Exemplos de políticas baseadas em identidade para o Amazon Lex V2 - Guia do desenvolvedor
Práticas recomendadas de políticaUtilizar o consolePermitir que os usuários adicionem funções a um botPermitir que os usuários adicionem canais a um botPermitir que os usuários criem e atualizem botsPermitir que os usuários usem o Automated Chatbot DesignerPermitir que os usuários usem uma chave AWS KMS para criptografar e descriptografar arquivosPermitir que os usuários excluam botsPermitir que os usuários conversem com um bot Permitir que um usuário específico gerencie políticas baseadas em recursos Permitir que um usuário exporte bots e localidades de bots Permitir que um usuário exporte um vocabulário personalizado Permitir que um usuário importe bots e localidades de bots Permitir que um usuário importe um vocabulário personalizadoPermitir que um usuário migre um bot do Amazon Lex para o Amazon Lex V2Permitir que os usuários visualizem suas próprias permissõesPermitir que um usuário desenhe o fluxo de conversa com o criador visual de conversas no Amazon Lex V2Permitir que os usuários criem e visualizem réplicas de bots, mas não as excluam

Exemplos de políticas baseadas em identidade para o Amazon Lex V2

Por padrão, usuários e perfis não têm permissão para criar ou modificar recursos do Amazon Lex V2. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM.

Para aprender a criar uma política baseada em identidade do IAM ao usar esses documentos de política em JSON de exemplo, consulte Criar políticas do IAM (console) no Guia do usuário do IAM.

Para obter detalhes sobre ações e tipos de recurso definidos pelo Amazon Lex V2, incluindo o formato dos ARNs para cada tipo de recurso, consulte Ações, recursos e chaves de condição do Amazon Lex V2 na Referência de autorização do serviço.

Práticas recomendadas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do Amazon Lex V2 em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

  • Comece com as políticas gerenciadas pela AWS e avance para as permissões de privilégio mínimo: para começar a conceder permissões a seus usuários e workloads, use as políticas gerenciadas pela AWS, que concedem permissões para muitos casos de uso comuns. Elas estão disponíveis em seus Conta da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente da AWS que são específicas para seus casos de uso. Para obter mais informações, consulte Políticas gerenciadas pela AWS ou Políticas gerenciadas pela AWS para funções de trabalho no Guia do usuário do IAM.

  • Aplique permissões de privilégio mínimo: ao definir permissões com as políticas do IAM, conceda apenas as permissões necessárias para executar uma tarefa. Você faz isso definindo as ações que podem ser executadas em recursos específicos sob condições específicas, também conhecidas como permissões de privilégio mínimo. Para obter mais informações sobre como usar o IAM para aplicar permissões, consulte Políticas e permissões no IAM no Guia do usuário do IAM.

  • Use condições nas políticas do IAM para restringir ainda mais o acesso: você pode adicionar uma condição às políticas para limitar o acesso a ações e recursos. Por exemplo, você pode escrever uma condição de política para especificar que todas as solicitações devem ser enviadas usando SSL. Também pode usar condições para conceder acesso a ações de serviço, se elas forem usadas por meio de um AWS service (Serviço da AWS) específico, como o CloudFormation. Para obter mais informações, consulte Elementos da política JSON do IAM: condição no Guia do usuário do IAM.

  • Use o IAM Access Analyzer para validar suas políticas do IAM a fim de garantir permissões seguras e funcionais: o IAM Access Analyzer valida as políticas novas e existentes para que elas sigam a linguagem de política do IAM (JSON) e as práticas recomendadas do IAM. O IAM Access Analyzer oferece mais de cem verificações de política e recomendações práticas para ajudar a criar políticas seguras e funcionais. Para obter mais informações, consulte Validação de políticas do IAM Access Analyzer no Guia do Usuário do IAM.

  • Exigir autenticação multifator (MFA): se houver um cenário que exija usuários do IAM ou um usuário raiz em sua Conta da AWS, ative a MFA para obter segurança adicional. Para exigir MFA quando as operações de API forem chamadas, adicione condições de MFA às suas políticas. Para obter mais informações, consulte Configuração de acesso à API protegido por MFA no Guia do Usuário do IAM.

Para obter mais informações sobre as práticas recomendadas do IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.

Usar o console do Amazon Lex V2

Para acessar o console da Amazon Lex V2, você deve ter um conjunto mínimo de permissões. Essas permissões devem permitir que você liste e visualize detalhes sobre os atributos do Amazon Lex V2 em sua Conta da AWS. Caso crie uma política baseada em identidade mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades (usuários ou perfis) com essa política.

Não é necessário conceder permissões mínimas do console para usuários que fazem chamadas somente à AWS CLI ou à API do AWS. Em vez disso, permita o acesso somente a ações que correspondam à operação de API que estiverem tentando executar.

Para garantir que usuários e perfis ainda possam usar o console do Amazon Lex V2, os usuários precisam ter acesso ao Console. Para obter informações sobre como criar um usuário com acesso ao Console, consulte Criar um usuário do IAM na sua conta da AWS no Guia do usuário do IAM.

Permitir que os usuários adicionem funções a um bot

Este exemplo mostra uma política que permite aos usuários do IAM adicionar permissões de consulta do Amazon Comprehend, da análise de sentimentos e do Amazon Kendra a um bot do Amazon Lex V2.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Id1",
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
        },
        {
            "Sid": "Id2",
            "Effect": "Allow",
            "Action": "iam:GetRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
        }
    ]
}

Permitir que os usuários adicionem canais a um bot

Esse exemplo é uma política que permite que os usuários do IAM adicionem um canal de mensagens a um bot. O usuário deve ter essa política em vigor antes de poder implantar um bot em uma plataforma de mensagens.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Id1",
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
        },
        {
            "Sid": "Id2",
            "Effect": "Allow",
            "Action": "iam:GetRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
        }
    ]
}

Permitir que os usuários criem e atualizem bots

Este exemplo mostra um exemplo de política que permite que os usuários do IAM criem e atualizem qualquer bot. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando o AWS CLI ou a API da AWS.

