Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Usa AWS Identity and Access Management per autenticare

AWS Identity and Access Management (IAM) è uno strumento Servizio AWS che aiuta un amministratore a controllare in modo sicuro l'accesso alle AWS risorse. Gli amministratori IAM controllano chi può essere autenticato (effettuato l'accesso) e autorizzato (disporre delle autorizzazioni) a utilizzare le risorse di Amazon Location. IAM è uno Servizio AWS strumento che puoi utilizzare senza costi aggiuntivi.

Destinatari

Il modo in cui utilizzi AWS Identity and Access Management (IAM) varia in base al tuo ruolo:

Autenticazione con identità

L'autenticazione è il modo in cui accedi AWS utilizzando le tue credenziali di identità. Devi autenticarti come utente IAM o assumendo un ruolo IAM. Utente root dell'account AWS

Puoi accedere come identità federata utilizzando credenziali provenienti da una fonte di identità come AWS IAM Identity Center (IAM Identity Center), autenticazione Single Sign-On o credenziali. Google/Facebook Per ulteriori informazioni sull'accesso, consulta Come accedere al tuo nella Guida per l'utente Account AWS.Accedi ad AWS

Per l'accesso programmatico, AWS fornisce un SDK e una CLI per firmare crittograficamente le richieste. Per ulteriori informazioni, consulta AWS Signature Version 4 per le richieste API nella IAM User Guide.

Account AWS utente root

Quando si crea un Account AWS, si inizia con un'identità di accesso denominata utente Account AWS root che ha accesso completo a tutte Servizi AWS le risorse. Ti consigliamo vivamente di non utilizzare l'utente root per le attività quotidiane. Per le attività che richiedono le credenziali dell'utente root, consulta Attività che richiedono le credenziali dell'utente root nella Guida per l'utente IAM.

Identità federata

Come best practice, richiedi agli utenti umani di utilizzare la federazione con un provider di identità per accedere Servizi AWS utilizzando credenziali temporanee.

Un'identità federata è un utente della directory aziendale, del provider di identità Web o Directory Service che accede Servizi AWS utilizzando le credenziali di una fonte di identità. Le identità federate assumono ruoli che forniscono credenziali temporanee.

Per la gestione centralizzata degli accessi, consigliamo. AWS IAM Identity Center Per ulteriori informazioni, consulta Cos'è IAM Identity Center? nella Guida per l'utente di AWS IAM Identity Center .

Utenti e gruppi IAM

Un utente IAM è un'identità con autorizzazioni specifiche per una singola persona o applicazione. Consigliamo di utilizzare credenziali temporanee anziché utenti IAM con credenziali a lungo termine. Per ulteriori informazioni, consulta Richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee nella Guida per l'utente IAM.

Un gruppo IAM specifica una raccolta di utenti IAM e semplifica la gestione delle autorizzazioni per grandi gruppi di utenti. Per ulteriori informazioni, consulta Casi d'uso per utenti IAM nella Guida per l'utente IAM.

Ruoli IAM

Un ruolo IAM è un'identità con autorizzazioni specifiche che fornisce credenziali temporanee. Puoi assumere un ruolo passando da un utente a un ruolo IAM (console) o chiamando un'operazione AWS CLI o AWS API. Per ulteriori informazioni, consulta Metodi per assumere un ruolo nella Guida per l'utente IAM.

I ruoli IAM sono utili per l'accesso federato degli utenti, le autorizzazioni utente IAM temporanee, l'accesso tra account, l'accesso tra servizi e le applicazioni in esecuzione su Amazon. EC2 Per maggiori informazioni, consultare Accesso a risorse multi-account in IAM nella Guida per l’utente di IAM.

Gestione dell’accesso con l’utilizzo delle policy

Puoi controllare l'accesso AWS creando policy e collegandole a identità o risorse. AWS Una policy definisce le autorizzazioni quando è associata a un'identità o a una risorsa. AWS valuta queste politiche quando un preside effettua una richiesta. La maggior parte delle politiche viene archiviata AWS come documenti JSON. Per ulteriori informazioni sui documenti relativi alle policy JSON, consulta Overview of JSON policy nella IAM User Guide.

Utilizzando le policy, gli amministratori specificano chi ha accesso a cosa definendo quale principale può eseguire azioni su quali risorse e in quali condizioni.

Per impostazione predefinita, utenti e ruoli non dispongono di autorizzazioni. Un amministratore IAM crea le policy IAM e le aggiunge ai ruoli, che gli utenti possono quindi assumere. Le policy IAM definiscono le autorizzazioni indipendentemente dal metodo utilizzato per eseguire l'operazione.

