本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon Connect 中应用基于层次结构的访问控制

您可以根据分配给用户的座席层次结构限制对联系的访问权限。您可以使用安全配置文件权限（例如限制联系访问）完成这一工作。除了这些权限之外，您还可以使用层次结构来强制执行对资源（例如用户）的精细化访问控制，并且也可以使用标签。

本主题介绍有关配置基于层次结构的访问控制的信息。

概述

基于层次结构的访问控制允许您根据分配给用户的代理层次结构配置对特定资源的精细访问权限。 您可以使用 API/SDK 或 Amazon Connect 管理员网站配置基于层次结构的访问控制。 

唯一支持基于层次结构的访问控制的资源是用户。此授权模型与基于标签的访问控制协同工作，因此您可以限制用户的访问权限，允许他们仅查看属于其同一层次结构组以及带有特定标签的其他用户。

使用 API/SDK 应用基于层次结构的访问控制

要使用层次结构来控制对 AWS 账户内资源的访问权限，您需要在 IAM 策略的条件元素中提供层次结构的信息。例如，要控制对属于特定层次结构的用户的访问权限，可使用 connect:HierarchyGroupL3Id/hierarchyGroupId 条件键以及特定的操作符（如 StringEquals）来指定用户必须属于哪个层次结构组才能被允许执行给定的操作。

支持的条件键如下所示：

每个键都代表用户层次结构中特定层级上的一个给定层次结构组的 ID。

使用 Amazon Connect 管理网站应用基于层次结构的访问控制

要使用层次结构来控制对 Amazon Connect 管理网站资源的访问，请在给定的安全配置文件中配置访问控制部分。

例如，要基于用户所属的层次结构来为其启用精细化访问控制，您需要将该用户配置为一个访问受控的资源。为此，您有以下两个选项：

配置限制

精细的访问控制是在安全配置文件上配置的。最多可以为用户分配两个安全配置文件，以执行精细的访问控制。在这种情况下，权限会变得限制更少，并作为两个权限集的并集生效。

例如，如果一个安全配置文件强制执行基于层次结构的访问控制，而另一个配置文件强制执行基于标签的访问控制，则该用户将能够管理任何属于同一层次结构或带有给定标签的用户。如果将基于标签的访问控制和基于层次结构的访问控制配置为同一个安全配置文件的一部分，则需要同时满足这两个条件。在这种情况下，该用户只能管理既属于同一层次结构又带有给定标签的用户。 

用户可以拥有两个以上的安全配置文件，只要这些额外的安全配置文件不执行精细的访问控制。如果存在多个具有重叠资源权限的安全配置文件，那么，不包含基于层次结构访问控制的安全配置文件的效力优先于包含基于层次结构控制的安全配置文件。

需要服务相关角色才能配置基于层次结构访问控制。如果您的实例是在 2018 年 10 月之后创建的，则默认情况下，Amazon Connect 实例将提供此功能。但是，如果您使用的是较旧的实例，请参阅使用 Amazon Connect 的服务相关角色，了解有关如何启用服务相关角色的说明。

应用基于层次结构的访问控制的最佳实践