Controllo dell'accesso ai tunnel - AWS IoT Core
Prerequisiti di accesso al tunnelPolicy di accesso al tunnel

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo dell'accesso ai tunnel

Il tunneling sicuro fornisce le operazioni, le risorse e le chiavi di contesto della condizione specifiche del servizio da utilizzare nelle policy di autorizzazione IAM.

Prerequisiti di accesso al tunnel

Policy di accesso al tunnel

È necessario utilizzare le seguenti policy per concedere le autorizzazioni a utilizzare l'API di tunneling sicuro. Per ulteriori informazioni sulla AWS IoT sicurezza, consultaGestione delle identità e degli accessi per AWS IoT.

L'operazione policy iot:OpenTunnel concede un'autorizzazione principale per chiamare OpenTunnel.

Nell'elemento Resource dell'istruzione di policy IAM:

  • Specifica l'ARN del tunnel con carattere jolly:

    arn:aws:iot:aws-region:aws-account-id:tunnel/*

  • Specifica l'ARN di un oggetto per gestire l'autorizzazione OpenTunnel per specifici oggetti IoT:

    arn:aws:iot:aws-region:aws-account-id:thing/thing-name

Ad esempio, la seguente dichiarazione di policy consente di aprire un tunnel per l'oggetto IoT denominato TestDevice.

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

L'operazione policy iot:OpenTunnel supporta le seguenti chiavi di condizione:

  • iot:ThingGroupArn

  • iot:TunnelDestinationService

  • aws:RequestTag/tag-key

  • aws:SecureTransport

  • aws:TagKeys

La seguente istruzione della policy consente di aprire un tunnel per l'oggetto, se l'oggetto appartiene a un gruppo di oggetti con un nome che inizia con TestGroup e il servizio di destinazione configurato nel tunnel è SSH.

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "ForAnyValue:StringLike": {
            "iot:ThingGroupArn": [
                "arn:aws:iot:aws-region:aws-account-id:thinggroup/TestGroup*"
            ]
        },
        "ForAllValues:StringEquals": {
            "iot:TunnelDestinationService": [
                "SSH"
            ]
        }
    }
}

È inoltre possibile utilizzare i tag delle risorse per controllare le autorizzazioni per aprire i tunnel. Ad esempio, la seguente dichiarazione policy consente di aprire un tunnel se la chiave tag Owner è presente con un valore di Admin e non vengono specificati altri tag. Per informazioni generali sull'utilizzo dei tag, consulta Taggare le tue risorse AWS IoT.

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Owner": "Admin"
        },
        "ForAllValues:StringEquals": {
            "aws:TagKeys": "Owner"
        }
    }
}

L'operazione policy iot:RotateTunnelAccessToken concede un'autorizzazione principale per chiamare RotateTunnelAccessToken.

Nell'elemento Resource dell'istruzione di policy IAM:

  • Specifica l'ARN del tunnel completo:

    arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

    Puoi anche utilizzare l'ARN del tunnel con carattere jolly:

    arn:aws:iot:aws-region:aws-account-id:tunnel/*

  • Specifica l'ARN di un oggetto per gestire l'autorizzazione RotateTunnelAccessToken per specifici oggetti IoT:

    arn:aws:iot:aws-region:aws-account-id:thing/thing-name

Ad esempio, la seguente istruzione di policy consente di ruotare il token di accesso di origine di un tunnel o il token di accesso di destinazione di un tunnel per l'oggetto IoT denominato TestDevice.

{
    "Effect": "Allow",
    "Action": "iot:RotateTunnelAccessToken",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

L'operazione policy iot:RotateTunnelAccessToken supporta le seguenti chiavi di condizione:

  • iot:ThingGroupArn

  • iot:TunnelDestinationService

  • iot:ClientMode

  • aws:SecureTransport

La seguente istruzione di policy consente di ruotare il token di accesso di destinazione sull'oggetto se l'oggetto appartiene a un gruppo di oggetti con un nome che inizia con TestGroup, il servizio di destinazione configurato nel tunnel è SSH e il client è in modalità DESTINATION.