Policy basate sull’identità

Le policy basate sull'identità sono documenti di policy di autorizzazione JSON che alleghi a un'identità (utente, gruppo o ruolo). Queste politiche controllano quali azioni possono eseguire le identità, su quali risorse e in quali condizioni. Per informazioni su come creare una policy basata su identità, consultare Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente nella Guida per l’utente di IAM.

Le politiche basate sull'identità possono essere politiche in linea (incorporate direttamente in una singola identità) o politiche gestite (politiche autonome collegate a più identità). Per scoprire come scegliere tra politiche gestite e politiche in linea, consulta Choose between managed policy e inline policy nella IAM User Guide.

Policy basate sulle risorse

Le policy basate su risorse sono documenti di policy JSON che è possibile collegare a una risorsa. Gli esempi includono le policy di trust dei ruoli IAM e le policy dei bucket di Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. In una policy basata sulle risorse è obbligatorio specificare un’entità principale.

Le policy basate su risorse sono policy inline che risiedono in tale servizio. Non è possibile utilizzare le policy AWS gestite di IAM in una policy basata sulle risorse.

Altri tipi di policy

AWS supporta tipi di policy aggiuntivi che possono impostare le autorizzazioni massime concesse dai tipi di policy più comuni:

Più tipi di policy

Quando più tipi di policy si applicano a una richiesta, le autorizzazioni risultanti sono più complicate da comprendere. Per sapere come si AWS determina se consentire una richiesta quando sono coinvolti più tipi di policy, consulta la logica di valutazione delle policy nella IAM User Guide.

Come funziona Amazon Location Service con IAM

Prima di utilizzare IAM per gestire l'accesso ad Amazon Location, scopri quali funzionalità IAM sono disponibili per l'uso con Amazon Location.

Per avere una visione di alto livello di come Amazon Location e altri AWS servizi funzionano con la maggior parte delle funzionalità IAM, consulta AWS i servizi che funzionano con IAM nella IAM User Guide.

Politiche basate sull'identità per Amazon Location

Supporta le policy basate sull’identità: sì

Le policy basate sull’identità sono documenti di policy di autorizzazione JSON che è possibile allegare a un’identità (utente, gruppo di utenti o ruolo IAM). Tali policy definiscono le operazioni che utenti e ruoli possono eseguire, su quali risorse e in quali condizioni. Per informazioni su come creare una policy basata su identità, consultare Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente nella Guida per l’utente di IAM.

Con le policy basate sull’identità di IAM, è possibile specificare quali operazioni e risorse sono consentite o respinte, nonché le condizioni in base alle quali le operazioni sono consentite o respinte. Per informazioni su tutti gli elementi utilizzabili in una policy JSON, consulta Guida di riferimento agli elementi delle policy JSON IAM nella Guida per l’utente di IAM.

Esempi di policy basate sull'identità per Amazon Location

Per visualizzare esempi di politiche basate sull'identità di Amazon Location, consulta. Esempi di policy basate sull'identità per Amazon Location Service

Politiche basate sulle risorse all'interno di Amazon Location

Supporta le policy basate su risorse: no

Le policy basate su risorse sono documenti di policy JSON che è possibile collegare a una risorsa. Esempi di policy basate sulle risorse sono le policy di attendibilità dei ruoli di IAM e le policy dei bucket di Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. Quando è collegata a una risorsa, una policy definisce le operazioni che un principale può eseguire su tale risorsa e a quali condizioni. In una policy basata sulle risorse è obbligatorio specificare un’entità principale. I principali possono includere account, utenti, ruoli, utenti federati o. Servizi AWS

Per consentire l’accesso multi-account, è possibile specificare un intero account o entità IAM in un altro account come entità principale in una policy basata sulle risorse. Per maggiori informazioni, consultare Accesso a risorse multi-account in IAM nella Guida per l’utente di IAM.

Azioni politiche per Amazon Location

Supporta le operazioni di policy: si

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento Action di una policy JSON descrive le operazioni che è possibile utilizzare per consentire o negare l’accesso a un criterio. Includere le operazioni in una policy per concedere le autorizzazioni a eseguire l’operazione associata.

Per visualizzare un elenco delle azioni di Amazon Location, consulta Actions Defined by Amazon Location Service nel Service Authorization Reference.

