Policy IAM per l'esecuzione di query sui dati di analisi di Amazon Pinpoint

Utilizzando l'API Amazon Pinpoint, puoi interrogare i dati di analisi per un sottoinsieme di metriche standard, note anche come indicatori chiave di prestazione (KPIs), che si applicano a progetti, campagne e percorsi di Amazon Pinpoint. Questi parametri consentono di monitorare e valutare le prestazioni dei progetti, delle campagne e dei viaggi.

Per gestire l'accesso a questi dati, puoi creare policy AWS Identity and Access Management (IAM) che definiscono le autorizzazioni per i ruoli o gli utenti IAM autorizzati ad accedere ai dati. Per supportare il controllo granulare dell'accesso a questi dati, Amazon Pinpoint fornisce diverse azioni distinte che è possibile specificare nelle policy IAM. Per visualizzare i dati di analisi sulla console Amazon Pinpoint (mobiletargeting:GetReports), è disponibile un'azione distinta, mentre per accedere ai dati di analisi a livello di programmazione tramite l'API Amazon Pinpoint sono disponibili altre azioni.

Per creare policy IAM che gestiscano l'accesso ai dati di analisi, puoi utilizzare l'API AWS Management Console AWS CLI, the o IAM. Tieni presente che la scheda Editor visivo sulla AWS Management Console al momento non include azioni per la visualizzazione o l'esecuzione di query sui dati di analisi di Amazon Pinpoint. Tuttavia, puoi aggiungere manualmente le operazioni necessarie alle policy IAM utilizzando la scheda JSON sulla console.

Ad esempio, la seguente policy consente l'accesso programmatico a tutti i dati di analisi per tutti i tuoi progetti, campagne e viaggi in tutte le AWS regioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryAllAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:*:accountId:apps/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

accountIdDov'è l'ID del tuo AWS account.

Tuttavia, è consigliabile definire policy in grado di seguire il principio del privilegio minimo. In altre parole, è necessario creare policy che includano solo le autorizzazioni necessarie per eseguire un'attività specifica. Per supportare questa pratica e implementare un controllo più granulare, puoi limitare l'accesso programmatico ai dati di analisi solo per un particolare progetto in una AWS regione specifica, ad esempio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryProjectAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

Dove:

• regionè il nome della AWS regione che ospita il progetto.

• accountIdè l'ID AWS del tuo account.

• projectIdè l'identificatore del progetto a cui desideri fornire l'accesso.

Analogamente, la seguente policy di esempio consente l'accesso programmatico ai dati di analisi solo per una particolare campagna:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryCampaignAnalytics",
            "Effect": "Allow",
            "Action": "mobiletargeting:GetCampaignDateRangeKpi",
            "Resource": "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/campaignId/kpis/*"
        }
    ]
}

Dove:

• regionè il nome della AWS regione che ospita il progetto.

• accountIdè il tuo Account AWS ID.

• projectIdè l'identificatore del progetto associato alla campagna.

• campaignIdè l'identificatore della campagna a cui desideri fornire l'accesso.

E la seguente policy di esempio consente l'accesso programmatico a tutti i dati di analisi, sia di coinvolgimento sia di esecuzione, per un particolare percorso e le attività che lo compongono:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryJourneyAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/activities/*/execution-metrics"
            ]
        }
    ]
}

Dove:

• regionè il nome della AWS regione che ospita il progetto.

• accountIdè l'ID AWS del tuo account.

• projectIdè l'identificatore del progetto associato al viaggio.

• journeyIdè l'identificatore del viaggio a cui desideri fornire l'accesso.

Per l'elenco completo delle azioni API Amazon Pinpoint che è possibile utilizzare nelle policy IAM, consulta Azioni di Amazon Pinpoint per le policy IAM. Per ulteriori informazioni sulla creazione e sulla gestione delle policy IAM, consulta la Guida per l'utente di IAM.