Permitir que os usuários usem o Automated Chatbot Designer

Este exemplo mostra um exemplo de política que permite que os usuários do IAM executem o Automated Chatbot Designer.

Permitir que os usuários usem uma chave AWS KMS para criptografar e descriptografar arquivos

Este exemplo mostra um exemplo de política que permite que os usuários do IAM usem uma chave AWS KMS gerenciada pelo cliente para criptografar e descriptografar dados.

Permitir que os usuários excluam bots

Este exemplo mostra uma política que permite que os usuários do IAM excluam qualquer bot. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando o AWS CLI ou a API da AWS.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lex:DeleteBot",
                "lex:DeleteBotLocale",
                "lex:DeleteBotAlias",
                "lex:DeleteIntent",
                "lex:DeleteSlot",
                "lex:DeleteSlottype"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:lex:us-east-1:123412341234:bot/*",
                "arn:aws:lex:us-east-1:123412341234:bot-alias/*"
            ]
        }
    ]
}

Permitir que os usuários conversem com um bot

Este exemplo mostra uma política que permite que os usuários do IAM tenham uma conversa com qualquer bot. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando o AWS CLI ou a API da AWS.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lex:StartConversation",
                "lex:RecognizeText",
                "lex:RecognizeUtterance",
                "lex:GetSession",
                "lex:PutSession",
                "lex:DeleteSession"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:lex:us-east-1:123412341234:bot-alias/*"
        }
    ]
}

Permitir que um usuário específico gerencie políticas baseadas em recursos

O exemplo a seguir concede permissão para um usuário específico gerenciar as políticas baseadas em recursos. Ele permite o acesso do console e da API às políticas associadas a bots e aliases de bots.

Permitir que um usuário exporte bots e localidades de bots

A política de permissão do IAM a seguir permite que um usuário crie, atualize e obtenha uma exportação para um bot ou uma localidade de bot.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lex:CreateExport",
                "lex:UpdateExport",
                "lex:DescribeExport",
                "lex:DescribeBot",
                "lex:DescribeBotLocale",
                "lex:ListBotLocales",
                "lex:DescribeIntent",
                "lex:ListIntents",
                "lex:DescribeSlotType",
                "lex:ListSlotTypes",
                "lex:DescribeSlot",
                "lex:ListSlots",
                "lex:DescribeCustomVocabulary"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:lex:us-east-1:123456789012:bot/*"
            ]
        }
    ]
}

Permitir que um usuário exporte um vocabulário personalizado

A política de permissão do IAM a seguir permite que um usuário exporte um vocabulário personalizado de uma localidade de bot.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lex:CreateExport",
                "lex:UpdateExport",
                "lex:DescribeExport",
                "lex:DescribeCustomVocabulary"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:lex:us-east-1:123456789012:bot/*"
            ]
        }
    ]
}

Permitir que um usuário importe bots e localidades de bots

A política de permissão do IAM a seguir permite que um usuário importe um bot ou a localidade do bot e verifique o status de uma importação.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lex:CreateUploadUrl",
                "lex:StartImport",
                "lex:DescribeImport",
                "lex:CreateBot",
                "lex:UpdateBot",
                "lex:DeleteBot",
                "lex:CreateBotLocale",
                "lex:UpdateBotLocale",
                "lex:DeleteBotLocale",
                "lex:CreateIntent",
                "lex:UpdateIntent",
                "lex:DeleteIntent",
                "lex:CreateSlotType",
                "lex:UpdateSlotType",
                "lex:DeleteSlotType",
                "lex:CreateSlot",
                "lex:UpdateSlot",
                "lex:DeleteSlot",
                "lex:CreateCustomVocabulary",
                "lex:UpdateCustomVocabulary",
                "lex:DeleteCustomVocabulary",
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:lex:us-east-1:123456789012:bot/*",
                "arn:aws:lex:us-east-1:123456789012:bot-alias/*"
            ]
        }
    ]
}

Permitir que um usuário importe um vocabulário personalizado

A política de permissão do IAM a seguir permite que um usuário importe um vocabulário personalizado para uma localidade de bot.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lex:CreateUploadUrl",
                "lex:StartImport",
                "lex:DescribeImport",
                "lex:CreateCustomVocabulary",
                "lex:UpdateCustomVocabulary",
                "lex:DeleteCustomVocabulary"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:lex:us-east-1:123456789012:bot/*"
            ]
        }
    ]
}

Permitir que um usuário migre um bot do Amazon Lex para o Amazon Lex V2

A política de permissão do IAM a seguir permite que um usuário comece a migrar um bot do Amazon Lex para o Amazon Lex V2.

Permitir que os usuários visualizem suas próprias permissões

Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando a AWS CLI ou a API da AWS.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Permitir que um usuário desenhe o fluxo de conversa com o criador visual de conversas no Amazon Lex V2

A política de permissão do IAM a seguir permite que um usuário desenhe o fluxo de conversa com o criador visual de conversas no Amazon Lex V2.

Permitir que os usuários criem e visualizem réplicas de bots, mas não as excluam

Você pode anexar as permissões a seguir a um perfil do IAM, para permitir que ele crie e visualize somente réplicas de bots. Ao omitir lex:DeleteBotReplica, você evita que o perfil exclua réplicas de bots. Para obter mais informações, consulte Permissões para replicar bots e gerenciar réplicas de bots no Lex V2.