Politiques de circulation et déclarations de politique

Une politique de trafic fournit un filtrage semblable à un pare-feu pour le trafic SMTP (Simple Mail Transfer Protocol) entrant sur un terminal d'entrée. Avec une politique de trafic, vous protégez le point de terminaison d'entrée et les systèmes de messagerie en aval en autorisant ou en rejetant les destinataires avant que les messages acceptés ne soient traités par un ensemble de règles.

Chaque déclaration de politique vérifie les informations disponibles lors de la réception d'un e-mail, telles que l'adresse du destinataire, l'adresse IPv4 ou IPv6 de l'expéditeur, la version TLS (Transport Layer Security), l'appartenance à la liste d'adresses ou le résultat d'un ajout d'e-mail. Une instruction correspondante applique un ALLOW ou DENY action. Vous pouvez également définir une taille de message maximale en octets lorsque vous créez ou mettez à jour la politique de trafic. Utilisez ce paramètre pour empêcher les messages dont la taille est supérieure à celle que vos systèmes de messagerie en aval peuvent accepter ou traiter d'entrer dans le traitement par ensembles de règles.

Un point de terminaison d'entrée fait référence à une politique de trafic et à un ensemble de règles. La politique de trafic vérifie chaque destinataire avant que l'ensemble de règles ne traite le message. Si le destinataire est accepté et que la taille du message est inférieure à la taille maximale, Mail Manager transmet le message à l'ensemble de règles. Une politique de trafic est réutilisable et peut être attribuée à plusieurs points de terminaison d'entrée.

Vous définissez des déclarations de politique lorsque vous créez ou mettez à jour la politique de trafic. Les déclarations de politique ne constituent pas des ressources distinctes.

Comment fonctionne l'évaluation de la politique de trafic

Une politique de trafic contient une ou plusieurs déclarations de politique. Chaque déclaration comporte une action et une ou plusieurs conditions. Chaque condition contient une expression. Les expressions de chaîne et IP contiennent une ou plusieurs valeurs de comparaison.

Comment les éléments de la politique de trafic se combinent

Toute valeur répertoriée peut faire correspondre une expression. Chaque condition doit correspondre avant que sa déclaration ne corresponde. Toute déclaration comportant la même action peut correspondre. Le schéma suivant montre comment ces niveaux sont connectés :

Lisez le schéma suivant de gauche à droite. Dans le premier panneau, l'un ou l'autre des suffixes du destinataire fait correspondre l'expression. Dans le second panneau, l'adresse IP de l'expéditeur et les conditions du destinataire doivent toutes deux correspondre. Dans le troisième panneau, soit ALLOW la déclaration peut correspondre.

Toute valeur répertoriée peut faire correspondre une expression. Chaque condition doit correspondre avant que sa déclaration ne corresponde. Toute déclaration comportant la même action peut correspondre. La politique évalue DENY déclarations antérieures ALLOW instructions, puis applique l'action par défaut si nécessaire.

La politique de trafic évalue DENY déclarations d'abord. Un match rejette le destinataire. Si aucune ne correspond et que l'action par défaut est ALLOW, l'action par défaut accepte le destinataire sans évaluer ALLOW déclarations. Si l'action par défaut est DENY, la politique évalue ALLOW déclarations. Le premier match accepte le destinataire. Si aucune ne correspond, la valeur par défaut DENY action rejette le destinataire. Le schéma suivant montre ces branches :

Combiner des éléments de politique

Toutes les valeurs répertoriées peuvent correspondre. Avec EQUALS, STARTS_WITH, ENDS_WITH, CONTAINS, ou CIDR_MATCHES, une expression correspond lorsque la valeur en cours de vérification correspond à au moins une entrée du Values liste. Dans l'exemple suivant, mary_major@example.com et mary_major@example.org les deux correspondent à :

{
  "StringExpression": {
    "Evaluate": {"Attribute": "RECIPIENT"},
    "Operator": "ENDS_WITH",
    "Values": ["@example.com", "@example.org"]
  }
}

Avec NOT_EQUALS ou NOT_CIDR_MATCHES, une expression correspond uniquement lorsque la valeur en cours de vérification ne correspond à aucune des valeurs répertoriées.

