Come funziona Amazon Rekognition con IAM

Prima di utilizzare IAM per gestire l'accesso ad Amazon Rekognition, è necessario IAM comprendere quali funzionalità sono disponibili per l'uso con Amazon Rekognition. Per una panoramica generale del funzionamento di Amazon Rekognition AWS e di altri servizi AWS , consulta Services That IAM Work with nella Guida per l'IAMutente. IAM

Policy basate su identità di Amazon Rekognition

Con le politiche IAM basate sull'identità, puoi specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. Amazon Rekognition supporta operazioni, risorse e chiavi di condizione specifiche. Per maggiori informazioni su tutti gli elementi utilizzati in una JSON policy, consulta IAMJSONPolicy Elements Reference nella Guida per l'IAMutente.

Azioni

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'Actionelemento di una JSON policy descrive le azioni che è possibile utilizzare per consentire o negare l'accesso a una policy. Le azioni politiche in genere hanno lo stesso nome dell' AWS APIoperazione associata. Esistono alcune eccezioni, come le azioni basate solo sulle autorizzazioni che non hanno un'operazione corrispondente. API Esistono anche alcune operazioni che richiedono più operazioni in una policy. Queste operazioni aggiuntive sono denominate operazioni dipendenti.

Includi le operazioni in una policy per concedere le autorizzazioni a eseguire l'operazione associata.

Le operazioni delle policy in Amazon Rekognition utilizzano il seguente prefisso prima dell'operazione: rekognition:. Ad esempio, per concedere a qualcuno l'autorizzazione a rilevare oggetti, scene o concetti in un'immagine con l'operazione DetectLabels API Amazon Rekognition, rekognition:DetectLabels includi l'azione nella sua politica. Le istruzioni della policy devono includere un elemento Action o NotAction. Amazon Rekognition definisce un proprio set di operazioni che descrivono le attività eseguibili con quel servizio.

Per specificare più azioni in una sola istruzione, separa ciascuna di esse con una virgola come mostrato di seguito:

"Action": [
      "rekognition:action1",
      "rekognition:action2"

È possibile specificare più azioni tramite caratteri jolly (*). Ad esempio, per specificare tutte le azioni che iniziano con la parola Describe, includi la seguente azione:

"Action": "rekognition:Describe*"

Per visualizzare un elenco delle azioni di Amazon Rekognition, consulta Actions Defined by Amazon Rekognition nella Guida per l'utente. IAM

Risorse

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'elemento Resource JSON policy specifica l'oggetto o gli oggetti a cui si applica l'azione. Le istruzioni devono includere un elemento Resourceo un elemento NotResource. Come best practice, specifica una risorsa utilizzando il relativo Amazon Resource Name (ARN). Puoi eseguire questa operazione per azioni che supportano un tipo di risorsa specifico, note come autorizzazioni a livello di risorsa.

Per le azioni che non supportano le autorizzazioni a livello di risorsa, ad esempio le operazioni di elenco, utilizza un carattere jolly (*) per indicare che l'istruzione si applica a tutte le risorse.

"Resource": "*"

Per ulteriori informazioni sul formato diARNs, consulta Amazon Resource Names (ARNs) e AWS Service Namespaces.

Ad esempio, per specificare la MyCollection raccolta nella tua dichiarazione, usa quanto segue: ARN

"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/MyCollection"

Per specificare tutti le istanze che appartengono ad un account specifico, utilizza il carattere jolly (*):

"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/*"

Alcune operazioni di Amazon Rekognition, ad esempio quelle per la creazione delle risorse, non possono essere eseguite su una risorsa specifica. In questi casi, è necessario utilizzare il carattere jolly (*).

"Resource": "*"

Per visualizzare un elenco dei tipi di risorse di Amazon Rekognition ARNs e relativi, consulta Resources Defined by Amazon Rekognition nella Guida per l'utente. IAM Per sapere con quali azioni puoi specificare le caratteristiche ARN di ogni risorsa, consulta Azioni definite da Amazon Rekognition.

