Amazon 的基於身份的政策示例 GameLift

依預設，使用者和角色沒有建立或修改 Amazon GameLift 資源的權限。他們也無法使用 AWS Management Console、 AWS Command Line Interface (AWS CLI) 或執行工作 AWS API。若要授與使用者對所需資源執行動作的權限，IAM管理員可以建立IAM策略。然後，系統管理員可以將IAM原則新增至角色，使用者可以擔任這些角色。

若要瞭解如何使用這些範例原則文件來建立以IAM身分識別為基礎的JSON策略，請參閱使用指南中的IAM建立IAM策略。

如需 Amazon 定義的動作和資源類型的詳細資訊 GameLift，包括每種資源類型的格式，請參閱服務授權參考 GameLift中適用於 Amazon 的動作、資源和條件金鑰。ARNs

政策最佳實務

以身分識別為基礎的政策決定某人是否可以在您的帳戶中建立、存取或刪除 Amazon GameLift 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

• 開始使用 AWS 受管原則並邁向最低權限權限 — 若要開始授與使用者和工作負載的權限，請使用可授與許多常見使用案例權限的AWS 受管理原則。它們在您的 AWS 帳戶. 建議您透過定義特定於您使用案例的 AWS 客戶管理政策，進一步降低使用權限。如需詳細資訊，請參閱AWS 《IAM使用指南》中針對工作職能的AWS 受管理策略或受管理的策略。

• 套用最低權限權限 — 當您使用原則設定權限時，IAM只授與執行工作所需的權限。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊，請參閱《使用指南》IAM中的IAM《策略與權限》。

• 使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件，以指定必須使用傳送所有要求SSL。您也可以使用條件來授與對服務動作的存取權 (如透過特定) 使用這些動作 AWS 服務，例如 AWS CloudFormation。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。

• 使用 IAM Access Analyzer 驗證您的原IAM則，以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則，以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可行的建議，協助您撰寫安全且功能正常的原則。如需詳細資訊，請參閱IAM使IAM用指南中的存取分析器原則驗證。

• 需要多因素驗證 (MFA) — 如果您的案例需要使IAM用者或 root 使用者 AWS 帳戶，請開啟以取得額外MFA的安全性。若要在呼叫API作業MFA時需要，請在原則中新增MFA條件。如需詳細資訊，請參閱《IAM使用指南》中的 ＜ 設定MFA受保護的API存取 ＞。

如需中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

使用 Amazon GameLift 控制台

若要存取 Amazon GameLift 主控台，您必須擁有最少一組許可。這些許可必須允許您列出和檢視有關 AWS 帳戶. GameLift 如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。

為確保這些實體仍然可以使用 Amazon GameLift 主控台，請使用以下範例和中的語法向使用者和群組新增許可管理員權限範例。如需詳細資訊，請參閱 管理 Amazon 的用戶許可 GameLift。

GameLift 透過 Amazon AWS CLI 或作 AWS API業使用的使用者不需要最低主控台許可。相反地，您可以限制只存取使用者需要執行的作業。例如，代表遊戲客戶端行事的玩家用戶需要訪問以請求遊戲會話，將玩家放入遊戲以及其他任務。

如需使用所有 Amazon GameLift 主控台功能所需許可的相關資訊，請參閱中的管理員的許可語法管理員權限範例。

允許使用者檢視他們自己的許可

此範例顯示如何建立原則，讓使IAM用者檢視附加至其使用者身分識別的內嵌和受管理原則。此原則包含在主控台上或以程式設計方式使用或完成此動作的 AWS CLI 權限 AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

允許玩家存取遊戲工作階段

若要將玩家置於遊戲工作階段中，遊戲用戶端和後端服務需要權限。如需這些案例的原則範例，請參閱玩家使用者權限範例。

允許訪問一個 Amazon GameLift 隊列

下列範例提供使用者存取特定 Amazon GameLift 佇列的權限。

此原則會透過下列動作授與使用者新增、更新和刪除佇列目的地的權限：gamelift:UpdateGameSessionQueuegamelift:DeleteGameSessionQueue、和gamelift:DescribeGameSessionQueues。如圖所示，此原則會使用Resource元素來限制對單一佇列的存取：gamesessionqueue/examplequeue123。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ViewSpecificQueueInfo",
         "Effect":"Allow",
         "Action":[
            "gamelift:DescribeGameSessionQueues"
         ],
         "Resource":"arn:aws:gamelift:::gamesessionqueue/examplequeue123"
      },
      {
         "Sid":"ManageSpecificQueue",
         "Effect":"Allow",
         "Action":[
            "gamelift:UpdateGameSessionQueue",
            "gamelift:DeleteGameSessionQueue"
         ],
         "Resource":"arn:aws:gamelift:::gamesessionqueue/examplequeue123"
      }
   ]
}

根據標籤查看 Amazon GameLift 車隊

您可以使用身分型政策中的條件，根據標籤控制對 Amazon GameLift 資源的存取。此範例顯示如何建立原則，以便在Owner標籤與使用者的使用者名稱相符時檢視叢集。此原則也會授與在主控台中完成此作業所需的權限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListFleetsInConsole",
            "Effect": "Allow",
            "Action": "gamelift:ListFleets",
            "Resource": "*"
        },
        {
            "Sid": "ViewFleetIfOwner",
            "Effect": "Allow",
            "Action": "gamelift:DescribeFleetAttributes",
            "Resource": "arn:aws:gamelift:*:*:fleet/*",
            "Condition": {
                "StringEquals": {"gamelift:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

在 Amazon S3 中訪問遊戲構建文件

將遊戲伺服器與亞馬遜整合後 GameLift，請將建置檔案上傳到 Amazon S3。對於 Amazon GameLift 訪問構建文件，請使用以下策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket-name/object-name"
        }
    ]
}

如需上傳 Amazon GameLift 遊戲檔案的詳細資訊，請參閱將自訂伺服器組建上傳到亞馬遜 GameLift。