AWS IoT SiteWise ID 기반 정책

IAM정책을 통해 누가 무엇을 할 수 있는지 제어할 수 AWS IoT SiteWise있습니다. 어떤 작업을 허용할지 여부를 결정하고 이러한 작업에 대한 특정 조건을 설정할 수 있습니다. 예를 들어 정보를 보거나 변경할 수 있는 사람에 대한 규칙을 만들 수 AWS IoT SiteWise있습니다. AWS IoT SiteWise 특정 작업, 리소스 및 조건 키를 지원합니다. JSON정책에서 사용하는 모든 요소에 대해 알아보려면 사용 IAM설명서의 IAMJSON정책 요소 참조를 참조하십시오.

정책 작업

관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 보안 주체가 어떤 리소스와 어떤 조건에서 작업을 수행할 수 있는지를 지정할 수 있습니다.

정책 Action 요소는 JSON 정책에서 액세스를 허용하거나 거부하는 데 사용할 수 있는 작업을 설명합니다. 정책 작업은 일반적으로 관련 AWS API 작업과 이름이 같습니다. 일치하는 작업이 없는 권한 전용 작업과 같은 몇 가지 예외가 있습니다. API 정책에서 여러 작업이 필요한 몇 가지 작업도 있습니다. 이러한 추가 작업을 일컬어 종속 작업이라고 합니다.

연결된 작업을 수행할 수 있는 권한을 부여하기 위한 정책에 작업을 포함하십시오.

정책 조치는 조치 앞에 다음 접두사를 AWS IoT SiteWise 사용합니다. iotsitewise: 예를 들어, 누군가에게 AWS IoT SiteWise 작업과 함께 자산 자산 데이터를 업로드할 수 있는 권한을 부여하려면 해당 BatchPutAssetPropertyValue API 작업을 정책에 포함해야 합니다. iotsitewise:BatchPutAssetPropertyValue 정책 설명에는 Action OR NotAction 요소가 포함되어야 합니다. AWS IoT SiteWise 이 서비스로 수행할 수 있는 작업을 설명하는 고유한 작업 집합을 정의합니다.

명령문 하나에 여러 작업을 지정하려면 다음과 같이 쉼표로 구분합니다.

"Action": [
  "iotsitewise:action1",
  "iotsitewise:action2"
]

와일드카드(*)를 사용하여 여러 작업을 지정할 수 있습니다. 예를 들어, Describe라는 단어로 시작하는 모든 작업을 지정하려면 다음 작업을 포함합니다.

"Action": "iotsitewise:Describe*"

AWS IoT SiteWise 작업 목록을 보려면 IAM사용 설명서의 정의된 AWS IoT SiteWise작업을 참조하십시오.

BatchPutAssetPropertyValue 권한 부여

AWS IoT SiteWise 특이한 방식으로 BatchPutAssetPropertyValue작업에 대한 액세스를 승인합니다. 대부분의 작업에서 액세스를 허용하거나 거부할 때 권한이 부여되지 않은 경우 해당 작업은 오류를 반환합니다. 를 사용하면 단일 API 요청으로 BatchPutAssetPropertyValue 여러 데이터 항목을 여러 자산 및 자산 속성에 보낼 수 있습니다. AWS IoT SiteWise 각 데이터 입력을 독립적으로 승인합니다. 요청에서 권한 부여에 실패한 개별 항목의 경우 반환된 오류 목록에 를 AWS IoT SiteWise 포함하십시오. AccessDeniedException AWS IoT SiteWise 동일한 요청에서 다른 항목이 실패하더라도 권한을 부여하고 성공한 모든 항목의 데이터를 수신합니다.

중요

데이터를 데이터 스트림으로 인제스트하기 전에 다음을 수행하십시오.

• 속성 별칭을 사용하여 데이터 스트림을 식별하는 경우 time-series 리소스를 승인하십시오.

• 자산 ID를 사용하여 관련 자산 속성이 포함된 자산을 식별하는 경우 asset 리소스를 승인하십시오.

정책 리소스

관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 보안 주체가 어떤 리소스와 어떤 조건에서 작업을 수행할 수 있는지를 지정할 수 있습니다.