Chiavi di condizione

Amazon Rekognition non fornisce chiavi di condizione specifiche del servizio, ma supporta l'utilizzo di alcune chiavi di condizione globali. Per visualizzare tutte le chiavi di condizione AWS globali, consulta AWS Global Condition Context Keys nella Guida per l'IAMutente.

Policy basate sulle risorse di Amazon Rekognition

Amazon Rekognition supporta le policy basate sulle risorse per la copia dei modelli delle etichette personalizzate. Per ulteriori informazioni, consulta Esempi di policy basate su risorse di Amazon Rekognition.

Anche altri servizi, ad esempio Amazon S3, supportano policy di autorizzazioni basate su risorse. Ad esempio, è possibile associare una policy a un bucket S3 per gestire le autorizzazioni di accesso a quel bucket.

Per accedere alle immagini archiviate in un bucket Amazon S3, devi disporre delle autorizzazioni di accesso all'oggetto nel bucket S3. Grazie a questa autorizzazione, Amazon Rekognition può scaricare le immagini dal bucket S3. La seguente policy di esempio consente all'utente di eseguire l'operazione s3:GetObject nel bucket S3 denominato Tests3bucket.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::Tests3bucket/*"
            ]
        }
    ]
}

Per usare un bucket S3 con la funzione Versioni multiple attivata, aggiungi l'operazione s3:GetObjectVersion, come illustrato nell'esempio seguente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::Tests3bucket/*"
            ]
        }
    ]

Ruoli di Amazon Rekognition IAM

Un IAMruolo è un'entità all'interno del tuo AWS account che dispone di autorizzazioni specifiche.

Utilizzo delle credenziali temporanee con Amazon Rekognition

Puoi utilizzare credenziali temporanee per accedere con la federazione, assumere un IAM ruolo o assumere un ruolo tra account. È possibile ottenere credenziali di sicurezza temporanee chiamando AWS STS API operazioni come o. AssumeRoleGetFederationToken

Amazon Rekognition supporta l'uso delle credenziali temporanee.

Ruoli collegati ai servizi

I ruoli collegati ai AWS servizi consentono ai servizi di accedere alle risorse di altri servizi per completare un'azione per conto dell'utente. I ruoli collegati ai servizi vengono visualizzati nell'IAMaccount e sono di proprietà del servizio. Un IAM amministratore può visualizzare ma non modificare le autorizzazioni per i ruoli collegati al servizio.

Amazon Rekognition non supporta i ruoli collegati ai servizi.

Ruoli dei servizi

Questa caratteristica consente a un servizio di assumere un ruolo di servizio per conto dell'utente. Questo ruolo consente al servizio di accedere alle risorse in altri servizi per completare un'azione per conto dell'utente. I ruoli di servizio vengono visualizzati nell'IAMaccount e sono di proprietà dell'account. Ciò significa che un IAM amministratore può modificare le autorizzazioni per questo ruolo. Tuttavia, il farlo potrebbe pregiudicare la funzionalità del servizio.

Amazon Rekognition supporta i ruoli di servizio.

L'utilizzo di un ruolo di servizio può creare un problema di sicurezza in quanto Amazon Rekognition viene utilizzato per chiamare un altro servizio e agire su risorse a cui non dovrebbe avere accesso. Per tenere il tuo account al sicuro, dovrai limitare l'ambito di accesso di Amazon Rekognition alle sole risorse che stai utilizzando. Ciò può essere fatto associando una politica di fiducia al proprio ruolo di IAM servizio. Per informazioni su come fare, consulta Prevenzione del problema "confused deputy" tra servizi.

Scelta di un IAM ruolo in Amazon Rekognition

Quando configuri Amazon Rekognition per analizzare i video archiviati, devi scegliere un ruolo per consentire ad Amazon Rekognition di accedere ad Amazon per tuo conto. SNS Se hai creato in precedenza un ruolo di servizio o un ruolo collegato ai servizi, Amazon Rekognition fornisce un elenco di ruoli tra cui scegliere. Per ulteriori informazioni, consulta Configurazione di Video Amazon Rekognition.