Usando permissões gerenciadas parametrizadas em AWS RAM

Uma permissão gerenciada parametrizada é uma permissão gerenciada com espaços reservados em suas condições de política que você preenche com seus próprios valores. Esses espaços reservados são parâmetros do modelo. Eles não criam um novo tipo de permissão gerenciada. Eles adicionam variabilidade ao modelo de política de um modelo existente.

Em vez de criar uma permissão gerenciada pelo cliente separada para cada valor exclusivo da condição, você cria uma permissão gerenciada pelo cliente com parâmetros. Ao associá-lo a um compartilhamento de recursos, você fornece um valor para cada parâmetro. AWS RAM substitui seus valores no modelo de política e anexa a política baseada em recursos resultante aos recursos compartilhados.

Por exemplo, uma equipe de plataforma central cria uma permissão gerenciada pelo cliente para AWS Systems Manager Parâmetros de armazenamento de parâmetros (tipo de recurso) ssm:Parameter). Ele concede acesso de leitura somente aos diretores com uma aprovação team etiqueta. A equipe da plataforma compartilha essa permissão gerenciada pelo cliente com as contas de sua organização. Em seguida, cada conta o usa em seus próprios compartilhamentos de recursos, que podem conter um ou mais parâmetros do Parameter Store. Em cada compartilhamento de recursos, a conta fornece o team valores de tag dos principais que podem ler os parâmetros compartilhados do Parameter Store.

Tipos de parâmetros do modelo

AWS RAM suporta dois tipos de parâmetros. O tipo determina como AWS RAM substitui o valor na política renderizada. Na AWS RAM API e o AWS CLI, os tipos são STRING e STRING_LIST. O AWS RAM o console os mostra como Corda e StringList.

Regras de sintaxe do modelo de política

Quando você adiciona parâmetros ao modelo de política de uma permissão gerenciada, as regras a seguir se aplicam. Se uma solicitação violar uma dessas regras, AWS RAM rejeita com um InvalidParameterException ou InvalidPolicyException erro.

Crie uma permissão gerenciada parametrizada

Você cria uma permissão gerenciada parametrizada da mesma forma que cria qualquer outra permissão gerenciada pelo cliente. A diferença é que você declara parâmetros e usa @{parameterName} espaços reservados nas condições do modelo de política.

Controle de versão de uma permissão gerenciada parametrizada

As permissões gerenciadas parametrizadas são versionadas da mesma forma que qualquer outra permissão gerenciada pelo cliente. Cada versão declara seus parâmetros de forma independente, portanto, uma nova versão pode declarar um conjunto de parâmetros diferente da versão anterior.

Para criar uma nova versão, execute o versão de permissão de criação comando com o --policy-template e --permission-template-parameters parâmetros. O exemplo a seguir adiciona uma segunda condição com um STRING parâmetro chamado environment.

$ aws ram create-permission-version \
    --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
    --permission-template-parameters '[{"name":"teams","type":"STRING_LIST","description":"Values of the team principal tag that can read the shared parameters"},{"name":"environment","type":"STRING","description":"Value of the environment principal tag that can read the shared parameters"}]' \
    --policy-template '{"Effect":"Allow","Action":["ssm:GetParameter","ssm:GetParameters"],"Condition":{"StringEquals":{"aws:PrincipalTag/team":"@{teams}","aws:PrincipalTag/environment":"@{environment}"}}}'

Uma nova versão se torna a versão padrão assim que você a cria. Os compartilhamentos de recursos existentes mantêm a versão que eles usam. Quando o proprietário de um compartilhamento de recursos o atualiza para a nova versão, ele deve fornecer valores para os parâmetros que a nova versão declara. Para obter mais informações, consulte Atualização AWS permissões gerenciadas para uma versão mais recente.

Para obter mais informações sobre como as versões de permissão gerenciada pelo cliente e as versões padrão funcionam, consulte Criação e uso de permissões gerenciadas pelo cliente no AWS RAM.

Visualize um modelo de política renderizado

Antes de associar uma permissão gerenciada parametrizada a um compartilhamento de recursos, você pode visualizar a política que AWS RAM renderiza a partir de valores de parâmetros específicos.

Na AWS RAM console, ao criar ou atualizar um compartilhamento de recursos, insira os valores em Valores dos parâmetros do modelo e escolha Pré-visualização da política renderizada.

Na AWS CLI, execute o obter permissão comando com o --permission-template-parameters parâmetro. O permission O campo da resposta contém a política com seus valores no lugar dos espaços reservados.