ResourceJSON정책 요소는 작업이 적용되는 하나 또는 여러 개의 객체를 지정합니다. 문장에는 Resource또는 NotResource요소가 반드시 추가되어야 합니다. Amazon 리소스 이름 (ARN) 을 사용하여 리소스를 지정하는 것이 가장 좋습니다. 리소스 수준 권한이라고 하는 특정 리소스 유형을 지원하는 작업에 대해 이 태스크를 수행할 수 있습니다.

작업 나열과 같이 리소스 수준 권한을 지원하지 않는 작업의 경우, 와일드카드(*)를 사용하여 해당 문이 모든 리소스에 적용됨을 나타냅니다.

"Resource": "*"

각 IAM 정책 설명은 해당 정책을 사용하여 지정하는 리소스에 적용됩니다ARNs. ARNAn에는 다음과 같은 일반 구문이 있습니다.

arn:${Partition}:${Service}:${Region}:${Account}:${ResourceType}/${ResourcePath}

형식에 대한 자세한 내용은 Amazon 리소스 이름 (ARNs) 및 AWS 서비스 네임스페이스를 참조하십시오. ARNs

예를 들어 a1b2c3d4-5678-90ab-cdef-22222EXAMPLE 명세서에 ID가 있는 자산을 지정하려면 다음을 사용하십시오. ARN ;

"Resource": "arn:aws:iotsitewise:region:123456789012:asset/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE"

특정 계정에 속하는 모든 데이터 스트림을 지정하려면 와일드카드(*)를 사용합니다.

"Resource": "arn:aws:iotsitewise:region:123456789012:time-series/*"

특정 계정에 속하는 모든 자산을 지정하려면 와일드카드(*)를 사용합니다.

"Resource": "arn:aws:iotsitewise:region:123456789012:asset/*"

리소스 생성 작업과 같은 일부 AWS IoT SiteWise 작업은 특정 리소스에서 수행할 수 없습니다. 이러한 경우, 와일드카드(*)를 사용해야 합니다.

"Resource": "*"

명령문 하나에 여러 리소스를 지정하려면 ARNs 쉼표로 구분하세요.

"Resource": [
  "resource1",
  "resource2"
]

AWS IoT SiteWise 리소스 유형 및 해당 ARNs 유형의 목록을 보려면 IAM사용 설명서의 리소스 정의 기준을 참조하십시오. AWS IoT SiteWise각 리소스에 어떤 작업을 지정할 수 있는지 알아보려면 작업 정의 기준을 참조하십시오 AWS IoT SiteWise. ARN

정책 조건 키

관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 보안 주체가 어떤 리소스와 어떤 조건에서 작업을 수행할 수 있는지를 지정할 수 있습니다.

Condition 요소(또는 Condition 블록)를 사용하면 정책이 발효되는 조건을 지정할 수 있습니다. Condition 요소는 옵션입니다. 같거나 작음과 같은 조건 연산자를 사용하여 정책의 조건을 요청의 값과 일치시키는 조건식을 생성할 수 있습니다.

한 문에서 여러 Condition 요소를 지정하거나 단일 Condition 요소에서 여러 키를 지정하는 경우, AWS 는 논리적 AND 태스크를 사용하여 평가합니다. 단일 조건 키에 여러 값을 지정하는 경우 는 논리적 OR 연산을 사용하여 조건을 AWS 평가합니다. 명문의 권한을 부여하기 전에 모든 조건을 충족해야 합니다.

조건을 지정할 때 자리 표시자 변수를 사용할 수도 있습니다. 예를 들어 리소스에 IAM 사용자 이름이 태그가 지정된 경우에만 리소스에 대한 액세스 권한을 IAM 사용자에게 부여할 수 있습니다. 자세한 내용은 IAM사용 설명서의 IAM 정책 요소: 변수 및 태그를 참조하십시오.

AWS 글로벌 조건 키 및 서비스별 조건 키를 지원합니다. 모든 AWS 글로벌 조건 키를 보려면 IAM사용 설명서의AWS 글로벌 조건 컨텍스트 키를 참조하십시오.

중요

대부분의 조건 키는 리소스에만 적용되며 일부 API 작업은 여러 리소스를 사용합니다. 조건 키로 정책 설명문을 작성하려면 설명문의 Resource 요소를 사용해 조건 키가 적용되는 리소스를 지정합니다. 그렇게 하지 않으면, 조건 키가 해당되지 않는 리소스에 대해서는 조건 검사가 실패하여 정책이 사용자로 하여금 작업을 전혀 수행하지 못하게 막을 수도 있습니다. 리소스를 지정하고 싶지 않거나 여러 API 작업을 포함하도록 정책 Action 요소를 작성한 경우에는 ...IfExists 조건 유형을 사용하여 조건 키를 사용하지 않는 리소스에 대해서는 조건 키를 무시해야 합니다. 자세한 내용은... 을 참조하십시오. IfExists IAM사용 설명서의 조건.

