Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Restrict AWS recursos que se pueden asociar a Connect Customer

Cada instancia de Connect Customer se asocia a un rol vinculado al servicio de IAM cuando se crea la instancia. Connect Customer puede integrarse con otros AWS servicios para casos de uso, como el almacenamiento de grabaciones de llamadas (bucket de Amazon S3), los bots de lenguaje natural (bots de Amazon Lex) y la transmisión de datos (Amazon Kinesis Data Streams). Connect Customer asume la función vinculada al servicio para interactuar con estos otros servicios. La política se agrega primero a la función vinculada al servicio como parte de las API correspondientes del servicio de atención al cliente de Connect (a las que, a su vez, la consola de AWS administración llama). Por ejemplo, si quiere usar un determinado bucket de Amazon S3 con su instancia de Connect Customer, el bucket debe pasarse a la AssociateInstanceStorageConfigAPI.

Para ver el conjunto de acciones de IAM definidas por Connect Customer, consulte Acciones definidas por Connect Customer.

A continuación, se muestran algunos ejemplos de cómo restringir el acceso a otros recursos que pueden estar asociados a una instancia de Connect Customer. Deben aplicarse al usuario o rol que interactúa con las API de Connect Customer o la consola de Connect Customer.

Para obtener más información sobre los recursos, las claves de condición y las API dependientes que puede utilizar para restringir el acceso, consulte Acciones, recursos y claves de condición de Connect Customer.

Ejemplo 1: Restringir qué buckets de Amazon S3 se pueden asociar a una instancia de Connect Customer

Este ejemplo permite a un director de IAM asociar un bucket de Amazon S3 para las grabaciones de llamadas para el ARN de instancia de Connect Customer determinado y un bucket de Amazon S3 específico denominado. my-connect-recording-bucket Las PutRolePolicy acciones AttachRolePolicy y se limitan al rol vinculado al servicio Connect Customer (en este ejemplo se usa un comodín, pero puedes proporcionar el ARN del rol para la instancia si es necesario).

Ejemplo 2: Restringir cuáles AWS Lambda las funciones se pueden asociar a una instancia de Connect Customer

AWS Lambda las funciones están asociadas a una instancia de Connect Customer, pero la función vinculada al servicio Connect Customer no se utiliza para invocarlas y, por lo tanto, no se modifica. En su lugar, se agrega una política a la función a través de la lambda:AddPermission API que permite que la instancia de Connect Customer determinada invoque la función.

Para restringir las funciones que se pueden asociar a una instancia de Connect Customer, debe especificar el ARN de la función Lambda que el usuario puede usar para invocar: lambda:AddPermission

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "connect:AssociateLambdaFunction",
                "lambda:AddPermission"
            ],
            "Resource": [
                "arn:aws:connect:us-east-1:111122223333:instance/instance-id",
                "arn:aws:lambda:*:*:function:my-function"
            ]
        }
    ]
}

Ejemplo 3: Restringir qué Amazon Kinesis Data Streams se puede asociar a una instancia de Connect Customer

Este ejemplo sigue un modelo similar al ejemplo de Amazon S3. Restringe qué Kinesis Data Streams específicos pueden asociarse a una instancia determinada de Connect Customer para entregar registros de contactos.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "connect:UpdateInstanceStorageConfig",
                "connect:AssociateInstanceStorageConfig"
            ],
            "Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id",
            "Condition": {
                "StringEquals": {
                    "connect:StorageResourceType": "CONTACT_TRACE_RECORDS"
                }
            }
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "kinesis:DescribeStream",
                "iam:PutRolePolicy"
            ],
            "Resource": [
                "arn:aws:iam::111122223333:role/aws-service-role/connect.amazonaws.com/*",
                "arn:aws:kinesis:*:111122223333:stream/stream-name"
            ]
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": "kinesis:ListStreams",
            "Resource": "*"
        }
    ]
}