Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Politiques IAM d'Amazon SWF

Une politique IAM contient un ou plusieurs Statement éléments, dont chacun contient un ensemble d'éléments qui définissent la stratégie. Pour une liste complète des éléments et une discussion générale sur la façon de créer des politiques, voir The Access Policy Language. Le contrôle d'accès Amazon SWF repose sur les éléments suivants :

La section suivante fournit des exemples de création de politiques Amazon SWF. Pour plus d'informations, consultez la section Conditions de chaîne.

Règles de rédaction pour Amazon SWF

Un flux de travail est composé de plusieurs acteurs : activités, décideurs, etc. Vous pouvez contrôler l'accès de chaque acteur en attachant une politique IAM appropriée.

Avec l'action suivante, l'acteur aura un accès complet à son compte dans toutes les régions :

Vous pouvez utiliser des caractères génériques de sorte qu'une valeur unique représente plusieurs ressources, actions ou régions.

Pour plus d'informations sur la façon d'utiliser les caractères génériques, consultez la page Descriptions d'élément.

Autorisations de domaine

Pour restreindre les flux de travail d'un département à un domaine spécifique, vous pouvez accorder une autorisation permettant à un acteur de prendre n'importe quelle action, mais uniquement pour un département spécifique.

Pour accorder à un acteur l'accès à plusieurs domaines, exprimez l'autorisation pour chaque domaine sous la forme d'une liste de déclarations :

Vous pouvez autoriser un acteur à utiliser n'importe quelle action Amazon SWF dans les domaines department1 etdepartment2. Vous pouvez aussi parfois utiliser des caractères génériques pour représenter plusieurs domaines.

Contraintes et autorisations de l'API

Vous pouvez contrôler les actions qu'un acteur peut utiliser en spécifiant l'action dans l'Actionélément.

Avec l'action suivante, un acteur ne peut appeler que StartWorkflowExecution pour démarrer des flux de travail. Il ne peut utiliser aucune autre action.

Conditions

Vous pouvez éventuellement limiter les valeurs de paramètres autorisées de l'action en utilisant un Condition élément.

Pour limiter les flux de travail qu'un acteur peut démarrer, limitez une ou plusieurs valeurs de StartWorkflowExecution paramètres, comme suit :

"Condition" : {
   "StringEquals" : { 
      "swf:workflowType.name" : "workflow1",
      "swf:workflowType.version" : "version2" 
    }
}

Un acteur avec les contraintes précédentes ne peut fonctionner que version2 workflow1 et les deux paramètres doivent être inclus dans la demande.

Pour limiter un paramètre sans nécessiter sa présence dans une requête, utilisez un opérateur StringEqualsIfExists, comme suit :

"Condition" : {
   "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
}

Un acteur doté de la politique précédente peut éventuellement spécifier une liste de tâches lorsqu'il lance l'exécution d'un flux de travail.

Vous pouvez limiter la liste des balises pour certaines actions. Chaque balise possède une clé distincte. Vous pouvez donc l'utiliser swf:tagList.member.0 pour contraindre la première balise de la liste, swf:tagList.member.1 pour contraindre la deuxième balise de la liste, etc., jusqu'à un maximum de 5.

Vous devez faire attention à la manière dont vous limitez les listes de balises. Par exemple, la condition suivante n'est pas recommandée.

La condition suivante n'est pas recommandée car elle vous permet de spécifier éventuellement l'un some_ok_tag ou l'autreanother_ok_tag. Toutefois, la condition limite uniquement le premier élément de la liste de balises. La liste peut contenir des éléments supplémentaires avec des valeurs arbitraires qui seraient tous autorisés car la condition ne s'applique à aucune condition swf:tagList.member.1swf:tagList.member.2, etc.

// Example to illustrate an insecure Condition
"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
   }
}

L'un des moyens de résoudre le problème précédent consiste à interdire l'utilisation de listes de balises.

La stratégie suivante garantit que seulement some_ok_tag ou another_ok_tag sont autorisés en imposant un seul élément dans la liste.

"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
    },
    "Null" : { "swf:tagList.member.1" : "true" }
}          

Contraintes et autorisations de pseudo-API

Pour limiter les décisions disponiblesRespondDecisionTaskCompleted, vous devez d'abord autoriser l'acteur à appelerRespondDecisionTaskCompleted. Vous exprimez ensuite les autorisations pour les pseudo-membres d'API appropriés en utilisant la même syntaxe que pour l'API normale, comme suit :

Le premier Statement permet à l'acteur d'appelerRespondDecisionTaskCompleted. La deuxième déclaration permet à l'acteur d'utiliser la ScheduleActivityTask décision de demander à Amazon SWF de planifier une tâche d'activité. Pour autoriser toutes les décisions, remplacez « swf : ScheduleActivityTask » par « swf : * ».

Vous pouvez utiliser des opérateurs de condition pour limiter les paramètres, tout comme avec l'API classique. Dans StringEquals l'exemple précédent, l'opérateur Condition RespondDecisionTaskCompleted permet de planifier une tâche d'activité pour cette SomeActivityType activité, et il doit planifier cette tâche. Si vous voulez autoriser RespondDecisionTaskCompleted à utiliser une valeur de paramètre sans qu'elle ne soit obligatoire, vous pouvez utiliser l'opérateur StringEqualsIfExists à la place.

AWS politique gérée : SimpleWorkflowFullAccess

Vous pouvez associer la politique SimpleWorkflowFullAccess à vos identités IAM.

Cette politique fournit un accès complet au service de configuration Amazon SWF.

Limitations du modèle de service sur les politiques IAM

Vous devez tenir compte des contraintes du modèle de service lorsque vous créez des politiques IAM. Il est possible de créer une politique IAM syntaxiquement valide qui représente une demande Amazon SWF non valide ; une demande autorisée en termes de contrôle d'accès peut toujours échouer car elle n'est pas valide.

Par exemple, le modèle de service Amazon SWF n'autorise pas l'utilisation typeFilter des tagFilter paramètres et dans la même ListOpenWorkflowExecutions demande. La condition suivante autoriserait les appels que le service rejettera (en lançant) en ValidationException tant que demande non valide :

"Condition" : {
   "StringEquals" : { 
      "swf:typeFilter.name" : "workflow_name",
      "swf:typeFilter.version" : "workflow_version",
      "swf:tagFilter.tag" : "some_tag" 
    }
}