Toutes les conditions d'une déclaration doivent correspondre. L'action de la déclaration ne s'applique que lorsque toutes ses conditions sont remplies. L'instruction suivante autorise un destinataire uniquement lorsque celui-ci est en 192.0.2.0/24 et l'adresse du destinataire se termine par @example.com:

{
  "Action": "ALLOW",
  "Conditions": [
    {
      "IpExpression": {
        "Evaluate": {"Attribute": "SENDER_IP"},
        "Operator": "CIDR_MATCHES",
        "Values": ["192.0.2.0/24"]
      }
    },
    {
      "StringExpression": {
        "Evaluate": {"Attribute": "RECIPIENT"},
        "Operator": "ENDS_WITH",
        "Values": ["@example.com"]
      }
    }
  ]
}

Une correspondance sur n'importe quelle déclaration comportant la même action est suffisante. Les relevés sont vérifiés dans leur ordre de politique. La première instruction correspondante applique son action, et les instructions suivantes avec cette action ne sont pas vérifiées. Dans l'exemple suivant, soit mary_major@example.com ou sofia_martinez@example.com correspond à un ALLOW déclaration :

{
  "DefaultAction": "DENY",
  "PolicyStatements": [
    {
      "Action": "ALLOW",
      "Conditions": [{
        "StringExpression": {
          "Evaluate": {"Attribute": "RECIPIENT"},
          "Operator": "EQUALS",
          "Values": ["mary_major@example.com"]
        }
      }]
    },
    {
      "Action": "ALLOW",
      "Conditions": [{
        "StringExpression": {
          "Evaluate": {"Attribute": "RECIPIENT"},
          "Operator": "EQUALS",
          "Values": ["sofia_martinez@example.com"]
        }
      }]
    }
  ]
}

{
  "Action": "ALLOW",
  "Conditions": [{
    "BooleanExpression": {
      "Evaluate": {
        "IsInAddressList": {
          "Attribute": "RECIPIENT",
          "AddressLists": ["arn:aws:ses:us-east-1:123456789012:mailmanager-address-list/al-0123456789abcdef"]
        }
      },
      "Operator": "IS_TRUE"
    }
  }]
}

Évaluer les déclarations de politique dans l'ordre

La politique de trafic applique la logique de valeur et de condition décrite dans Combiner des éléments de politique. Pour chaque destinataire SMTP, il évalue les instructions dans l'ordre suivant :

Examiner des exemples d'évaluation

Les fragments JSON suivants incluent uniquement les champs nécessaires pour afficher le comportement d'évaluation.

La politique suivante utilise une valeur par défaut DENY action avec DENY déclaration et ALLOW déclaration :

{
  "DefaultAction": "DENY",
  "PolicyStatements": [
    {
      "Action": "DENY",
      "Conditions": [{
        "StringExpression": {
          "Evaluate": {"Attribute": "RECIPIENT"},
          "Operator": "EQUALS",
          "Values": ["mary_major@example.com"]
        }
      }]
    },
    {
      "Action": "ALLOW",
      "Conditions": [{
        "StringExpression": {
          "Evaluate": {"Attribute": "RECIPIENT"},
          "Operator": "ENDS_WITH",
          "Values": ["@example.com"]
        }
      }]
    }
  ]
}

La politique suivante utilise une valeur par défaut ALLOW action avec DENY déclaration :

{
  "DefaultAction": "ALLOW",
  "PolicyStatements": [{
    "Action": "DENY",
    "Conditions": [{
      "IpExpression": {
        "Evaluate": {"Attribute": "SENDER_IP"},
        "Operator": "CIDR_MATCHES",
        "Values": ["192.0.2.0/24"]
      }
    }]
  }]
}

Un expéditeur dans 192.0.2.0/24 correspond à DENY déclaration et est rejetée. Si l'expéditeur se trouve en dehors de cette plage, non DENY les correspondances entre les instructions et la valeur par défaut ALLOW action accepte le destinataire.

