As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Políticas do IAM do Amazon SWF

Uma política do IAM contém um ou mais elementos Statement, cada um dos quais contém um conjunto de elementos que definem a política. Para obter uma lista completa de elementos e uma discussão geral sobre como estruturar políticas, consulte A linguagem da política de acesso. O controle de acesso do Amazon SWF é baseado nos seguintes elementos:

A seção a seguir fornece exemplos de como estruturar políticas do Amazon SWF. Para obter detalhes, consulte Condições de string.

Escrevendo políticas para o Amazon SWF

Um fluxo de trabalho consiste em vários atores — atividades, decisores e assim por diante. Você pode controlar o acesso de cada ator anexando uma política do IAM apropriada.

Com a ação a seguir, o ator terá acesso total à conta em todas as regiões:

Você pode usar curingas para que um único valor represente vários recursos, ações ou regiões.

Para obter detalhes sobre como usar curingas, consulte Descrições de elementos

Permissões de domínio

Para restringir os fluxos de trabalho de um departamento a um domínio específico, você pode conceder uma permissão que permita que um ator execute qualquer ação, mas somente para um departamento específico.

Para conceder a um ator acesso a mais de um domínio, expresse a permissão para cada domínio como uma lista de declarações:

Você pode permitir que um ator use qualquer ação do Amazon SWF nos domínios department1 e. department2 Você também pode usar curingas para representar vários domínios.

Permissões e restrições da API

Você controla quais ações um ator pode usar especificando a ação no Action elemento.

Com a ação a seguir, um ator só pode ligar StartWorkflowExecution para iniciar fluxos de trabalho. Ele não pode usar nenhuma outra ação.

Condições

Opcionalmente, você pode restringir os valores de parâmetros permitidos da ação usando um elemento. Condition

Para restringir quais fluxos de trabalho um ator pode iniciar, restrinja um ou mais dos valores dos StartWorkflowExecution parâmetros, da seguinte forma:

"Condition" : {
   "StringEquals" : { 
      "swf:workflowType.name" : "workflow1",
      "swf:workflowType.version" : "version2" 
    }
}

Um ator com as restrições anteriores só version2 pode ser executado workflow1 e ambos os parâmetros devem ser incluídos na solicitação.

Você pode restringir um parâmetro sem exigir que ele seja incluído em uma solicitação, usando um operador StringEqualsIfExists, da seguinte maneira:

"Condition" : {
   "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
}

Um ator com a política anterior pode, opcionalmente, especificar uma lista de tarefas ao iniciar a execução de um fluxo de trabalho.

É possível restringir uma lista de tags para algumas ações. Cada tag tem uma chave separada, então você usa swf:tagList.member.0 para restringir a primeira tag na lista, swf:tagList.member.1 para restringir a segunda tag na lista e assim por diante, até um máximo de 5.

Você deve ter cuidado ao restringir as listas de tags. Por exemplo, a condição a seguir não é recomendada.

A condição a seguir não é recomendada porque permite que você opcionalmente especifique um some_ok_tag ouanother_ok_tag. No entanto, a Condição restringe somente o primeiro elemento da lista de tags. A lista pode ter elementos adicionais com valores arbitrários que seriam todos permitidos porque a condição não aplica nenhuma condição a swf:tagList.member.1swf:tagList.member.2, e assim por diante.

// Example to illustrate an insecure Condition
"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
   }
}

Uma forma de resolver o problema anterior é proibir o uso de listas de tags.

A seguinte política garante que somente some_ok_tag ou another_ok_tag seja permitido, exigindo que a lista tenha apenas um elemento.

"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
    },
    "Null" : { "swf:tagList.member.1" : "true" }
}          

Permissões e restrições da pseudo API

Para restringir as decisões disponíveisRespondDecisionTaskCompleted, primeiro você deve permitir que o ator ligueRespondDecisionTaskCompleted. Em seguida, você expressa as permissões para os membros apropriados da pseudo-API usando a mesma sintaxe da API normal, da seguinte forma:

O primeiro Statement permite que o ator ligueRespondDecisionTaskCompleted. A segunda declaração permite que o ator use a ScheduleActivityTask decisão para orientar o Amazon SWF a programar uma tarefa de atividade. Para permitir todas as decisões, substitua “swf:ScheduleActivityTask" por “swf: *”.

É possível operadores de condição para restringir parâmetros, como é o caso com a API regular. O StringEquals operador no exemplo anterior Condition permite RespondDecisionTaskCompleted agendar uma tarefa de atividade para a SomeActivityType atividade e deve agendar essa tarefa. Se você quiser permitir que RespondDecisionTaskCompleted use um valor de parâmetro, mas não exige que ele faça isso, poderá usar o operador StringEqualsIfExists.

AWS política gerenciada: SimpleWorkflowFullAccess

É possível anexar a política SimpleWorkflowFullAccess às identidades do IAM.

Essa política fornece acesso total ao serviço de configuração do Amazon SWF.

Limitações do modelo de serviço nas políticas do IAM

Você deve considerar as restrições do modelo de serviço ao criar políticas do IAM. É possível criar uma política do IAM sintaticamente válida que represente uma solicitação inválida do Amazon SWF; uma solicitação permitida em termos de controle de acesso ainda pode falhar por ser uma solicitação inválida.

Por exemplo, o modelo de serviço Amazon SWF não permite que os tagFilter parâmetros typeFilter e sejam usados na mesma ListOpenWorkflowExecutions solicitação. A condição a seguir permitiria chamadas que o serviço rejeitaria, lançando, como uma solicitação inválidaValidationException:

"Condition" : {
   "StringEquals" : { 
      "swf:typeFilter.name" : "workflow_name",
      "swf:typeFilter.version" : "workflow_version",
      "swf:tagFilter.tag" : "some_tag" 
    }
}