AWS IoT SiteWise 자체 조건 키 세트를 정의하며 일부 글로벌 조건 키 사용도 지원합니다. 모든 AWS 글로벌 조건 키를 보려면 IAM사용 설명서의 AWS 글로벌 조건 컨텍스트 키를 참조하십시오.

AWS IoT SiteWise 조건 키
조건 키	설명	타입
iotsitewise:isAssociatedWithAssetProperty	데이터 스트림이 자산 속성과 연결되어 있는지 여부입니다. 이 조건 키를 사용하여 데이터 스트림에 대한 관련 자산 속성의 존재 여부에 따라 권한을 정의할 수 있습니다. 예제 값: true	String
iotsitewise:assetHierarchyPath	에셋의 계층 구조 경로. IDs 각 에셋은 슬래시로 구분된 에셋 문자열입니다. 이 조건 키를 사용하여 계정에 있는 모든 자산의 계층 구조 하위 집합을 기반으로 권한을 정의할 수 있습니다. 예제 값: /a1b2c3d4-5678-90ab-cdef-22222EXAMPLE/a1b2c3d4-5678-90ab-cdef-66666EXAMPLE	String
iotsitewise:propertyId	자산 속성의 ID입니다. 자산 모델의 지정된 속성을 기반으로 사용 권한을 정의하려면 이 조건 키를 사용합니다. 이 조건 키는 해당 모델의 모든 자산에 적용됩니다. 예제 값: a1b2c3d4-5678-90ab-cdef-33333EXAMPLE	String
iotsitewise:childAssetId	다른 자산에 대한 하위 자산으로 연결된 자산 ID입니다. 이 조건 키를 사용하여 하위 자산을 기반으로 사용 권한을 정의합니다. 상위 자산을 기반으로 권한을 정의하려면 정책 설명의 리소스 섹션을 사용합니다. 예제 값: a1b2c3d4-5678-90ab-cdef-66666EXAMPLE	String
iotsitewise:iam	액세스 정책을 나열할 때의 IAM ID. ARN 이 조건 키를 사용하여 IAM ID에 대한 액세스 정책 권한을 정의합니다. 예제 값: arn:aws:iam::123456789012:user/JohnDoe	String, Null
iotsitewise:propertyAlias	자산 속성 또는 데이터 스트림을 식별하는 별칭입니다. 이 조건 키를 사용하여 별칭을 기반으로 사용 권한을 정의합니다.	String
iotsitewise:user	액세스 정책을 나열할 때 IAM 아이덴티티 센터 사용자의 ID. 이 조건 키를 사용하여 IAM Identity Center 사용자에 대한 액세스 정책 권한을 정의합니다. 예제 값: a1b2c3d4e5-a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE	String, Null
iotsitewise:group	액세스 정책을 나열할 때 사용한 IAM ID 센터 그룹의 ID. 이 조건 키를 사용하여 IAM Identity Center 그룹에 대한 액세스 정책 권한을 정의합니다. 예제 값: a1b2c3d4e5-a1b2c3d4-5678-90ab-cdef-bbbbbEXAMPLE	String, Null
iotsitewise:portal	액세스 정책의 포털 ID입니다. 포털을 기반으로 액세스 정책 권한을 정의하려면 이 조건 키를 사용합니다. 예제 값: a1b2c3d4-5678-90ab-cdef-77777EXAMPLE	String, Null
iotsitewise:project	액세스 정책의 프로젝트 ID 또는 대시보드에 대한 프로젝트 ID입니다. 이 조건 키를 사용하여 프로젝트를 기반으로 대시보드 또는 액세스 정책 권한을 정의할 수 있습니다. 예제 값: a1b2c3d4-5678-90ab-cdef-88888EXAMPLE	String, Null

조건 키를 사용할 수 있는 작업 및 리소스에 대해 알아보려면 작업 정의 기준을 참조하십시오 AWS IoT SiteWise.

예시

AWS IoT SiteWise ID 기반 정책의 예를 보려면 을 참조하십시오. AWS IoT SiteWise ID 기반 정책 예제