Amazon TranscribeExemplos de políticas baseadas em identidade do

Por padrão, usuários e perfis não têm permissão para criar ou modificar recursos do Amazon Transcribe. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM.

Para saber como criar uma política baseada em identidade do IAM usando esses exemplos de documentos de política JSON, consulte Criar políticas do IAM (no console) no Guia do usuário do IAM.

Para obter detalhes sobre ações e tipos de recursos definidos pelo Amazon Transcribe, incluindo o formato dos ARNs para cada um dos tipos de recursos, consulte Actions, resources, and condition keys for Amazon Transcribe na Referência de autorização do serviço.

Práticas recomendadas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do Amazon Transcribe em sua conta. Essas ações podem incorrer em custos para seus Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as práticas recomendadas do IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.

Utilização do Console de gerenciamento da AWS

Para acessar o console do Amazon Transcribe, você deve ter um conjunto mínimo de permissões. Essas permissões devem permitir que você liste e visualize detalhes sobre os recursos do Amazon Transcribe na sua Conta da AWS. Caso crie uma política baseada em identidade mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades (usuários ou perfis) com essa política.

Não é necessário conceder permissões mínimas do console para usuários que fazem chamadas somente à AWS CLI ou à API do AWS. Em vez disso, permita o acesso somente a ações que correspondam à operação de API que estiverem tentando executar.

Para garantir que uma entidade (usuários e funções) possa usar o Console de gerenciamento da AWS, anexe uma das seguintes políticas gerenciadas pela AWS a ela.

Além disso, você pode criar políticas personalizadas do IAM para conceder permissões a ações da API do Amazon Transcribe. Você pode anexar essas políticas personalizadas às entidades que exigem essas permissões.

Permissões necessárias para perfis do IAM

Se você criar um perfil do IAM para chamar o Amazon Transcribe, ele deverá ter permissão para acessar o bucket do Amazon S3. Se aplicável, a KMS key também deve ser usada para criptografar o conteúdo do bucket. Consulte as seções a seguir para ver exemplos de políticas.

Políticas de confiança

A entidade do IAM que você usa para fazer a solicitação de transcrição deve ter uma política de confiança que permita que o Amazon Transcribe assuma essa função. Use a política de confiança do Amazon Transcribe a seguir. Observe que, se estiver fazendo uma solicitação de análise de chamadas em tempo real com a análise pós-chamada habilitada, você deverá usar a “Política de confiança para análise de chamadas em tempo real”.

Política de confiança para o Amazon Transcribe

Política de confiança para análise de chamadas em tempo real

Política de bucket de entrada do Amazon S3

A política a seguir concede a um perfil do IAM permissão para acessar arquivos do bucket de entrada especificado.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET",
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET/*"
        ]
    }
}

Política de bucket de saída do Amazon S3

A política a seguir concede a um perfil do IAM permissão para gravar arquivos no bucket de saída especificado.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:PutObject"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-OUTPUT-BUCKET/*"
        ]
    }
}

Permissões necessárias para chaves de criptografia do Amazon S3

Se estiver usando uma KMS key para criptografar um bucket do Amazon S3, inclua o que está apresentado abaixo na política do KMS key. Isso fornece ao Amazon Transcribe acesso ao conteúdo do bucket. Para obter mais informações sobre como compartilhar chaves do KMS keys, consulte Allowing external Contas da AWS to access an KMS key no Guia do desenvolvedor do AWS KMS.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/KMS-Example-KeyId"
    }
  ]
}

Permitir que os usuários visualizem suas próprias permissões

Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando a AWS CLI ou a API da AWS.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Política de contexto de criptografia do AWS KMS

A política a seguir concede a permissão “ExampleRole” ao perfil do IAM para usar as operações Decrypt e Encrypt do AWS KMS para esse caso específico de KMS key. Essa política funciona somente para solicitações com pelo menos um par de contexto de criptografia; neste caso “color:indigoBlue”. Para obter mais informações sobre o contexto de criptografia do AWS KMS, consulte AWS KMSContexto de criptografia do .

Política de prevenção contra representantes confusos

Veja abaixo um exemplo de uma política de função assumida que mostra como você pode usar aws:SourceArn e aws:SourceAccount com o Amazon Transcribe para evitar um problema de representante confuso. Para obter mais informações sobre a prevenção de vice confuso, consulte Prevenção contra o ataque do “substituto confuso” em todos os serviços.

Visualizar trabalhos de transcrição com base em tags

É possível utilizar condições na política baseada em identidade para controlar o acesso aos recursos do Amazon Transcribe com base em tags. Este exemplo mostra como você pode criar uma política que permite a visualização de um trabalho de transcrição. No entanto, a permissão é concedida somente se a tag de trabalho de transcrição Owner tiver o valor do nome de usuário desse usuário. Essa política também concede as permissões necessárias para concluir essa ação usando o Console de gerenciamento da AWS.

Você pode anexar essa política às entidades do IAM em sua conta. Se uma função chamada test-role tentar visualizar um trabalho de transcrição, o trabalho de transcrição deverá receber a tag Owner=test-role ou owner=test-role (os nomes das chaves de condição não diferenciam maiúsculas de minúsculas); caso contrário, o acesso será negado. Para obter mais informações, consulte Elementos de política JSON do IAM: condição no Guia do usuário do IAM.

Para obter mais informações sobre marcação no Amazon Transcribe, consulte Marcando atributos .