Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kebijakan IAM Amazon SWF

Kebijakan IAM berisi satu atau beberapa elemen Statement, masing-masing berisi satu set elemen yang menentukan kebijakan. Untuk daftar lengkap elemen d an diskusi umum tentang cara membangun kebijakan, lihat Bahasa Kebijakan Akses. Amazon SWF kontrol akses didasarkan pada unsur-unsur berikut:

Bagian berikut memberikan contoh mengenai cara membangun kebijakan Amazon SWF. Untuk detailnya, lihat Syarat String.

Kebijakan penulisan untuk Amazon SWF

Alur kerja terdiri dari beberapa aktor — aktivitas, penentu, dan sebagainya. Anda dapat mengontrol akses untuk setiap aktor dengan melampirkan kebijakan IAM yang sesuai.

Dengan tindakan berikut, aktor akan diberikan akses akun penuh di semua wilayah:

Anda dapat menggunakan wildcard untuk memiliki nilai tunggal yang mewakili beberapa sumber daya, tindakan, atau wilayah.

Untuk detail tentang cara menggunakan wildcard, lihat Deskripsi Elemen

Perizinan Domain

Untuk membatasi alur kerja departemen ke domain tertentu, Anda dapat memberikan izin yang memungkinkan aktor untuk memanggil tindakan apa pun, tetapi hanya untuk departemen tertentu.

Untuk mendapatkan akses aktor ke lebih dari satu domain, berikan izin untuk setiap domain sebagai daftar Pernyataan:

Anda dapat mengizinkan aktor untuk menggunakan tindakan Amazon SWF apa pun di domain department1 dandepartment2. Anda juga dapat menggunakan wildcard sesekali untuk mewakili beberapa domain.

Izin dan Kendala API

Anda mengontrol tindakan mana yang dapat digunakan aktor dengan menentukan tindakan dalam Action elemen.

Dengan tindakan berikut, seorang aktor hanya dapat menelepon StartWorkflowExecution untuk memulai alur kerja. Itu tidak bisa menggunakan tindakan lain.

Ketentuan

Anda dapat secara opsional membatasi nilai parameter tindakan yang diizinkan dengan menggunakan elemen. Condition

Untuk membatasi alur kerja yang dapat dimulai aktor, batasi satu atau lebih nilai StartWorkflowExecution parameter, sebagai berikut:

"Condition" : {
   "StringEquals" : { 
      "swf:workflowType.name" : "workflow1",
      "swf:workflowType.version" : "version2" 
    }
}

Seorang aktor dengan kendala sebelumnya hanya version2 dapat menjalankan workflow1 dan kedua parameter harus disertakan dalam permintaan.

Anda dapat membatasi parameter tanpa harus memasukkanya dalam permintaan dengan menggunakan operator StringEqualsIfExists, sebagai berikut:

"Condition" : {
   "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
}

Aktor dengan kebijakan sebelumnya dapat menentukan daftar tugas secara opsional saat memulai eksekusi alur kerja.

Anda dapat membatasi daftar tag untuk beberapa tindakan. Setiap tag memiliki kunci terpisah, jadi Anda gunakan swf:tagList.member.0 untuk membatasi tag pertama dalam daftar, swf:tagList.member.1 untuk membatasi tag kedua dalam daftar, dan seterusnya, hingga maksimum 5.

Anda harus berhati-hati bagaimana Anda membatasi daftar tag. Misalnya, kondisi berikut tidak disarankan.

Kondisi berikut tidak disarankan karena memungkinkan Anda untuk secara opsional menentukan salah satu some_ok_tag atauanother_ok_tag. Namun, Kondisi hanya membatasi elemen pertama dari daftar tag. Daftar dapat memiliki elemen tambahan dengan nilai arbitrer yang semuanya diizinkan karena kondisi tidak menerapkan kondisi apa punswf:tagList.member.1,swf:tagList.member.2, dan seterusnya.

// Example to illustrate an insecure Condition
"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
   }
}

Salah satu cara untuk mengatasi masalah sebelumnya adalah dengan melarang penggunaan daftar tag.

Kebijakan berikut memastikan bahwa hanya some_ok_tag atau another_ok_tag yang diperbolehkan dengan mewajibkan daftar hanya memiliki satu elemen.

"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
    },
    "Null" : { "swf:tagList.member.1" : "true" }
}          

Izin dan Kendala API Semu

Untuk membatasi keputusan yang tersediaRespondDecisionTaskCompleted, Anda harus terlebih dahulu mengizinkan aktor untuk meneleponRespondDecisionTaskCompleted. Anda kemudian menyatakan izin untuk anggota API semu yang sesuai menggunakan sintaks yang sama seperti untuk API biasa, sebagai berikut:

Yang pertama Statement memungkinkan aktor untuk meneleponRespondDecisionTaskCompleted. Pernyataan kedua memungkinkan aktor untuk menggunakan ScheduleActivityTask keputusan untuk mengarahkan Amazon SWF untuk menjadwalkan tugas kegiatan. Untuk mengizinkan semua keputusan, ganti “swf:ScheduleActivityTask" dengan “swf: *”.

Anda dapat menggunakan operator Syarat untuk membatasi parameter seperti dengan API umum. StringEqualsOperator dalam contoh sebelumnya Condition memungkinkan RespondDecisionTaskCompleted untuk menjadwalkan tugas aktivitas untuk SomeActivityType aktivitas tersebut, dan harus menjadwalkan tugas itu. Jika Anda ingin mengizinkan RespondDecisionTaskCompleted untuk menggunakan nilai parameter tetapi tidak memerlukan untuk melakukannya, Anda sebaliknya dapat menggunakan operator StringEqualsIfExists.

AWS kebijakan terkelola: SimpleWorkflowFullAccess

Anda dapat melampirkan kebijakan SimpleWorkflowFullAccess ke identitas IAM Anda.

Kebijakan ini menyediakan akses penuh ke layanan konfigurasi Amazon SWF.

Layanan Model Pembatasan pada Kebijakan IAM

Anda harus mempertimbangkan kendala model layanan saat membuat kebijakan IAM. Mungkin untuk membuat kebijakan valid IAM secara sintaksis yang mewakili permintaan Amazon SWF yang tidak valid; permintaan yang diizinkan dalam hal kontrol akses masih bisa gagal karena merupakan permintaan yang tidak valid.

Misalnya, model layanan Amazon SWF tidak mengizinkan tagFilter parameter typeFilter dan digunakan dalam permintaan yang samaListOpenWorkflowExecutions. Kondisi berikut akan memungkinkan panggilan yang akan ditolak oleh layanan—dengan melempar ValidationException —sebagai permintaan yang tidak valid:

"Condition" : {
   "StringEquals" : { 
      "swf:typeFilter.name" : "workflow_name",
      "swf:typeFilter.version" : "workflow_version",
      "swf:tagFilter.tag" : "some_tag" 
    }
}