Controlar el acceso a los recursos de Kinesis Video Streams mediante IAM

Obtenga el identificador de cuenta de 12 dígitos de la cuenta a la que desea conceder permisos para realizar operaciones en el recurso de transmisión creado en su cuenta.

Ejemplo: En los pasos siguientes, usaremos 1111 como ID de cuenta para la cuenta a la que desea conceder el permiso y, 9999, como ID para sus transmisiones de video de Kinesis

Cree una política gestionada por IAM en la cuenta propietaria de la transmisión (99999999) que permita el nivel de acceso que desea conceder.

Ejemplo de política:

Para ver otros ejemplos de políticas para los recursos de Kinesis Video Streams, consulte Ejemplos de políticas la siguiente sección.

Cree un rol en la cuenta propietaria de la transmisión (9999) y especifique la cuenta a la que quiere conceder permisos (1111). Esto añadirá una entidad de confianza al rol.

Ejemplo de política de confianza:

Adjunte a este rol la política que creó en el paso anterior.

Ahora ha creado un rol en la cuenta ⇒ 9999 que tiene permiso para realizar operaciones como DescribeStreamGetDataEndpoint, y PutMedia en un ARN de recursos de transmisión en la política gestionada. Este nuevo rol también confía en que la otra cuenta, 1111, asuma este rol.

Crea una política gestionada en la otra cuenta, 1111, que permita la AssumeRole acción sobre el rol que creaste en la cuenta ⇒ 9999 en el paso anterior. Deberás mencionar el ARN del rol del paso anterior.

Ejemplo de política:

Adjunte la política creada en el paso anterior a una entidad de IAM, como un rol o un usuario en la cuenta 1111. Este usuario ahora tiene permiso para asumir el rol CustomRoleName en la cuenta 33339999.

Las credenciales de este usuario llaman a la AWS STS AssumeRole API para obtener las credenciales de la sesión, que luego se utilizan para llamar a las API de Kinesis Video Streams en la transmisión creada en la cuenta ⇒ 9999.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/CustomRoleName" --role-session-name "kvs-cross-account-assume-role"
{
    "Credentials": {
        "AccessKeyId": "",
        "SecretAccessKey": "",
        "SessionToken": "",
        "Expiration": ""
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "",
        "Arn": ""
    }
}

Establezca la clave de acceso, la clave secreta y las credenciales de sesión en función del conjunto anterior en el entorno.

set AWS_ACCESS_KEY_ID=
set AWS_SECRET_ACCESS_KEY=
set AWS_SESSION_TOKEN=

Ejecute las API de Kinesis Video Streams para describir y obtener el punto final de datos de la transmisión en la cuenta ␞ 9999.

aws kinesisvideo describe-stream --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
{
    "StreamInfo": {
        "StreamName": "custom-stream-name",
        "StreamARN": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179",
        "KmsKeyId": "arn:aws:kms:us-west-2:999999999999:alias/aws/kinesisvideo",
        "Version": "abcd",
        "Status": "ACTIVE",
        "CreationTime": "2018-02-19T10:56:58.179000+00:00",
        "DataRetentionInHours": 24
    }
}

aws kinesisvideo get-data-endpoint --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179" --api-name "PUT_MEDIA"
{
    "DataEndpoint": "https://s-b12345.kinesisvideo.us-west-2.amazonaws.com"
}