Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Cas d'exemple pour le contrôle d'accès Amazon SNS

Cette section décrit quelques exemples de cas d'utilisation standard du contrôle d'accès.

Octroi Compte AWS accès à un sujet

Supposons que vous ayez un sujet dans Amazon SNS et que vous souhaitiez autoriser une ou plusieurs personnes Comptes AWS à effectuer une action spécifique sur ce sujet, comme publier des messages. Pour ce faire, utilisez l'action AddPermission d'API Amazon SNS.

L'AddPermissionaction vous permet de spécifier un sujet, une liste d' Compte AWS identifiants, une liste d'actions et un libellé. Amazon SNS génère et ajoute ensuite automatiquement une nouvelle déclaration de politique à la politique de contrôle d'accès de la rubrique. Vous n'avez pas besoin de rédiger vous-même la déclaration de politique : Amazon SNS s'en charge pour vous. Si vous devez supprimer la politique ultérieurement, vous pouvez le faire en appelant RemovePermission et en fournissant l'étiquette que vous avez utilisée lors de l'ajout de l'autorisation.

Par exemple, si vous appelez le AddPermission sujet arn:aws:sns:us-east- 2:444455556666 :MyTopic, spécifiez l' Compte AWS ID 1111-2222-3333, l'Publishaction et le libellégrant-1234-publish, Amazon SNS générera et insérera la déclaration de politique suivante dans la politique de contrôle d'accès de la rubrique :

{
  "Statement": [{
    "Sid": "grant-1234-publish",
    "Effect": "Allow",
    "Principal": {
      "AWS": "111122223333"
    },
    "Action": ["sns:Publish"],
    "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic"
  }]
}

Une fois cette déclaration ajoutée, le Compte AWS 1111-2222-3333 sera autorisé à publier des messages sur le sujet.

Informations supplémentaires :

Limiter les abonnements à HTTPS

Pour limiter le protocole d'envoi des notifications pour votre rubrique Amazon SNS au HTTPS, vous devez créer une politique personnalisée. L'AddPermissionaction dans Amazon SNS ne vous permet pas de spécifier des restrictions de protocole lorsque vous accordez l'accès à votre rubrique. Par conséquent, vous devez rédiger manuellement une politique qui applique cette restriction, puis utiliser l'SetTopicAttributesaction pour appliquer la stratégie à votre sujet.

Voici comment créer une politique qui limite les abonnements au protocole HTTPS :

Informations supplémentaires :

Publier des messages dans une file d'attente Amazon SQS

Pour publier des messages de votre rubrique Amazon SNS dans une file d'attente Amazon SQS, vous devez configurer les autorisations appropriées sur la file d'attente Amazon SQS. Amazon SNS et Amazon SQS utilisent tous deux le langage AWS de politique de contrôle d'accès, mais vous devez définir explicitement une politique sur la file d'attente Amazon SQS pour autoriser l'envoi de messages depuis la rubrique Amazon SNS.

Vous pouvez y parvenir en utilisant l'SetQueueAttributesaction pour appliquer une politique personnalisée à la file d'attente Amazon SQS. Contrairement à Amazon SNS, Amazon SQS ne prend pas en charge l'AddPermissionaction permettant de créer des déclarations de politique assorties de conditions. Par conséquent, vous devez rédiger la politique manuellement.

Voici un exemple de politique Amazon SQS qui autorise Amazon SNS à envoyer des messages à votre file d'attente. Notez que cette politique est associée à la file d'attente Amazon SQS, et non à la rubrique Amazon SNS. Les actions spécifiées sont des actions Amazon SQS et la ressource est l'Amazon Resource Name (ARN) de la file d'attente. Vous pouvez récupérer l'ARN de la file d'attente à l'aide de GetQueueAttributes cette action.

{
  "Statement": [{
    "Sid": "Allow-SNS-SendMessage",
    "Effect": "Allow",
    "Principal": {
      "Service": "sns.amazonaws.com"
    },
    "Action": ["sqs:SendMessage"],
    "Resource": "arn:aws:sqs:us-east-2:444455556666:MyQueue",
    "Condition": {
      "ArnEquals": {
        "aws:SourceArn": "arn:aws:sns:us-east-2:444455556666:MyTopic"
      }
    }
  }]
}

Cette politique utilise la aws:SourceArn condition pour restreindre l'accès à la file d'attente SQS en fonction de la source des messages envoyés. Cela garantit que seuls les messages provenant de la rubrique SNS spécifiée (dans ce cas, arn:aws:sns:us-east- 2:444455556666 :) peuvent être transmis à la file d'attente. MyTopic

Informations supplémentaires :

Autoriser les notifications d'évènements Amazon S3 à publier dans une rubrique

Pour autoriser un compartiment Amazon S3 provenant d'un autre compartiment Compte AWS à publier des notifications d'événements sur votre rubrique Amazon SNS, vous devez configurer la politique d'accès de la rubrique en conséquence. Cela implique de rédiger une politique personnalisée qui accorde l'autorisation d'accéder au service Amazon S3 à partir de la page spécifique, Compte AWS puis d'appliquer cette politique à votre rubrique Amazon SNS.

