Amazon Pinpoint 분석 데이터 쿼리를 위한 IAM 정책

Amazon Pinpoint API를 사용하면 Amazon Pinpoint 프로젝트, 캠페인, 여정에 적용되는 핵심 성능 지표(KPI)라고도 하는 표준 지표의 하위 집합에 대한 분석 데이터를 쿼리할 수 있습니다. 이러한 지표를 통해 프로젝트, 캠페인 및 여정의 성과를 모니터링하고 평가할 수 있습니다.

이 데이터에 대한 액세스를 관리하려면 데이터에 액세스할 권한이 있는 IAM 역할 또는 사용자에 대한 권한을 정의하는 AWS Identity and Access Management (IAM) 정책을 생성할 수 있습니다. 이 데이터에 대한 액세스를 세부적으로 제어할 수 있도록 Amazon Pinpoint에서는 IAM 정책에서 지정할 수 있는 여러 가지 고유한 작업을 제공합니다. Amazon Pinpoint 콘솔(mobiletargeting:GetReports)에서 분석 데이터를 보는 별도의 작업이 있으며 Amazon Pinpoint API를 사용하여 프로그래밍 방식으로 분석 데이터에 액세스하는 다른 작업이 있습니다.

분석 데이터에 대한 액세스를 관리하는 IAM 정책을 생성하려면 AWS Management Console, AWS CLI또는 IAM API를 사용할 수 있습니다. 참고로, AWS Management Console 의 시각적 편집기 탭에는 현재 Amazon Pinpoint 분석 데이터를 보거나 쿼리하기 위한 작업이 포함되어 있지 않습니다. 그러나 콘솔의 JSON 탭을 사용하여 IAM 정책에 필요한 작업을 수동으로 추가할 수 있습니다.

예를 들어 다음 정책은 모든 AWS 리전의 모든 프로젝트, 캠페인 및 여정에 대한 모든 분석 데이터에 프로그래밍 방식으로 액세스할 수 있도록 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryAllAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:*:accountId:apps/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

여기서 accountId는 AWS 계정 ID입니다.

하지만 가장 좋은 방법은 최소 권한의 원칙을 따르는 정책을 만드는 것입니다. 즉, 특정 작업을 수행하는 데 필요한 권한만 포함하는 정책을 만들어야 합니다. 이러한 관행을 지원하고 보다 세분화된 제어를 구현하기 위해 특정 AWS 리전의 특정 프로젝트에 대해서만 분석 데이터에 대한 프로그래밍 방식의 액세스를 제한할 수 있습니다. 예를 들면 다음과 같습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryProjectAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

위치:

• region은 프로젝트를 호스팅하는 AWS 리전의 이름입니다.

• accountId는 AWS 계정 ID입니다.

• projectId는 액세스 권한을 제공하려는 프로젝트의 식별자입니다.

마찬가지로 다음 예제 정책은 특정 캠페인의 분석 데이터에만 프로그래밍 방식으로 액세스할 수 있도록 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryCampaignAnalytics",
            "Effect": "Allow",
            "Action": "mobiletargeting:GetCampaignDateRangeKpi",
            "Resource": "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/campaignId/kpis/*"
        }
    ]
}

위치:

• region은 프로젝트를 호스팅하는 AWS 리전의 이름입니다.

• accountId는 AWS 계정 ID입니다.

• projectId는 캠페인과 연결된 프로젝트의 식별자입니다.

• campaignId는 액세스 권한을 제공하려는 캠페인의 식별자입니다.

다음 예제 정책은 특정 여정과 해당 여정을 구성하는 활동에 대한 모든 분석 데이터(참여 및 실행 데이터)에 프로그래밍 방식으로 액세스할 수 있도록 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryJourneyAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/activities/*/execution-metrics"
            ]
        }
    ]
}

위치:

• region은 프로젝트를 호스팅하는 AWS 리전의 이름입니다.

• accountId는 AWS 계정 ID입니다.

• projectId는 여정과 연결된 프로젝트의 식별자입니다.

• journeyId는 액세스 권한을 제공하려는 여정의 식별자입니다.

IAM 정책에서 사용할 수 있는 Amazon Pinpoint API 작업의 전체 목록은 IAM 정책에 대한 Amazon Pinpoint 작업 섹션을 참조하세요. IAM 정책 생성 및 관리에 대한 자세한 내용은 IAM 사용 설명서를 참조하세요.