Définition de la taille maximale des messages

Spécifiez la taille maximale des messages en octets lorsque vous créez ou mettez à jour la politique de trafic. Ce paramètre est distinct de la mise en correspondance des déclarations de politique. Un message supérieur à cette limite est rejeté avant d'être transmis à l'ensemble de règles. Définissez la limite en fonction de ce que vos systèmes de messagerie en aval peuvent stocker et traiter.

Par exemple, 31457280 octets correspondent à 30 mébioctets (MiB), calculés comme 30 multiplié par 1 024 multiplié par 1 024. Si vous définissez la taille maximale des messages sur 31457280, la politique de trafic rejette les messages supérieurs à 30 Mo.

Comprendre les frais liés aux messages reçus

L'utilisation du module complémentaire par e-mail est mesurée séparément lorsque le module complémentaire est invoqué lors de l'évaluation de la politique de trafic. Cette utilisation peut être mesurée même lorsque la politique de trafic rejette le destinataire. Pour les prix actuels, voir Tarification SES.

Exemples de politiques de trafic

Les exemples suivants utilisent des exemples de plages d'adresses IP. Dans chaque exemple, remplacez les plages d'adresses IP, le domaine destinataire, le nom de la politique de trafic et AWS Une région qui a ses propres valeurs. Les deux create-traffic-policy les commandes définissent la taille maximale du message sur 31457280 octets (30 Mo).

Exemple : autoriser uniquement une plage d'expéditeurs IPv4 approuvée

Cette politique utilise DENY comme action par défaut. C'est ALLOW La déclaration accepte les destinataires lorsque l'adresse IPv4 de l'expéditeur qui se connecte est saisie 192.0.2.0/24. L'action par défaut rejette tous les autres destinataires. Dans ce qui suit AWS CLI commande, remplacez la AWS Région, nom de la politique de trafic et plage IPv4 avec vos propres valeurs. La commande crée cette politique de trafic :

PROMPT> aws mailmanager create-traffic-policy \
  --region us-east-1 \
  --traffic-policy-name allow-ipv4-partner \
  --policy-statements '[{
    "Action": "ALLOW",
    "Conditions": [{
      "IpExpression": {
        "Evaluate": {"Attribute": "SENDER_IP"},
        "Operator": "CIDR_MATCHES",
        "Values": ["192.0.2.0/24"]
      }
    }]
  }]' \
  --default-action DENY \
  --max-message-size-bytes 31457280

Exemple : Autoriser uniquement le trafic partenaire IPv4 et IPv6 approuvé

Cette politique utilise DENY comme action par défaut. Un ALLOW une instruction accepte le courrier provenant de la plage IPv4 du partenaire, et une seconde ALLOW L'instruction accepte le courrier provenant de sa plage IPv6. Dans les deux cas, le destinataire doit terminer par @example.com. Les deux déclarations sont des alternatives, mais les deux conditions d'une déclaration doivent correspondre. L'action par défaut rejette tous les autres destinataires. Dans ce qui suit AWS CLI commande, remplacez la AWS Région, nom de la politique de trafic, plages IPv4 et IPv6 et domaine destinataire avec vos propres valeurs. La commande crée cette politique de trafic :

PROMPT> aws mailmanager create-traffic-policy \
  --region us-east-1 \
  --traffic-policy-name allow-partner-dual-stack \
  --policy-statements '[
    {
      "Action": "ALLOW",
      "Conditions": [
        {
          "IpExpression": {
            "Evaluate": {"Attribute": "SENDER_IP"},
            "Operator": "CIDR_MATCHES",
            "Values": ["192.0.2.0/24"]
          }
        },
        {
          "StringExpression": {
            "Evaluate": {"Attribute": "RECIPIENT"},
            "Operator": "ENDS_WITH",
            "Values": ["@example.com"]
          }
        }
      ]
    },
    {
      "Action": "ALLOW",
      "Conditions": [
        {
          "Ipv6Expression": {
            "Evaluate": {"Attribute": "SENDER_IPV6"},
            "Operator": "CIDR_MATCHES",
            "Values": ["2001:db8:1234::/48"]
          }
        },
        {
          "StringExpression": {
            "Evaluate": {"Attribute": "RECIPIENT"},
            "Operator": "ENDS_WITH",
            "Values": ["@example.com"]
          }
        }
      ]
    }
  ]' \
  --default-action DENY \
  --max-message-size-bytes 31457280

