Amazon Connect 是如何使用的 IAM

在使用IAM管理对 Amazon Connect 的访问权限之前，您应该了解哪些IAM功能可用于 Amazon Connect。要全面了解 Amazon Connect 和其他 AWS 服务的使用方式IAM，请参阅《IAM用户指南》IAM中的 “与之配合使用的AWS 服务”。

Amazon Connect 基于身份的策略

使用IAM基于身份的策略，您可以指定允许或拒绝的操作和资源，以及允许或拒绝操作的条件。Amazon Connect 支持特定的操作、资源和条件键。要了解您在JSON策略中使用的所有元素，请参阅IAM用户指南中的IAMJSON策略元素参考。

操作

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源执行操作，以及在什么条件下执行。

JSON策略Action元素描述了可用于在策略中允许或拒绝访问的操作。策略操作通常与关联的 AWS API操作同名。也有一些例外，例如没有匹配API操作的仅限权限的操作。还有一些操作需要在策略中执行多个操作。这些附加操作称为相关操作。

在策略中包含操作以授予执行关联操作的权限。

Amazon Connect 中的策略操作在操作前使用以下前缀：connect:。策略语句必须包含 Action 或 NotAction 元素。Amazon Connect 定义了一组自己的操作，以描述您可以使用该服务执行的任务。

要在单个语句中指定多项操作，请使用逗号将它们隔开，如下所示：

"Action": [
      "connect:action1",
      "connect:action2"

您也可以使用通配符 （*) 指定多个操作。例如，要指定以单词 Describe 开头的所有操作，包括以下操作：

"Action": "connect:Describe*"

要查看 Amazon Connect 操作的列表，请参阅 Amazon Connect 的操作、资源和条件键。

资源

Amazon Connect 支持资源级权限（在IAM策略ARN中指定资源）。以下是 Amazon Connect 资源列表：

• 实例

• 联系人

• 用户

• 路由配置文件

• 安全配置文件

• 层次结构组

• 队列

• 文件

• 流

• 操作小时数

• 电话号码

• 任务模板

• 客户资料域

• 客户资料对象类型

• 出站活动

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源执行操作，以及在什么条件下执行。

ResourceJSON策略元素指定要应用操作的一个或多个对象。语句必须包含 Resource 或 NotResource 元素。最佳做法是，使用资源的 Amazon 资源名称 (ARN) 指定资源。对于支持特定资源类型（称为资源级权限）的操作，您可以执行此操作。

对于不支持资源级权限的操作（如列出操作），请使用通配符 (*) 指示语句应用于所有资源。

"Resource": "*"

Amazon Connect 实例资源具有以下内容ARN：

arn:${Partition}:connect:${Region}:${Account}:instance/${InstanceId}

有关格式的更多信息ARNs，请参阅 Amazon 资源名称 (ARNs) 和 AWS 服务命名空间。

例如，要在语句中指定i-1234567890abcdef0实例，请使用以下命令ARN：

"Resource": "arn:aws:connect:us-east-1:123456789012:instance/i-1234567890abcdef0"

要指定属于特定账户的所有实例，请使用通配符 (*)：

"Resource": "arn:aws:connect:us-east-1:123456789012:instance/*"

无法对特定资源执行某些 Amazon Connect 操作，例如，用于创建资源的操作。在这些情况下，您必须使用通配符 （*)。

"Resource": "*"

许多 Amazon Connect; API 操作都涉及多个资源。例如，

要在单个语句中指定多个资源，请ARNs用逗号分隔。

"Resource": [
      "resource1",
      "resource2"

要查看 Amazon Connect 资源类型及其列表ARNs，请参阅 A mazon Connect 的操作、资源和条件密钥。同一篇文章介绍了您可以使用哪些操作来指定每ARN种资源。

条件键

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

在 Condition 元素（或 Condition 块）中，可以指定语句生效的条件。Condition 元素是可选的。您可以创建使用条件运算符（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。

如果您在一个语句中指定多个 Condition 元素，或在单个 Condition 元素中指定多个键，则 AWS 使用逻辑 AND 运算评估它们。如果您为单个条件键指定多个值，则使用逻辑OR运算来 AWS 评估条件。在授予语句的权限之前必须满足所有的条件。

在指定条件时，您也可以使用占位符变量。例如，只有在资源上标有IAM用户的用户名时，您才能向IAM用户授予访问该资源的权限。有关更多信息，请参阅《IAM用户指南》中的IAM策略元素：变量和标签。

AWS 支持全局条件密钥和特定于服务的条件密钥。要查看所有 AWS 全局条件键，请参阅《IAM用户指南》中的AWS 全局条件上下文密钥。

Amazon Connect 定义了一组自己的条件键，还支持使用一些全局条件键。要查看所有 AWS 全局条件键，请参阅IAM用户指南中的AWS 全局条件上下文密钥。

所有 Amazon EC2 操作都支持aws:RequestedRegion和ec2:Region条件键。有关更多信息，请参阅示例：限制对特定区域的访问。

要查看 Amazon Connect 条件键的列表，请参阅 Amazon Connect 的操作、资源和条件键。

示例

要查看 Amazon Connect 基于身份的策略的示例，请参阅Amazon Connect 基于身份的策略示例。

基于 Amazon Connect 标签的授权

您可以将标签附加到 Amazon Connect 资源，或者在请求中将标签传递给 Amazon Connect。要基于标签控制访问，您需要使用 connect:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 条件键在策略的条件元素中提供标签信息。

要查看基于身份的策略（用于根据资源上的标签来限制对该资源的访问）的示例，请参阅基于标签描述和更新 Amazon Connect 用户。

Amazon Connect IAM 角色

IAM角色是您的 AWS 账户中具有特定权限的实体。

将临时凭证用于 Amazon Connect

您可以使用临时证书通过联合身份登录、代入IAM角色或担任跨账户角色。您可以通过调用AssumeRole或之类的 AWS STS API操作来获取临时安全证书GetFederationToken。

Amazon Connect 支持使用临时凭证。

服务相关角色

服务相关角色允许 AWS 服务访问其他服务中的资源以代表您完成操作。服务相关角色显示在您的IAM账户中，并归服务所有。IAM管理员可以查看但不能编辑服务相关角色的权限。

Amazon Connect 支持服务相关角色。有关创建或管理 Amazon Connect 服务相关角色的详细信息，请参阅将服务相关角色用于 Amazon Connect。

在 Amazon Connect 中选择IAM角色

在 Amazon Connect 中创建资源时，必须选择一个角色才能允许 Amazon Connect 代表您访问亚马逊EC2。如果您之前已经创建了一个服务角色或服务相关角色，则 Amazon Connect 会为您提供一个角色列表供您选择。选择一个允许访问启动和停止 Amazon EC2 实例的角色非常重要。