Amazon VPC Lattice 基于身份的策略 - Amazon VPC Lattice

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon VPC Lattice 基于身份的策略

默认情况下,用户和角色没有创建或修改 VPC Lattice 资源的权限。他们也无法使用 AWS Management Console、 AWS Command Line Interface (AWS CLI) 或 AWS API 执行任务。要授予用户对所需资源执行操作的权限,IAM 管理员可以创建 IAM policy。管理员随后可以向角色添加 IAM 策略,用户可以代入角色。

要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略,请参阅 IAM 用户指南中的 创建 IAM 策略

有关 VPC Lattice 定义的操作和资源类型的详细信息,包括每种资源类型的 ARN 格式,请参阅《服务授权参考》中的 Amazon VPC Lattice 的操作、资源和条件键

策略最佳实践

基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 VPC Lattice 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时,请遵循以下指南和建议:

  • 开始使用 AWS 托管策略并转向最低权限权限 — 要开始向用户和工作负载授予权限,请使用为许多常见用例授予权限的AWS 托管策略。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息,请参阅《IAM 用户指南》中的 AWS 托管策略工作职能的AWS 托管策略

  • 应用最低权限 – 在使用 IAM policy 设置权限时,请仅授予执行任务所需的权限。为此,您可以定义在特定条件下可以对特定资源执行的操作,也称为最低权限许可。有关使用 IAM 应用权限的更多信息,请参阅《IAM 用户指南》中的 IAM 中的策略和权限

  • 使用 IAM policy 中的条件进一步限制访问权限 – 您可以向策略添加条件来限制对操作和资源的访问。例如,您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的,则也可以使用条件来授予对服务操作的访问权限 AWS 服务,例如 AWS CloudFormation。有关更多信息,请参阅《IAM 用户指南》中的 IAM JSON 策略元素:条件

  • 使用 IAM Access Analyzer 验证您的 IAM policy,以确保权限的安全性和功能性 – IAM Access Analyzer 会验证新策略和现有策略,以确保策略符合 IAM policy语言 (JSON) 和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议,以帮助您制定安全且功能性强的策略。有关更多信息,请参阅《IAM 用户指南》中的 IAM Acess Analyzer 策略验证

  • 需要多重身份验证 (MFA)-如果 AWS 账户您的场景需要 IAM 用户或根用户,请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA,请将 MFA 条件添加到您的策略中。有关更多信息,请参阅《IAM 用户指南》中的 配置受 MFA 保护的 API 访问

有关 IAM 中的最佳实操的更多信息,请参阅《IAM 用户指南》中的 IAM 中的安全最佳实操

完全访问所需的额外权限

要使用与VPC Lattice集成的其他 AWS 服务以及整套VPC Lattice功能,您必须拥有特定的额外权限。这些权限不包括在 VPCLatticeFullAccess 托管策略中,因为存在混淆代理权限升级风险。

您必须将以下策略附加到您的角色,并与 VPCLatticeFullAccess 托管策略一起使用。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "firehose:TagDeliveryStream", "lambda:AddPermission", "s3:PutBucketPolicy" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "logs:PutResourcePolicy" ], "Resource": "*", "Condition": { "ForAnyValue:StringEquals": { "aws:CalledVia": [ "vpc-lattice.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": [ "iam:AttachRolePolicy", "iam:PutRolePolicy" ], "Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice" }, { "Effect": "Allow", "Action": [ "iam:AttachRolePolicy", "iam:PutRolePolicy" ], "Resource": "arn:aws:iam::*:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery*" } ] }

本策略提供以下额外权限:

  • iam:AttachRolePolicy:允许您将指定的托管策略附加到指定的 IAM 角色。

  • iam:PutRolePolicy:允许您添加或更新嵌入在指定的 IAM 角色中的内联策略文档。

  • s3:PutBucketPolicy:允许您将存储桶策略应用于 Amazon S3 存储桶。

  • firehose:TagDeliveryStream:允许您为 Firehose 传输流添加或更新标签。

VPC Lattice 基于身份的策略示例

管理 VPC 与服务网络的关联

以下示例演示了一个策略,该策略授予使用此策略的用户创建、更新和删除服务网络的 VPC 关联的权限,但仅限于条件中指定的 VPC 和服务网络。有关指定条件密钥的更多信息,请参阅 VPC Lattice 的策略条件键

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "vpc-lattice:CreateServiceNetworkVpcAssociation", "vpc-lattice:UpdateServiceNetworkVpcAssociation", "vpc-lattice:DeleteServiceNetworkVpcAssociation" ], "Resource": [ "*" ], "Condition": { "StringEquals": { "vpc-lattice:ServiceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example", "vpc-lattice:VpcId": "vpc-1a2b3c4d" } } } ] }

创建与服务网络的服务关联

如果您不使用条件键来控制对 VPC Lattice 资源的访问,则可以在 Resource 元素中指定资源 ARN 来控制访问。

以下示例演示了一个策略,该策略将服务关联限制为,使用此策略的用户可通过指定用于 CreateServiceNetworkServiceAssociation API 操作的服务和服务网络的 ARN,来创建服务网络。有关指定 ARN 值的详细信息,请参阅 VPC Lattice 的策略资源

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "vpc-lattice:CreateServiceNetworkServiceAssociation" ], "Resource": [ "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetworkserviceassociation/*", "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-04d5cc9b88example", "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example" ] } ] }

向资源添加标签

以下示例演示了一个策略,该策略授予使用此策略的用户在 VPC Lattice 资源上创建标签的权限。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "vpc-lattice:TagResource" ], "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:*/*" } ] }

创建服务相关角色

当您的任何用户首次创建 VPC Lattice 资源时, AWS 账户 VPC Lattice 都需要权限才能创建服务相关角色。如果服务相关角色尚不存在,VPC Lattice 会在您的账户中创建此角色。服务相关角色向 VPC Lattice 授予权限,使其可以 AWS 服务 代表您呼叫其他人。

为使自动角色创建操作成功,用户必须具有 iam:CreateServiceLinkedRole 操作的权限。

"Action": "iam:CreateServiceLinkedRole"

以下示例演示了一个策略,该策略授予使用此策略的用户为 VPC Lattice 创建服务相关角色的权限。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice", "Condition": { "StringLike": { "iam:AWSServiceName":"vpc-lattice.amazonaws.com" } } } ] }