View a markdown version of this page

Ruoli IAM per l'invio di eventi a destinazioni in Amazon EventBridge - Amazon EventBridge
Autorizzazioni per accedere alle destinazioniCustomer-managed esempio di politica

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Ruoli IAM per l'invio di eventi a destinazioni in Amazon EventBridge

Per inoltrare gli eventi agli obiettivi, è EventBridge necessario un ruolo IAM.

Per creare un ruolo IAM a cui inviare eventi EventBridge

  1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Per creare un ruolo IAM, segui i passaggi descritti in Creazione di un ruolo per delegare le autorizzazioni a un AWS servizio nella IAM User Guide. e prendi nota di quanto segue:

    • In Nome ruolo, utilizza un nome univoco nel tuo account.

    • In Seleziona il tipo di ruolo, scegli AWS Service Roles, quindi scegli Amazon. EventBridge Ciò concede EventBridge le autorizzazioni per assumere il ruolo.

    • In Allega policy, scegli. AmazonEventBridgeFullAccess

Puoi anche creare policy IAM personalizzate per consentire autorizzazioni per EventBridge azioni e risorse. Puoi associare queste policy personalizzate agli utenti o ai gruppi IAM che richiedono tali autorizzazioni. Per ulteriori informazioni sulle policy IAM, consulta Panoramica delle policy IAM nella Guida per l'utente di IAM. Per ulteriori informazioni sulla gestione e sulla creazione di policy IAM personalizzate, consulta Gestione di policy IAM nella Guida per l'utente di IAM.

Autorizzazioni necessarie per accedere EventBridge alle destinazioni utilizzando i ruoli IAM

EventBridge le destinazioni richiedono in genere ruoli IAM che concedono l'autorizzazione EventBridge per richiamare la destinazione. Di seguito sono riportati alcuni esempi di vari AWS servizi e destinazioni. Per gli altri, utilizza la EventBridge console per creare una regola e creare un nuovo ruolo che verrà creato con una policy con autorizzazioni ben definite preconfigurate.

I target Amazon SQS, Amazon SNS e Lambda supportano sia i ruoli di esecuzione IAM che le policy basate sulle risorse. CloudWatch I log e le destinazioni dei EventBridge bus non utilizzano ruoli e le autorizzazioni EventBridge devono essere concesse tramite una policy sulle risorse. Le destinazioni di Gateway API possono utilizzare policy basate su risorse o ruoli IAM.

Destinazioni API

Se la destinazione è una destinazione API, il ruolo specificato deve includere una policy con la seguente dichiarazione:

  • Effetto: Allow

  • Operazione: events:InvokeApiDestination

  • Risorsa: arn:aws:events:*:*:api-destination/*

Flussi Kinesis

Se il target è uno stream Kinesis, il ruolo utilizzato per inviare i dati degli eventi a quel target deve includere una policy con la seguente dichiarazione:

  • Effetto: Allow

  • Operazione: kinesis:PutRecord

  • Risorsa: *

Systems Manager esegue i comandi

Se l'obiettivo è il comando di esecuzione di Systems Manager e si specificano uno o più InstanceIds valori per il comando, il ruolo specificato deve includere una policy con la seguente dichiarazione:

  • Effetto: Allow

  • Operazione: ssm:SendCommand

  • Risorse:

    • arn:aws:ec2:region:accountId:instance/instanceId1

    • arn:aws:ec2:region:accountId:instance/instanceId2

    • arn:aws:ssm:region:*:document/documentName

Se l'obiettivo è il comando di esecuzione di Systems Manager e si specificano uno o più tag per le istanze di destinazione, il ruolo deve includere la seguente dichiarazione:

  • Effetto: Allow

  • Operazione: ssm:SendCommand

  • Risorse:

    • arn:aws:ec2:region:accountId:instance/*

    • arn:aws:ssm:region:accountId:managed-instance/*

  • Condizione:

    "StringEquals": {
  "aws:ResourceTag/tagKey": ["tagValues"]
}

La chiave aws:ResourceTag condizionale funziona sia per le istanze EC2 che per le istanze gestite ibride (nodi locali registrati con Systems Manager). La chiave ssm:resourceTag/tagKey condizionale è supportata anche per l'azione. SendCommand

Il ruolo deve includere anche la seguente dichiarazione per concedere l'accesso al documento Systems Manager:

  • Effetto: Allow

  • Operazione: ssm:SendCommand

  • Risorsa: arn:aws:ssm:region:*:document/documentName

Macchine a stati Step Functions

Se la destinazione è una macchina a AWS Step Functions stati, il ruolo specificato deve includere una politica con quanto segue:

  • Effetto: Allow

  • Operazione: states:StartExecution

  • Risorsa: arn:aws:states:*:*:stateMachine:*

Attività di Amazon ECS

Se la destinazione è un'attività Amazon ECS, il ruolo specificato deve includere la policy seguente.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask"
            ],
            "Resource": [
                "arn:aws:ecs:*:111122223333:task-definition/task-definition-name"
            ],
            "Condition": {
                "ArnLike": {
                    "ecs:cluster": "arn:aws:ecs:*:111122223333:cluster/cluster-name"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "ecs-tasks.amazonaws.com"
                }
            }
        }
    ]
}

La seguente policy consente ai target integrati EventBridge di eseguire azioni Amazon EC2 per tuo conto. È necessario utilizzare il Console di gestione AWS per creare regole con obiettivi integrati.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "TargetInvocationAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:Describe*",
                "ec2:RebootInstances",
                "ec2:StopInstances",
                "ec2:TerminateInstances",
                "ec2:CreateSnapshot"
            ],
            "Resource": "*"
        }
    ]
}

La seguente politica consente di EventBridge inoltrare gli eventi agli stream Kinesis del tuo account.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "KinesisAccess",
            "Effect": "Allow",
            "Action": [
                "kinesis:PutRecord"
            ],
            "Resource": "*"
        }
    ]
}

Customer-managed esempio di policy: utilizzo dei tag per controllare l'accesso alle regole

L'esempio seguente mostra una politica utente che concede le autorizzazioni per EventBridge le azioni. Questa politica funziona quando utilizzi l' EventBridge API, gli AWS SDK o il. AWS CLI

Puoi concedere agli utenti l'accesso a EventBridge regole specifiche impedendo loro di accedere ad altre regole. A tale scopo, applichi tag a entrambi i set di regole e usi le policy IAM che fanno riferimento a tali tag. Per ulteriori informazioni sulla codifica EventBridge delle risorse, vedereEtichettare le risorse in Amazon EventBridge.

Puoi concedere una policy IAM a un utente per consentirgli di accedere unicamente alle regole con un determinato tag. Puoi scegliere a quali regole concedere l'accesso contrassegnandole con quel particolare tag. Ad esempio, la seguente policy garantisce a un utente l'accesso alle regole con il valore Prod per la chiave di tag Stack.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "events:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Stack": "Prod"
                }
            }
        }
    ]
}

Per ulteriori informazioni sull'utilizzo di istruzioni di policy IAM, consulta Controllo dell'accesso tramite le policy nella Guida per l'utente di IAM.