Le azioni politiche in Amazon Location utilizzano il seguente prefisso prima dell'azione:

geo

Per specificare più operazioni in una sola istruzione, occorre separarle con la virgola.

"Action": [
      "geo:action1",
      "geo:action2"
         ]

È possibile specificare più azioni tramite caratteri jolly (*). Ad esempio, per specificare tutte le azioni che iniziano con la parola Get, includi la seguente azione:

"Action": "geo:Get*"

Per visualizzare esempi di politiche basate sull'identità di Amazon Location, consulta. Esempi di policy basate sull'identità per Amazon Location Service

Risorse relative alle policy per Amazon Location

Supporta le risorse relative alle policy: sì

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento JSON Resource della policy specifica l’oggetto o gli oggetti ai quali si applica l’operazione. Come best practice, specificare una risorsa utilizzando il suo nome della risorsa Amazon (ARN). Per le azioni che non supportano le autorizzazioni a livello di risorsa, usa un carattere jolly (*) per indicare che l'istruzione si applica a tutte le risorse.

"Resource": "*"

Per visualizzare un elenco dei tipi di risorse di Amazon Location e relativi ARNs, consulta Resources Defined by Amazon Location Service nel Service Authorization Reference. Per sapere con quali azioni puoi specificare l'ARN di ogni risorsa, consulta Actions Defined by Amazon Location Service.

Per visualizzare esempi di politiche basate sull'identità di Amazon Location, consulta. Esempi di policy basate sull'identità per Amazon Location Service

Chiavi delle condizioni della politica per Amazon Location

Supporta le chiavi di condizione delle policy specifiche del servizio: sì

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L'Conditionelemento specifica quando le istruzioni vengono eseguite in base a criteri definiti. È possibile compilare espressioni condizionali che utilizzano operatori di condizione, ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'utente IAM.

Per visualizzare un elenco di chiavi di condizione di Amazon Location, consulta Condition Keys for Amazon Location Service nel Service Authorization Reference. Per sapere con quali azioni e risorse puoi utilizzare una chiave di condizione, consulta Azioni definite da Amazon Location Service.

Amazon Location supporta le chiavi di condizione per consentirti di consentire o negare l'accesso a geofence o dispositivi specifici nelle tue dichiarazioni politiche. Sono disponibili le seguenti chiavi di condizione:

Le seguenti azioni possono essere utilizzate geo:GeofenceIds nella tua policy IAM:

Le seguenti azioni possono essere utilizzate geo:DeviceIds nella tua policy IAM:

Per visualizzare esempi di politiche basate sull'identità di Amazon Location, consulta. Esempi di policy basate sull'identità per Amazon Location Service

ACLs in Amazon Location

Supporti ACLs: no

Le liste di controllo degli accessi (ACLs) controllano quali principali (membri dell'account, utenti o ruoli) dispongono delle autorizzazioni per accedere a una risorsa. ACLs sono simili alle politiche basate sulle risorse, sebbene non utilizzino il formato del documento di policy JSON.

ABAC con Amazon Location

Supporta ABAC (tag nelle policy): sì

Il controllo degli accessi basato sugli attributi (ABAC) è una strategia di autorizzazione che definisce le autorizzazioni in base ad attributi chiamati tag. Puoi allegare tag a entità e AWS risorse IAM, quindi progettare politiche ABAC per consentire operazioni quando il tag del principale corrisponde al tag sulla risorsa.

Per controllare l’accesso basato su tag, fornire informazioni sui tag nell’elemento condizione di una policy utilizzando le chiavi di condizione aws:ResourceTag/key-name, aws:RequestTag/key-name o aws:TagKeys.

Se un servizio supporta tutte e tre le chiavi di condizione per ogni tipo di risorsa, il valore per il servizio è Sì. Se un servizio supporta tutte e tre le chiavi di condizione solo per alcuni tipi di risorsa, allora il valore sarà Parziale.

Per maggiori informazioni su ABAC, consultare Definizione delle autorizzazioni con autorizzazione ABAC nella Guida per l’utente di IAM. Per visualizzare un tutorial con i passaggi per l’impostazione di ABAC, consultare Utilizzo del controllo degli accessi basato su attributi (ABAC) nella Guida per l’utente di IAM.

Per ulteriori informazioni sull'etichettatura delle risorse di Amazon Location, consultaCome usare i tag.

Per visualizzare una policy basata sulle identità di esempio per limitare l'accesso a una risorsa basata su tag su tale risorsa, consulta Controlla l'accesso alle risorse in base ai tag.

