亚马逊 EventBridge 和 AWS Identity and Access Management

要访问 Amazon EventBridge，您需要 AWS 可用于验证您的请求的凭证。您的证书必须具有访问 AWS 资源的权限，例如从其他 AWS 资源检索事件数据。以下各节详细介绍了如何使用 AWS Identity and Access Management (IAM)，以及 EventBridge 如何通过控制谁可以访问资源来帮助保护您的资源。

主题

• 身份验证
• 访问控制
• 管理对您的 Amazon EventBridge 资源的访问权限
• 为亚马逊使用基于身份的政策（IAM政策） EventBridge
• 为 Amazon 使用基于资源的政策 EventBridge
• 亚马逊的跨服务混淆了副手预防 EventBridge
• Amazon EventBridge 架构的基于资源的政策
• 亚马逊 EventBridge 权限参考
• 在 Amazon 中使用IAM政策条件 EventBridge
• 将服务相关角色用于 EventBridge

身份验证

您可以 AWS 作为以下任何类型的身份进行访问：

• AWS 账户 root 用户 — 注册时 AWS，您需要提供与您的帐户关联的电子邮件地址和密码。这些是您的根证书，可让您完全访问您的所有 AWS 资源。

  重要

  出于安全考虑，我们建议您仅使用根证书来创建管理员，即对您的账户拥有完全权限的IAM用户。随后，您可以使用此管理员来创建具有有限权限的其他 用户和角色。有关更多信息，请参阅《用户指南》中的IAM最佳实践和创建管理员IAM用户和群组。

• IAM用户-IAM用户是您账户中具有特定权限的身份，例如，向中的目标发送事件数据的权限 EventBridge。您可以使用IAM登录凭据登录安全 AWS 网页，例如AWS Management Console、AWS 讨论论坛或中心。AWS Support

  除了登录凭证之外，还可以为每个用户生成访问密钥。在以编程方式访问 AWS 服务时，您可以使用这些密钥对请求进行加密签名，方法是通过其中一个密钥SDKs或使用 AWS Command Line Interface ()AWS CLI。如果您不使用 AWS 工具，则必须使用签名版本 4（一种用于对入站请求进行身份验证的协议）亲自签署API请求。有关验证请求的更多信息，请参阅《Amazon Web Services 一般参考》 中的签名版本 4 签名流程。

• IAM角色-IAM角色是您可以在账户中创建的具有特定权限的另一个IAM身份。它与IAM用户类似，但与特定人员无关。使用IAM角色，您可以获取临时访问密钥以访问 AWS 服务和资源。IAM具有临时证书的角色在以下情况下很有用：

  • 联合用户访问权限-您可以使用来自 AWS Directory Service企业用户目录或 Web 身份提供商 (IdP) 的身份，而不是创建用户。这些用户被称为联合用户。 AWS 当联合用户通过身份提供商请求访问权限时，将角色分配给该用户。有关联合用户的更多信息，请参阅《用户指南》中的联合IAM用户和角色。

  • 跨账户访问权限-您可以使用账户中的IAM角色向其他账户授予访问您账户资源的权限。有关示例，请参阅《IAM用户指南》中的教程：使用IAM角色委派跨 AWS 账户访问权限。

  • AWS 服务访问权限 — 您可以使用账户中的IAM角色向 AWS 服务授予访问您账户资源的权限。例如，您可以创建一个角色，允许 Amazon Redshift 将存储在一个 Amazon S3 桶中的数据加载到一个 Amazon Redshift 集群中。有关更多信息，请参阅《IAM用户指南》中的创建角色以向 AWS 服务委派权限。

  • 在亚马逊上运行的EC2应用程序 EC2-对于需要访问的亚马逊应用程序 EventBridge，您可以将访问密钥存储在EC2实例中，也可以使用IAM角色来管理临时证书。要为EC2实例分配 AWS 角色，您需要创建附加到该实例的实例配置文件。实例配置文件包含该角色，它为在EC2实例上运行的应用程序提供临时证书。有关更多信息，请参阅IAM用户指南EC2中的在 Amazon 上使用应用程序的角色。

访问控制

要创建或访问 EventBridge 资源，您需要有效的证书和权限。例如，要调用 AWS Lambda亚马逊简单通知服务 (AmazonSNS) 和亚马逊简单队列服务 (AmazonSQS) 目标，您必须拥有这些服务的权限。