Voici comment le configurer :

Informations supplémentaires :

Autoriser Amazon SES à publier sur une rubrique appartenant à un autre compte

Vous pouvez autoriser une autre Service AWS personne à publier sur une rubrique appartenant à une autre personne Compte AWS. Supposons que vous vous êtes connecté au compte 111122223333, que vous avez ouvert Amazon SES et que vous avez créé un e-mail. Pour publier des notifications concernant cet e-mail dans une rubrique Amazon SNS appartenant au compte 444455556666, vous devez créer une politique comme la suivante. Pour ce faire, vous devez fournir des informations sur le principal (l'autre service) et sur la propriété de chaque ressource. L'instruction Resource fournit l'ARN de rubrique, qui inclut l'ID de compte du propriétaire de la rubrique, 444455556666. L'instruction "aws:SourceOwner": "111122223333" spécifie que votre compte est propriétaire de l'e-mail.

JSON

{
  "Version":"2012-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "__default_statement_ID",
      "Effect": "Allow",
      "Principal": {
        "Service": "ses.amazonaws.com"
      },
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
      "Condition": {
        "StringEquals": {
          "aws:SourceOwner": "111122223333"
        }
      }
    }
  ]
}

Lors de la publication d'évènements sur Amazon SNS, les services suivants prennent en charge aws:SourceOwner :

aws : SourceAccount contre aws : SourceOwner

Les clés de condition aws:SourceAccount et aws:SourceOwner sont chacune définies par certains Services AWS lorsqu'ils publient dans une rubrique Amazon SNS. Lorsqu'elle est prise en charge, la valeur sera l'identifiant de AWS compte à 12 chiffres pour le compte au nom duquel le service publie les données. Certains services prennent en charge l'un et d'autres prennent en charge l'autre.

Autoriser les comptes d'une organisation dans AWS Organizations pour publier sur un sujet dans un autre compte

Le AWS Organizations service vous permet de gérer de manière centralisée la facturation, de contrôler l'accès et la sécurité, et de partager les ressources entre vous Comptes AWS.

Vous pouvez trouver votre ID d'organisation dans la console Organisations. Pour plus d'informations, consultez Affichage des détails d'une organisation à partir du compte de gestion.

Dans cet exemple, n'importe quel Compte AWS membre de l'organisation myOrgId peut publier sur Amazon SNS la rubrique MyTopic du compte444455556666. La politique vérifie la valeur de l'ID de l'organisation à l'aide de la clé de condition globale aws:PrincipalOrgID.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sns:Publish",
            "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "myOrgId"
                }
            }
        }
    ]
}

Autoriser la publication de n'importe quelle CloudWatch alarme sur un sujet dans un autre compte

Procédez comme suit pour appeler une rubrique Amazon SNS avec une CloudWatch alarme sur différentes pages. Comptes AWS Cet exemple utilise deux comptes :

Créez une rubrique SNS dans le compte B

Créer une CloudWatch alarme dans le compte A

Mettre à jour la politique d'accès de la rubrique SNS dans le compte B

JSON

{
    "Version":"2012-10-17",
    "Id": "__default_policy_ID",
    "Statement": [
        {
            "Sid": "__default_statement_ID",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "SNS:GetTopicAttributes",
                "SNS:SetTopicAttributes",
                "SNS:AddPermission",
                "SNS:RemovePermission",
                "SNS:DeleteTopic",
                "SNS:Subscribe",
                "SNS:ListSubscriptionsByTopic",
                "SNS:Publish"
            ],
            "Resource": "arn:aws:cloudwatch:us-west-1:111122223333:alarm:",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cloudwatch:us-west-1:111122223333:alarm:"
                }
            }
        }
    ]
}

Testez l'alarme

Pour tester l'alarme, modifiez le seuil d'alarme en fonction des points de données métriques ou modifiez manuellement l'état de l'alarme. Lorsque vous modifiez le seuil d'alarme ou l'état de l'alarme, vous recevez une notification par e-mail.

Limiter la publication à une rubrique Amazon SNS uniquement à partir d'un point de terminaison de VPC spécifique

Dans ce cas, la rubrique dans le compte 444455556666 est autorisée à publier uniquement à partir du point de terminaison de VPC avec l'ID vpce-1ab2c34d.

{
  "Statement": [{
    "Effect": "Deny",
    "Principal": "*",
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
    "Condition": {
      "StringNotEquals": {
        "aws:sourceVpce": "vpce-1ab2c34d"
      }
    }
  }]
}