Comprendre les déclarations de politique qui se chevauchent

Supposons qu'une instruction autorise mary_major@example.com et une autre instruction refuse la plage d'expéditeurs 192.0.2.0/24. Un message pour mary_major@example.com provenant de cette plage d'expéditeurs est rejetée. L'appariement DENY l'instruction arrête l'évaluation avant que ALLOW les déclarations sont évaluées.

Utilisation des modules complémentaires de messagerie dans une politique de trafic

Un module complémentaire d'e-mail peut ajouter des informations sur la réputation de l'expéditeur à l'évaluation de la politique de trafic. La politique de trafic évalue ces informations lors de la transaction SMTP. Cela se produit avant qu'un message accepté ne soit transmis à l'ensemble de règles. Vous pouvez combiner une condition d'ajout d'e-mail avec les conditions IP du destinataire, de l'expéditeur, du TLS ou de la liste d'adresses dans la même déclaration de politique.

L'utilisation d'un module complémentaire de messagerie dans une politique de trafic présente les avantages suivants.

Avant d'utiliser une condition d'ajout d'e-mail, abonnez-vous à l'extension d'e-mail, créez une instance de module complémentaire et copiez son AddonInstanceArn. Pour plus d'informations sur l'abonnement à un module complémentaire et la création d'une instance complémentaire, consultez Compléments par e-mail. L'instance du module complémentaire doit appartenir à la même AWS compte en tant que politique de trafic.

Le tableau suivant répertorie les résultats de l'ajout d'e-mails disponibles pour les politiques de trafic.

L'exemple suivant autorise un destinataire lorsque le champ de résultat du module complémentaire isListed est faux. La valeur par défaut DENY l'action rejette le trafic qui ne correspond pas à cette indication explicite ALLOW déclaration. Dans ce qui suit AWS CLI commande, remplacez la région, l'ID de compte, l'ID d'instance complémentaire et le nom de la politique de trafic par vos propres valeurs. La commande définit la taille maximale du message sur 31457280 octets (30 Mo) :

PROMPT> aws mailmanager create-traffic-policy \
  --region us-east-1 \
  --traffic-policy-name allow-unlisted-senders \
  --policy-statements '[{
    "Action": "ALLOW",
    "Conditions": [{
      "BooleanExpression": {
        "Evaluate": {
          "Analysis": {
            "Analyzer": "arn:aws:ses:us-east-1:123456789012:addon-instance/ai-0123456789abcdef",
            "ResultField": "isListed"
          }
        },
        "Operator": "IS_FALSE"
      }
    }]
  }]' \
  --default-action DENY \
  --max-message-size-bytes 31457280

Vous ne pouvez pas supprimer une instance complémentaire alors qu'une politique de trafic ou un ensemble de règles y fait référence. Supprimez la référence avant de supprimer l'instance du module complémentaire.

Gestion des politiques de trafic et des associations de points d'entrée avec AWS CLI

Le create-traffic-policy les commandes des exemples précédents renvoient un TrafficPolicyId. Les commandes suivantes utilisent tp-0123456789abcdef01234567 comme cet identifiant et rs-0123456789abcdef01234567 en tant qu'ID d'un ensemble de règles existant. Remplacez ces identifiants et AWS Une région qui a ses propres valeurs.

