Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Identity-based exemples de politiques pour Amazon GameLift Streams

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources Amazon GameLift Streams. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques IAM (console) dans le Guide de l’utilisateur IAM.

Pour plus d'informations sur les actions et les types de ressources définis par Amazon GameLift Streams, y compris le format des ARN pour chacun des types de ressources, consultez la section Actions, ressources et clés de condition pour Amazon GameLift Streams dans la référence d'autorisation de service.

Bonnes pratiques en matière de politiques

Identity-based les politiques déterminent si quelqu'un peut créer des ressources Amazon GameLift Streams sur votre compte, y accéder ou les supprimer. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console Amazon GameLift Streams

Pour accéder à la console Amazon GameLift Streams, vous devez disposer d'un ensemble minimum d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher des informations sur les ressources Amazon GameLift Streams de votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut des autorisations pour effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Création et gestion d'URL de flux

Cet exemple accorde le minimum de privilèges requis pour créer, surveiller et révoquer des URL de flux. CreateStreamUrlGetStreamUrl, et RevokeStreamUrl sont autorisés à accéder à un groupe de flux. Vous pouvez donc les définir en fonction des ARN de ressources de groupe de flux. Un principal bénéficiant de ces autorisations sur un groupe de flux peut agir sur chaque URL de flux de ce groupe de flux. Vous ne pouvez pas étendre ces autorisations à une URL de diffusion individuelle. ListStreamUrlsest limité à un compte et renvoie les URL des flux à tous vos groupes de flux, il prend Resource donc réglé sur. "*" En outre, CreateStreamUrl nécessite une gameliftstreams:StartStreamSession autorisation pour l'application vers laquelle pointe l'URL du flux, car l'activation de l'URL du flux démarre une session de diffusion qui exécute cette application. Étendez cette autorisation à l'ARN de la ressource d'application.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ManageStreamUrls",
      "Effect": "Allow",
      "Action": [
        "gameliftstreams:CreateStreamUrl",
        "gameliftstreams:GetStreamUrl",
        "gameliftstreams:RevokeStreamUrl"
      ],
      "Resource": "arn:aws:gameliftstreams:*:111122223333:streamgroup/*"
    },
    {
      "Sid": "StartSessionsForStreamUrls",
      "Effect": "Allow",
      "Action": "gameliftstreams:StartStreamSession",
      "Resource": "arn:aws:gameliftstreams:*:111122223333:application/*"
    },
    {
      "Sid": "ListStreamUrlsInAccount",
      "Effect": "Allow",
      "Action": "gameliftstreams:ListStreamUrls",
      "Resource": "*"
    }
  ]
}

Si vous transmettez un rôle IAM RoleArn lorsque vous créez une URL de flux, accordez iam:PassRole également ce rôle, limité à Amazon GameLift Streams :

{
  "Sid": "PassRoleToStreamUrlSessions",
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::111122223333:role/GameLiftStreams-MyStreamRole",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "gameliftstreams.amazonaws.com"
    }
  }
}