supportano le chiavi aws:RequestedRegion e ec2:Region condition. Per ulteriori informazioni, consultare Esempio: limitazione dell'accesso a una regione specifica.

Per un elenco delle chiavi di condizione Amazon Connect , consulta Operazioni, risorse e chiavi di condizione per Amazon Connect.

Esempi

Per visualizzare esempi di policy basate su identità Amazon Connect, consulta Esempi di policy basate su identità per Amazon Connect.

Autorizzazione basata su tag Amazon Connect

Puoi collegare tag alle risorse Amazon Connect o inoltrarli in una richiesta ad Amazon Connect. Per controllare l'accesso basato su tag, fornisci informazioni sui tag nell'elemento condizione di una policy utilizzando le chiavi di condizione connect:ResourceTag/key-name, aws:RequestTag/key-name o aws:TagKeys.

Per visualizzare una policy basata sulle identità di esempio per limitare l'accesso a una risorsa basata su tag su tale risorsa, consulta Descrivere e aggiornare gli utenti Amazon Connect in base ai tag.

IAMRuoli Amazon Connect

Un IAMruolo è un'entità all'interno del tuo AWS account che dispone di autorizzazioni specifiche.

Utilizzo di credenziali temporanee con Amazon Connect

Puoi utilizzare credenziali temporanee per accedere con la federazione, assumere un IAM ruolo o assumere un ruolo tra account. È possibile ottenere credenziali di sicurezza temporanee chiamando AWS STS API operazioni come o. AssumeRoleGetFederationToken

Amazon Connect supporta l'utilizzo di credenziali temporanee.

Ruoli collegati ai servizi

I ruoli collegati ai AWS servizi consentono ai servizi di accedere alle risorse di altri servizi per completare un'azione per conto dell'utente. I ruoli collegati ai servizi vengono visualizzati nell'IAMaccount e sono di proprietà del servizio. Un IAM amministratore può visualizzare ma non modificare le autorizzazioni per i ruoli collegati al servizio.

Amazon Connect supporta i ruoli orientati ai servizi. Per maggiori dettagli su come creare e gestire i ruoli orientati ai servizi di Amazon Connect, consulta Utilizzo di ruoli orientati ai servizi per Amazon Connect.

Scelta di un IAM ruolo in Amazon Connect

Quando crei una risorsa in Amazon Connect, devi scegliere un ruolo per consentire ad Amazon Connect di accedere ad Amazon per tuo EC2 conto. Se hai creato in precedenza un ruolo di servizio o un ruolo orientato ai servizi, Amazon Connect fornisce un elenco di ruoli tra cui scegliere. È importante scegliere un ruolo che consenta l'accesso per avviare e arrestare EC2 le istanze Amazon.