Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Políticas de IAM para Amazon SWF

Una política de IAM comprende uno o varios elementos Statement, cada uno de los cuales consta de un conjunto de elementos que define la política. Para obtener una lista completa de los elementos y un análisis general acerca de cómo crear políticas, consulte El lenguaje de la política de acceso. El control de acceso a Amazon SWF se basa en los siguientes elementos:

La siguiente sección proporciona ejemplos de cómo crear políticas de Amazon SWF. Para obtener más información, consulte Condiciones de la cadena.

Redacción de políticas para Amazon SWF

Un flujo de trabajo consta de varios actores: actividades, decisores, etc. Para controlar el acceso de cada actor, asocie una política de IAM adecuada.

Con la siguiente acción, el actor tendrá acceso completo a la cuenta en todas las regiones:

Puede utilizar comodines para que un solo valor represente varios recursos, acciones o regiones.

Para obtener más información sobre el uso de los comodines, consulte Descripciones de elementos

Permisos de dominio

Para restringir los flujos de trabajo de un departamento a un dominio concreto, puedes conceder un permiso que permita a un actor realizar cualquier acción, pero solo para un departamento específico.

Para conceder a un actor acceso a más de un dominio, expresa el permiso para cada dominio en forma de lista de declaraciones:

Puede permitir que un actor utilice cualquier acción de Amazon SWF en los dominios department1 ydepartment2. También puede utilizar comodines en ocasiones para representar varios dominios.

Restricciones y permisos de la API

Usted controla qué acciones puede utilizar un actor especificando la acción en el Action elemento.

Con la siguiente acción, un actor solo puede llamar StartWorkflowExecution para iniciar flujos de trabajo. No puede usar ninguna otra acción.

Condiciones

Si lo desea, puede restringir los valores de los parámetros permitidos de la acción mediante un Condition elemento.

Para restringir los flujos de trabajo que puede iniciar un actor, restrinja uno o más de los valores de los StartWorkflowExecution parámetros, de la siguiente manera:

"Condition" : {
   "StringEquals" : { 
      "swf:workflowType.name" : "workflow1",
      "swf:workflowType.version" : "version2" 
    }
}

Un actor con las restricciones anteriores solo version2 puede ejecutar workflow1 y ambos parámetros deben incluirse en la solicitud.

Para limitar un parámetro sin tener que incluirlo en una solicitud, utilice un operador StringEqualsIfExists, como sigue:

"Condition" : {
   "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
}

Un actor con la política anterior puede especificar opcionalmente una lista de tareas al iniciar la ejecución de un flujo de trabajo.

Puede limitar la lista de etiquetas para algunas acciones. Cada etiqueta tiene una clave independiente, por lo que puede swf:tagList.member.0 restringir la primera etiqueta de la lista, swf:tagList.member.1 restringir la segunda etiqueta de la lista, etc., hasta un máximo de 5.

Debe tener cuidado al restringir las listas de etiquetas. Por ejemplo, no se recomienda la siguiente condición.

No se recomienda la siguiente condición porque permite especificar opcionalmente una some_ok_tag u otraanother_ok_tag. Sin embargo, la condición restringe solo el primer elemento de la lista de etiquetas. La lista podría tener elementos adicionales con valores arbitrarios, todos los cuales estarían permitidos porque la condición no aplica ninguna condición swf:tagList.member.1swf:tagList.member.2, y así sucesivamente.

// Example to illustrate an insecure Condition
"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
   }
}

Una forma de solucionar el problema anterior es no permitir el uso de listas de etiquetas.

La siguiente política asegura que solo se permitan some_ok_tag o another_ok_tag al exigir que la lista tenga solo un elemento.

"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
    },
    "Null" : { "swf:tagList.member.1" : "true" }
}          

Restricciones y permisos de pseudo API

Para restringir las decisiones disponiblesRespondDecisionTaskCompleted, primero debes permitir que el actor llameRespondDecisionTaskCompleted. A continuación, debes expresar los permisos para los miembros de la pseudoAPI correspondientes utilizando la misma sintaxis que para la API normal, de la siguiente manera:

La primera Statement permite al actor llamarRespondDecisionTaskCompleted. La segunda afirmación permite al actor utilizar la ScheduleActivityTask decisión de ordenar a Amazon SWF que programe una tarea de actividad. Para permitir todas las decisiones, sustituya «swf:ScheduleActivityTask" por «swf: *».

Puede utilizar operadores de condición para limitar los parámetros al igual que con la API normal. El StringEquals operador del ejemplo anterior Condition permite RespondDecisionTaskCompleted programar una tarea de actividad para la SomeActivityType actividad y debe programarla. Si quiere permitir que RespondDecisionTaskCompleted utilice un valor de parámetro pero sin que sea obligatorio, utilice el operador StringEqualsIfExists.

AWS política gestionada: SimpleWorkflowFullAccess

Puede adjuntar la política SimpleWorkflowFullAccess a las identidades de IAM.

Esta política proporciona acceso completo al servicio de configuración de Amazon SWF.

Limitaciones del modelo de servicio de las políticas de IAM

Debe tener presentes las restricciones del modelo de servicio al crear políticas de IAM. Es posible crear una política de IAM válida desde el punto de vista sintáctico que represente una solicitud de Amazon SWF no válida; una solicitud permitida en términos de control de acceso puede producir un error, ya que se trata de una solicitud no válida.

Por ejemplo, el modelo de servicio de Amazon SWF no permite utilizar tagFilter los parámetros typeFilter and en la misma ListOpenWorkflowExecutions solicitud. La siguiente condición permitiría que las llamadas que el servicio rechazara (mediante el lanzamiento) por considerarlas solicitudes no válidasValidationException:

"Condition" : {
   "StringEquals" : { 
      "swf:typeFilter.name" : "workflow_name",
      "swf:typeFilter.version" : "workflow_version",
      "swf:tagFilter.tag" : "some_tag" 
    }
}