Utilizzo di credenziali temporanee con Amazon Location

Supporta le credenziali temporanee: sì

Le credenziali temporanee forniscono un accesso a breve termine alle AWS risorse e vengono create automaticamente quando utilizzi la federazione o cambi ruolo. AWS consiglia di generare dinamicamente credenziali temporanee anziché utilizzare chiavi di accesso a lungo termine. Per ulteriori informazioni, consulta Credenziali di sicurezza temporanee in IAM e compatibili Servizi AWS con IAM nella IAM User Guide.

Autorizzazioni principali multiservizio per Amazon Location

Supporta l'inoltro delle sessioni di accesso (FAS): no

Le sessioni di accesso inoltrato (FAS) utilizzano le autorizzazioni del principale chiamante e, in combinazione con la richiesta Servizio AWS, Servizio AWS per effettuare richieste ai servizi downstream. Per i dettagli delle policy relative alle richieste FAS, consultare Forward access sessions.

Ruoli di servizio per Amazon Location

Supporta i ruoli di servizio: no

Un ruolo di servizio è un ruolo IAM che un servizio assume per eseguire operazioni per tuo conto. Un amministratore IAM può creare, modificare ed eliminare un ruolo di servizio dall’interno di IAM. Per maggiori informazioni, consultare la sezione Creazione di un ruolo per delegare le autorizzazioni a un Servizio AWS nella Guida per l’utente di IAM.

Ruoli collegati ai servizi per Amazon Location

Supporta i ruoli collegati ai servizi: no

Un ruolo collegato al servizio è un tipo di ruolo di servizio collegato a un. Servizio AWS Il servizio può assumere il ruolo per eseguire un’azione per tuo conto. I ruoli collegati al servizio vengono visualizzati nel tuo account Account AWS e sono di proprietà del servizio. Un amministratore IAM può visualizzare le autorizzazioni per i ruoli collegati al servizio, ma non modificarle.

Per ulteriori informazioni su come creare e gestire i ruoli collegati ai servizi, consulta Servizi AWS supportati da IAM. Trova un servizio nella tabella che include un Yes nella colonna Service-linked role (Ruolo collegato ai servizi). Scegli il collegamento Sì per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Come funziona Amazon Location Service con utenti non autenticati

Molti scenari per l'utilizzo di Amazon Location Service, inclusa la visualizzazione di mappe sul Web o in un'applicazione mobile, richiedono l'accesso agli utenti che non hanno effettuato l'accesso con IAM. Per questi scenari non autenticati, hai due opzioni.

Per una panoramica sulla fornitura dell'accesso a utenti non autenticati, consulta. Autenticazione con Amazon Location Service

Esempi di policy basate sull'identità per Amazon Location Service

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse Amazon Location. Per concedere agli utenti l’autorizzazione a eseguire operazioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consultare Creazione di policy IAM (console) nella Guida per l’utente di IAM.

Per dettagli sulle azioni e sui tipi di risorse definiti da Amazon Location, incluso il formato di ARNs per ogni tipo di risorsa, consulta Actions, Resources and Condition Keys for Amazon Location Service nel Service Authorization Reference.

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare le risorse di Amazon Location nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consultare Best practice di sicurezza in IAM nella Guida per l’utente di IAM.

Utilizzo della console Amazon Location

Per accedere alla console Amazon Location Service, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse di Amazon Location presenti nel tuo Account AWS. Se si cra una policy basata sull’identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario concedere autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è opportuno concedere l’accesso solo alle operazioni che corrispondono all’operazione API che stanno cercando di eseguire.

Per garantire che utenti e ruoli possano utilizzare la console Amazon Location, allega la seguente politica alle entità. Per maggiori informazioni, consultare Aggiunta di autorizzazioni a un utente nella Guida per l’utente di IAM.

La seguente politica consente di accedere alla console di Amazon Location Service, per poter creare, eliminare, elencare e visualizzare i dettagli sulle risorse di Amazon Location nel tuo AWS account.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "GeoPowerUser",
      "Effect": "Allow",
      "Action": [
        "geo:*",
        "geo-maps:*",
        "geo-places:*",
        "geo-routes:*"
      ],
      "Resource": "*"
    }
  ]
}

In alternativa, puoi concedere autorizzazioni di sola lettura per facilitare l'accesso in sola lettura. Con le autorizzazioni di sola lettura, viene visualizzato un messaggio di errore se l'utente tenta di scrivere azioni come la creazione o l'eliminazione di risorse. Ad esempio, vedi Politica di sola lettura per le risorse del tracker

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Utilizzo delle risorse di Amazon Location Service nella politica

Amazon Location Service utilizza i seguenti prefissi per le risorse:

Utilizzate la seguente sintassi ARN:

arn:Partition:geo:Region:Account:ResourcePrefix/ResourceName

Per ulteriori informazioni sul formato di ARNs, consulta Amazon Resource Names (ARNs) e AWS Service Namespaces.