$ aws ram get-permission \
    --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
    --permission-template-parameters '[{"name":"teams","values":["payments","analytics"]},{"name":"environment","values":["prod"]}]'
{
    "permission": {
        "arn": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
        "version": "2",
        "defaultVersion": true,
        "name": "ParameterReadByTeam",
        "resourceType": "ssm:Parameter",
        "permission": "{\"Effect\":\"Allow\",\"Action\":[\"ssm:GetParameter\",\"ssm:GetParameters\"],\"Condition\":{\"StringEquals\":{\"aws:PrincipalTag/team\":[\"payments\",\"analytics\"],\"aws:PrincipalTag/environment\":\"prod\"}}}",
        "creationTime": 1763400000.000,
        "lastUpdatedTime": 1763400000.000,
        "isResourceTypeDefault": false,
        "permissionType": "CUSTOMER_MANAGED",
        "featureSet": "STANDARD",
        "status": "ATTACHABLE",
        "permissionTemplateParameters": [
            {
                "name": "teams",
                "type": "STRING_LIST",
                "description": "Values of the team principal tag that can read the shared parameters"
            },
            {
                "name": "environment",
                "type": "STRING",
                "description": "Value of the environment principal tag that can read the shared parameters"
            }
        ]
    }
}

Sem o --permission-template-parameters parâmetro, o get-permission o comando retorna o modelo de política com o @{parameterName} espaços reservados. O permissionTemplateParameters O campo lista o nome, o tipo e a descrição de cada parâmetro declarado.

Associar uma permissão gerenciada parametrizada a um compartilhamento de recursos

Ao associar uma permissão gerenciada parametrizada a um compartilhamento de recursos, você deve fornecer valores para todos os parâmetros declarados pela versão. AWS RAM renderiza o modelo de política com seus valores e anexa a política baseada em recursos resultante aos recursos compartilhados desse tipo.

Para mover vários compartilhamentos de recursos de uma versão ou permissão para outra, execute substituir associações de permissão. Se a versão de destino declarar parâmetros, inclua --permission-template-parameters. AWS RAM aplica os mesmos valores a cada compartilhamento de recursos que o comando atualiza.

Exibir parâmetros e valores do modelo

Você pode visualizar os parâmetros que uma permissão gerenciada declara e os valores que seus compartilhamentos de recursos fornecem.

Compartilhamento de permissões gerenciadas parametrizadas entre contas

Você pode compartilhar uma permissão gerenciada parametrizada com outros Contas da AWS como qualquer outra permissão gerenciada pelo cliente. As contas receptoras podem ver o nome, o tipo e a descrição de cada parâmetro, portanto, escreva descrições que digam qual valor fornecer. Cada conta receptora fornece seus próprios valores ao associar a permissão gerenciada compartilhada a seus próprios compartilhamentos de recursos.

Para obter instruções sobre como compartilhar permissões gerenciadas pelo cliente, consulte Compartilhamento e uso de permissões gerenciadas pelo cliente em todas as contas no AWS RAM.

Controle os valores dos parâmetros do modelo com políticas do IAM

Você pode usar o ram:PermissionTemplateParameter/parameter-name chave de condição em uma política do IAM para controlar quais valores um principal pode fornecer para um parâmetro. A chave tem vários valores e contém os valores na solicitação do parâmetro nomeado. Ele está disponível no recurso de permissão do ram:CreateResourceShare, ram:AssociateResourceSharePermission, e ram:ReplacePermissionAssociations ações.

No exemplo de política a seguir, a primeira declaração concede as ações no ParameterReadByTeam permissão gerenciada pelo cliente. A segunda declaração os nega se algum valor for fornecido para teams é algo diferente de payments ou analytics. Como a chave tem vários valores, a política usa a ForAnyValue operador de conjunto. AWS RAM exige um valor para cada parâmetro declarado, portanto, uma solicitação que usa essa permissão gerenciada pelo cliente sempre inclui a chave.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceSharePermission",
                "ram:ReplacePermissionAssociations"
            ],
            "Resource": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceSharePermission",
                "ram:ReplacePermissionAssociations"
            ],
            "Resource": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "ram:PermissionTemplateParameter/teams": [
                        "payments",
                        "analytics"
                    ]
                }
            }
        }
    ]
}

Essas declarações controlam somente o recurso de permissão. O diretor também precisa de permissão para os outros recursos na solicitação, como o compartilhamento de recursos e os recursos que ele compartilha. Para obter mais exemplos, consulte Exemplo de políticas de IAM para AWS RAM.

LISTA_DE_SEQUÊNCIA exemplos de parâmetros

Os exemplos a seguir mostram como AWS RAM renderiza STRING_LIST parâmetros.

"Condition": {
    "StringEquals": {
        "aws:PrincipalTag/team": "@{teams}"
    }
}

"Condition": {
    "StringEquals": {
        "aws:PrincipalTag/team": ["payments", "analytics"]
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": "arn:aws:iam::@{accountIds}:role/ParameterReader"
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/ParameterReader",
            "arn:aws:iam::444455556666:role/ParameterReader"
        ]
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": [
            "arn:aws:iam::@{accountIds}:role/Auditor",
            "arn:aws:iam::@{accountIds}:role/Reader"
        ]
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/Auditor",
            "arn:aws:iam::444455556666:role/Auditor",
            "arn:aws:iam::111122223333:role/Reader",
            "arn:aws:iam::444455556666:role/Reader"
        ]
    }
}