Mise à jour et inspection d'une politique de trafic

Les propriétés de politique de trafic que vous omettez dans une demande de mise à jour restent inchangées. Dans ce qui suit AWS CLI commande, remplacez la AWS Identifiant de région et de politique de trafic avec vos propres valeurs. La commande définit la taille maximale du message sur 31457280 octets (30 Mo) :

PROMPT> aws mailmanager update-traffic-policy \
  --region us-east-1 \
  --traffic-policy-id tp-0123456789abcdef01234567 \
  --max-message-size-bytes 31457280

Dans la commande suivante, remplacez AWS Identifiant de région et de politique de trafic avec vos propres valeurs. Utiliser get-traffic-policy pour consulter l'intégralité de la politique :

PROMPT> aws mailmanager get-traffic-policy \
  --region us-east-1 \
  --traffic-policy-id tp-0123456789abcdef01234567

Dans la commande suivante, remplacez AWS Région avec votre propre valeur. Utiliser list-traffic-policies pour répertorier les politiques de circulation de la Région :

PROMPT> aws mailmanager list-traffic-policies \
  --region us-east-1

Assigner une politique de trafic lors de la création d'un point d'entrée

Un point d'entrée nécessite une politique de trafic et un ensemble de règles existants. Dans ce qui suit AWS CLI commande, remplacez la AWS Région, nom du point d'entrée, ID d'ensemble de règles et ID de politique de trafic avec vos propres valeurs. La commande crée un point d'entrée ouvert et affecte les deux ressources :

PROMPT> aws mailmanager create-ingress-point \
  --region us-east-1 \
  --ingress-point-name partner-ingress \
  --type OPEN \
  --rule-set-id rs-0123456789abcdef01234567 \
  --traffic-policy-id tp-0123456789abcdef01234567 \
  --tls-policy REQUIRED

La commande renvoie un IngressPointId. Pour toutes les options de demande, voir CreateIngressPoint dans le Référence de l'API SES Mail Manager.

Modification de la politique de trafic attribuée à un point d'entrée

Les autres propriétés du point d'entrée restent inchangées. Dans ce qui suit AWS CLI commande, remplacez la AWS Identifiant de région, de point d'entrée et identifiant de politique de trafic avec vos propres valeurs. La commande modifie la politique de trafic attribuée au point d'entrée :

PROMPT> aws mailmanager update-ingress-point \
  --region us-east-1 \
  --ingress-point-id inp-0123456789abcdef01234567 \
  --traffic-policy-id tp-fedcba9876543210fedcba98

Dans la commande suivante, remplacez AWS ID de région et de point d'entrée avec vos propres valeurs. Courez get-ingress-point et vérifiez que la réponse contient les informations attendues TrafficPolicyId et RuleSetId:

PROMPT> aws mailmanager get-ingress-point \
  --region us-east-1 \
  --ingress-point-id inp-0123456789abcdef01234567

Suppression d’une stratégie de trafic

Vous ne pouvez pas supprimer une politique de trafic alors qu'un point d'entrée y fait référence. Tout d'abord, mettez à jour chaque point d'entrée qui fait référence à la politique pour utiliser une autre politique de trafic. Dans ce qui suit AWS CLI commande, remplacez la AWS Identifiant de région et de politique de trafic avec vos propres valeurs. Exécutez ensuite la commande pour supprimer la politique non utilisée :

PROMPT> aws mailmanager delete-traffic-policy \
  --region us-east-1 \
  --traffic-policy-id tp-0123456789abcdef01234567

Autorisations pour les politiques de trafic et les points d'entrée

Le principal qui gère les politiques de trafic a besoin d'autorisations pour les opérations d'API de politique de trafic qu'il utilise. Le principal qui crée ou met à jour un point de terminaison d'entrée a également besoin d'une autorisation pour l'opération d'API du point d'entrée correspondante.