Esempi

Per visualizzare un elenco dei tipi di risorse di Amazon Location e relativi ARNs, consulta Resources Defined by Amazon Location Service nel Service Authorization Reference. Per sapere con quali azioni puoi specificare l'ARN di ogni risorsa, consulta Actions Defined by Amazon Location Service.

Autorizzazioni per l'aggiornamento delle posizioni dei dispositivi

Per aggiornare le posizioni dei dispositivi per più tracker, ti consigliamo di concedere a un utente l'accesso a una o più delle tue risorse di tracker. Dovrai anche consentire all'utente di aggiornare un batch di posizioni del dispositivo.

In questo esempio, oltre a concedere l'accesso alle Tracker2 risorse Tracker1 and, la seguente politica concede l'autorizzazione a utilizzare l'geo:BatchUpdateDevicePositionazione contro le risorse Tracker1 andTracker2.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ]
    }
  ]
}

Se desideri limitare l'utente alla possibilità di aggiornare le posizioni dei dispositivi solo per un dispositivo specifico, puoi aggiungere una chiave di condizione per l'ID del dispositivo.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

Politica di sola lettura per le risorse del tracker

Per creare una politica di sola lettura per tutte le risorse di tracker presenti nel tuo AWS account, devi concedere l'accesso a tutte le risorse di tracker. Ti consigliamo inoltre di concedere a un utente l'accesso alle azioni che gli consentano di ottenere la posizione del dispositivo per più dispositivi, ottenere la posizione del dispositivo da un singolo dispositivo e ottenere la cronologia delle posizioni.

In questo esempio, la seguente politica concede l'autorizzazione per le seguenti azioni:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "GetDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchGetDevicePosition",
        "geo:GetDevicePosition",
        "geo:GetDevicePositionHistory"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:tracker/*"
    }
  ]
}

Politica per la creazione di geofence

Per creare una politica che consenta a un utente di creare geofence, dovrai concedere l'accesso a azioni specifiche che consentano agli utenti di creare uno o più geofence su una raccolta di geofence.

La politica seguente concede l'autorizzazione alle seguenti azioni su: Collection

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CreateGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

Politica di sola lettura per i geofence

Per creare una politica di sola lettura per i geofence archiviati in una raccolta di geofence del tuo AWS account, dovrai concedere l'accesso alle azioni che leggono i geofence dalla raccolta di geofence che archivia i geofence.

La politica seguente concede l'autorizzazione alle seguenti azioni su: Collection

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "GetGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:ListGeofences",
        "geo:GetGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

Autorizzazioni per il rendering di una risorsa cartografica

Per concedere autorizzazioni sufficienti per il rendering delle mappe, dovrai concedere l'accesso ai riquadri della mappa, agli sprite, ai glifi e al descrittore di stile:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "GetTiles",
      "Effect": "Allow",
      "Action": [
        "geo:GetMapTile",
        "geo:GetMapSprites",
        "geo:GetMapGlyphs",
        "geo:GetMapStyleDescriptor"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:map/Map"
    }
  ]
}

Autorizzazioni per consentire le operazioni di ricerca

Per creare una politica che consenta le operazioni di ricerca, devi prima concedere l'accesso alla risorsa dell'indice dei luoghi nel tuo AWS account. Dovrai inoltre concedere l'accesso alle azioni che consentono all'utente di effettuare ricerche utilizzando il testo mediante geocodifica e di eseguire ricerche utilizzando una posizione mediante geocodifica inversa.

In questo esempio, oltre a concedere l'accesso aPlaceIndex, la seguente politica concede anche l'autorizzazione alle seguenti azioni:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "Search",
      "Effect": "Allow",
      "Action": [
        "geo:SearchPlaceIndexForPosition",
        "geo:SearchPlaceIndexForText"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:place-index/PlaceIndex"
    }
  ]
}

Politica di sola lettura per i calcolatori di percorso

È possibile creare una politica di sola lettura per consentire a un utente di accedere a una risorsa di calcolo del percorso per calcolare un percorso.