{
    "Effect": "Allow",
    "Action": "iot:RotateTunnelAccessToken",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "ForAnyValue:StringLike": {
            "iot:ThingGroupArn": [
                "arn:aws:iot:aws-region:aws-account-id:thinggroup/TestGroup*"
            ]
        },
        "ForAllValues:StringEquals": {
            "iot:TunnelDestinationService": [
                "SSH"
            ],
            "iot:ClientMode": "DESTINATION"
        }
    }
}

L'operazione policy iot:DescribeTunnel concede un'autorizzazione principale per chiamare DescribeTunnel.

Nell'elemento Resource dell'istruzione di policy IAM, specifica l'ARN del tunnel completo:

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

Puoi anche utilizzare l'ARN del carattere jolly:

arn:aws:iot:aws-region:aws-account-id:tunnel/*

L'operazione policy iot:DescribeTunnel supporta le seguenti chiavi di condizione:

  • aws:ResourceTag/tag-key

  • aws:SecureTransport

La seguente dichiarazione policy consente di chiamare DescribeTunnel se il tunnel richiesto è contrassegnato con la chiave Owner con un valore pari a Admin.

{
    "Effect": "Allow",
    "Action": "iot:DescribeTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:ResourceTag/Owner": "Admin"
        }
    }
}

L'operazione policy iot:ListTunnels concede un'autorizzazione principale per chiamare ListTunnels.

Nell'elemento Resource dell'istruzione di policy IAM:

  • Specifica l'ARN del tunnel con carattere jolly:

    arn:aws:iot:aws-region:aws-account-id:tunnel/*

  • Specifica l'ARN di un oggetto per gestire l'autorizzazione ListTunnels per gli oggetti IoT selezionati:

    arn:aws:iot:aws-region:aws-account-id:thing/thing-name

L'operazione di policy iot:ListTunnels supporta la chiave di condizione aws:SecureTransport.

La seguente dichiarazione policy consente di elencare i tunnel per l'oggetto denominato TestDevice.

{
    "Effect": "Allow",
    "Action": "iot:ListTunnels",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

L'operazione policy iot:ListTagsForResource concede un'autorizzazione principale per chiamare ListTagsForResource.

Nell'elemento Resource dell'istruzione di policy IAM, specifica l'ARN del tunnel completo:

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

Puoi anche utilizzare l'ARN del tunnel con carattere jolly:

arn:aws:iot:aws-region:aws-account-id:tunnel/*

L'operazione di policy iot:ListTagsForResource supporta la chiave di condizione aws:SecureTransport.

L'operazione policy iot:CloseTunnel concede un'autorizzazione principale per chiamare CloseTunnel.

Nell'elemento Resource dell'istruzione di policy IAM, specifica l'ARN del tunnel completo:

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

Puoi anche utilizzare l'ARN del tunnel con carattere jolly:

arn:aws:iot:aws-region:aws-account-id:tunnel/*

L'operazione policy iot:CloseTunnel supporta le seguenti chiavi di condizione:

  • iot:Delete

  • aws:ResourceTag/tag-key

  • aws:SecureTransport

La seguente dichiarazione policy consente di chiamare CloseTunnel se il parametro Delete della richiesta è false e il tunnel richiesto viene taggato con la chiave Owner con un valore pari a QATeam.

{
    "Effect": "Allow",
    "Action": "iot:CloseTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "Bool": {
            "iot:Delete": "false"
        },
        "StringEquals": {
            "aws:ResourceTag/Owner": "QATeam"
        }
    }
}

L'operazione policy iot:TagResource concede un'autorizzazione principale per chiamare TagResource.

Nell'elemento Resource dell'istruzione di policy IAM, specifica l'ARN del tunnel completo:

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

Puoi anche utilizzare l'ARN del tunnel con carattere jolly:

arn:aws:iot:aws-region:aws-account-id:tunnel/*

L'operazione di policy iot:TagResource supporta la chiave di condizione aws:SecureTransport.

L'operazione policy iot:UntagResource concede un'autorizzazione principale per chiamare UntagResource.

Nell'elemento Resource dell'istruzione di policy IAM, specifica l'ARN del tunnel completo:

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

Puoi anche utilizzare l'ARN del tunnel con carattere jolly:

arn:aws:iot:aws-region:aws-account-id:tunnel/*

L'operazione di policy iot:UntagResource supporta la chiave di condizione aws:SecureTransport.