Dans la politique IAM suivante, remplacez AWS Région, ID de compte, ID de politique de trafic, ID d'ensemble de règles et ID de point d'entrée avec vos propres valeurs. La politique permet à un principal de gérer les politiques de trafic sur un seul compte, de créer un point d'entrée ouvert uniquement avec une politique de trafic et un ensemble de règles approuvés, et de mettre à jour un point d'entrée uniquement lors de l'attribution d'une politique de trafic approuvée :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ManageTrafficPolicies",
      "Effect": "Allow",
      "Action": [
        "ses:CreateTrafficPolicy",
        "ses:GetTrafficPolicy",
        "ses:UpdateTrafficPolicy",
        "ses:DeleteTrafficPolicy"
      ],
      "Resource": "arn:aws:ses:us-east-1:123456789012:mailmanager-traffic-policy/*"
    },
    {
      "Sid": "ListTrafficPolicies",
      "Effect": "Allow",
      "Action": "ses:ListTrafficPolicies",
      "Resource": "*"
    },
    {
      "Sid": "CreateIngressPointWithApprovedResources",
      "Effect": "Allow",
      "Action": "ses:CreateIngressPoint",
      "Resource": "arn:aws:ses:us-east-1:123456789012:mailmanager-ingress-point/*",
      "Condition": {
        "StringEquals": {
          "ses:MailManagerIngressPointType": "OPEN",
          "ses:MailManagerTrafficPolicyArn": "arn:aws:ses:us-east-1:123456789012:mailmanager-traffic-policy/tp-0123456789abcdef01234567",
          "ses:MailManagerRuleSetArn": "arn:aws:ses:us-east-1:123456789012:mailmanager-rule-set/rs-0123456789abcdef01234567"
        }
      }
    },
    {
      "Sid": "GetOneIngressPoint",
      "Effect": "Allow",
      "Action": "ses:GetIngressPoint",
      "Resource": "arn:aws:ses:us-east-1:123456789012:mailmanager-ingress-point/inp-0123456789abcdef01234567"
    },
    {
      "Sid": "UpdateOneIngressPointToApprovedPolicy",
      "Effect": "Allow",
      "Action": "ses:UpdateIngressPoint",
      "Resource": "arn:aws:ses:us-east-1:123456789012:mailmanager-ingress-point/inp-0123456789abcdef01234567",
      "Condition": {
        "StringEquals": {
          "ses:MailManagerTrafficPolicyArn": "arn:aws:ses:us-east-1:123456789012:mailmanager-traffic-policy/tp-fedcba9876543210fedcba98"
        }
      }
    }
  ]
}

Le ses:MailManagerTrafficPolicyArn, ses:MailManagerRuleSetArn, et ses:MailManagerIngressPointType les clés de condition limitent les ressources qui peuvent être attribuées lorsqu'un point d'entrée est créé ou mis à jour.

Si le rôle lié au service SES n'existe pas dans le compte, le principal qui crée le premier point de terminaison d'entrée doit également iam:CreateServiceLinkedRole autorisation auprès du iam:AWSServiceName condition réglée sur ses.amazonaws.com. Une requête qui ajoute des balises nécessite également ses:TagResource.

Création de politiques de trafic et de déclarations de politique dans la console SES

La procédure suivante vous montre comment utiliser le Politiques relatives au trafic page de la console SES pour créer des politiques de trafic et leurs déclarations de politique, et gérer celles que vous avez déjà créées.

Référence pour les conditions de la déclaration de politique

Conditions de la déclaration de politique

Chaque élément de la liste suivante décrit une condition prise en charge, ses opérateurs et un petit fragment JSON. Placez l'un de ces objets conditionnels dans une déclaration de politique Conditions liste. Suivez le lien de l'expression pour connaître toutes les contraintes des champs d'API.

Recommandations pour les politiques de circulation

Surveillance et évaluation de la politique de trafic

Activer TRAFFIC_POLICY_DEBUG_LOGS avant de modifier le trafic accepté. Ces journaux incluent les évaluations des destinataires acceptés et rejetés. Pour les instructions de configuration et le format de l'enregistrement du journal, voir Journaux des terminaux d'entrée — TRAFIC_POLICY_DEBUG_LOGS.

Ce qui suit CloudWatch La requête Logs Logs Insights renvoie les évaluations de politique de trafic rejetées :

fields @timestamp, traffic_policy_id, sender_ip_address, recipient, traffic_policy_verdict
| filter traffic_policy_verdict = "REJECT"
| sort @timestamp desc
| limit 100

Passez en revue les destinataires rejetés, les plages d'expéditeurs, les catégories de résultats des modules complémentaires et le trafic légitime connu avant de terminer un déploiement.

Limitations de la politique de trafic