In questo esempio, oltre a concedere l'accesso aExampleCalculator, la seguente politica concede l'autorizzazione alla seguente operazione:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "RoutesReadOnly",
      "Effect": "Allow",
      "Action": [
        "geo:CalculateRoute"
      ],
      "Resource": "arn:aws:geo:us-west-2:accountID:route-calculator/ExampleCalculator"
    }
  ]
}

Controlla l'accesso alle risorse in base alle chiavi di condizione

Quando crei una policy IAM per concedere l'accesso all'uso di geofence o posizioni dei dispositivi, puoi utilizzare gli operatori Condition per un controllo più preciso sui geofence o sui dispositivi a cui un utente può accedere. Puoi farlo includendo l'id geofence o l'id del dispositivo nell'elemento della tua policy. Condition

Il seguente esempio di policy mostra come creare una policy che consenta a un utente di aggiornare le posizioni dei dispositivi per un dispositivo specifico.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

Controlla l'accesso alle risorse in base ai tag

Quando crei una policy IAM per concedere l'accesso all'uso delle tue risorse Amazon Location, puoi utilizzare il controllo degli accessi basato sugli attributi per controllare meglio le risorse che un utente può modificare, utilizzare o eliminare. Puoi farlo includendo le informazioni sui tag nell'Conditionelemento della tua policy per controllare l'accesso in base ai tag delle risorse.

Il seguente esempio di policy mostra come creare una policy che consenta a un utente di creare geofence. Ciò concede l'autorizzazione alle seguenti azioni per creare uno o più geofence su una raccolta di geofence denominata: Collection

Tuttavia, questa politica utilizza l'Conditionelemento per concedere l'autorizzazione solo se il Collection tag ha il valore del nome utente di quell'utente. Owner

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CreateGeofencesIfOwner",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection",
      "Condition": {
                "StringEquals": {"geo:ResourceTag/Owner": "${aws:username}"}
      }
    }
  ]
}

Per un tutorial su come definire le autorizzazioni per accedere alle risorse AWS in base ai tag, consulta la Guida per l'AWS Identity and Access Management utente.

Risoluzione dei problemi relativi all'identità e all'accesso ad Amazon Location Service

Utilizza le seguenti informazioni per aiutarti a diagnosticare e risolvere i problemi più comuni che potresti riscontrare quando lavori con Amazon Location e IAM.

Non sono autorizzato a eseguire un'azione in Amazon Location

Se ricevi un errore che indica che non sei autorizzato a eseguire un'operazione, le tue policy devono essere aggiornate per poter eseguire l'operazione.

L'errore di esempio seguente si verifica quando l'utente IAM mateojackson prova a utilizzare la console per visualizzare i dettagli relativi a una risorsa my-example-widget fittizia ma non dispone di autorizzazioni geo:GetWidget fittizie.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: geo:GetWidget on resource: my-example-widget

In questo caso, la policy per l'utente mateojackson deve essere aggiornata per consentire l'accesso alla risorsa my-example-widget utilizzando l'azione geo:GetWidget.

Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ha fornito le credenziali di accesso.

Non sono autorizzato a eseguire iam: PassRole

Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire l'iam:PassRoleazione, le tue politiche devono essere aggiornate per consentirti di trasferire un ruolo ad Amazon Location.

Alcuni Servizi AWS consentono di trasferire un ruolo esistente a quel servizio invece di creare un nuovo ruolo di servizio o un ruolo collegato al servizio. Per eseguire questa operazione, è necessario disporre delle autorizzazioni per trasmettere il ruolo al servizio.

Il seguente errore di esempio si verifica quando un utente IAM denominato marymajor tenta di utilizzare la console per eseguire un'azione in Amazon Location. Tuttavia, l’azione richiede che il servizio disponga delle autorizzazioni concesse da un ruolo di servizio. Mary non dispone delle autorizzazioni per trasmettere il ruolo al servizio.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In questo caso, le policy di Mary devono essere aggiornate per poter eseguire l’operazione iam:PassRole.

Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ha fornito le credenziali di accesso.

Voglio consentire a persone esterne a me di accedere Account AWS alle mie risorse di Amazon Location

È possibile creare un ruolo con il quale utenti in altri account o persone esterne all’organizzazione possono accedere alle risorse. È possibile specificare chi è attendibile per l’assunzione del ruolo. Per i servizi che supportano politiche basate sulle risorse o liste di controllo degli accessi (ACLs), puoi utilizzare tali politiche per consentire alle persone di accedere alle tue risorse.

Per maggiori informazioni, consultare gli argomenti seguenti: