本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 使用自訂 IAM 政策管理 Connect Customer Cases 的必要許可
<a name="required-permissions-iam-cases"></a>

如果您使用自訂 IAM 政策來管理 Connect Customer Cases 的存取權，您的使用者需要本文列出的部分或全部許可，具體取決於他們需要執行的任務。

## 檢視案例網域詳細資訊
<a name="view-cases-domain-iam"></a>

有兩種選項可授予使用者 IAM 許可，以在 Connect Customer 主控台上檢視 Cases 網域詳細資訊。

### 選項 1：必要的最低 IAM 許可
<a name="option1-view-cases-domain-iam"></a>

若要在 Connect Customer 主控台中檢視 Cases 網域詳細資訊，使用者必須具有下列 IAM 許可：
+ `connect:ListInstances`
+ `ds:DescribeDirectories`
+ `connect:ListIntegrationAssociations`
+ `cases:GetDomain`

以下是具有這些許可的 IAM 政策範例：

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowsViewingConnectConsole",
            "Effect": "Allow",
            "Action": [
                "connect:ListInstances",
                "ds:DescribeDirectories"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ListIntegrationAssociations",
            "Effect": "Allow",
            "Action": [
                "connect:ListIntegrationAssociations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CasesGetDomain",
            "Effect": "Allow",
            "Action": [
                "cases:GetDomain"
            ],
            "Resource": "*"
        }
    ]
}
```

------

注意下列事項：
+ 需要對資源 `*` 採取 `cases:GetDomain` 動作
+ `connect:ListIntegrationAssociations` 動作支援 `instance` 資源類型。請參閱 [Connect Customer 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html#amazonconnect-actions-as-permissions)中的表格。

### 選項 2：使用 `cases:GetDomain`和 更新現有的 Connect Customer 政策 `profile:SearchProfiles`
<a name="option2-view-cases-domain-iam"></a>

納入 [AmazonConnectReadOnlyAccess](security-iam-amazon-connect-permissions.md#amazonconnectreadonlyaccesspolicy) 政策，然後新增 `cases:GetDomain`，如下列範例所示。

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "CasesGetDomain",
            "Effect": "Allow",
            "Action": [
                "cases:GetDomain"
            ],
            "Resource": "*"
        }        
    ]
}
```

------

## 上線至 Cases
<a name="onboard-cases-iam"></a>

有兩種選項可授予使用者使用 Connect Customer 主控台加入 Cases 的 IAM 許可。

### 選項 1：所需的最低許可
<a name="option1-onboard-cases-iam"></a>

若要使用 Connect Customer 主控台加入 Cases，使用者必須具有下列 IAM 許可：
+ `connect:ListInstances`
+ `ds:DescribeDirectories`
+ `connect:ListIntegrationAssociations`
+ `cases:GetDomain`
+ `cases:CreateDomain`
+ `connect:CreateIntegrationAssociation`
+ `connect:DescribeInstance`
+ `iam:PutRolePolicy`
+ `profile:SearchProfiles`

以下是具有這些許可的 IAM 政策範例：

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowsViewingConnectConsole",
            "Effect": "Allow",
            "Action": [
                "connect:ListInstances",
                "ds:DescribeDirectories"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ListIntegrationAssociations",
            "Effect": "Allow",
            "Action": [
                "connect:ListIntegrationAssociations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CasesGetDomain",
            "Effect": "Allow",
            "Action": [
                "cases:GetDomain"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CasesCreateDomain",
            "Effect": "Allow",
            "Action": [
                "cases:CreateDomain"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CreateIntegrationAssociationsAndDependencies",
            "Effect": "Allow",
            "Action": [
                "connect:CreateIntegrationAssociation",
                "connect:DescribeInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AttachAnyPolicyToAmazonConnectRole",
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
        },
        {
            "Sid": "ProfileSearchProfiles",
            "Effect": "Allow",
            "Action": [
                "profile:SearchProfiles"
            ],
            "Resource": "*"
        }
    ]
}
```

------

注意下列事項：
+ 需要對資源 `*` 採取 `cases:GetDomain` 動作
+ 您可以使用 Connect Customer [的動作、資源和條件索引鍵中的資訊，將許可範圍限定為特定 Connect Customer](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html) 任務。
+ `profile:SearchProfiles` 動作是必要的，因為 `CreateCase` API 會呼叫 `SearchProfiles` API 來搜尋要驗證的客戶設定檔，然後將該設定檔與案例關聯。

### 選項 2：使用現有策略的組合
<a name="option2-onboard-cases-iam"></a>

以下政策組合也有效：
+ **AmazonConnect\_FullAccess** 政策
+ `iam:PutRolePolicy` 修改服務連結角色。如需範例，請參閱 [AWS 受管政策：AmazonConnect\_FullAccess 政策](security-iam-amazon-connect-permissions.md#amazonconnectfullaccesspolicy)。
+ 下列 IAM 政策：

------
#### [ JSON ]

****  

  ```
  {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
          {
              "Sid": "CasesGetDomain",
              "Effect": "Allow",
              "Action": [
                  "cases:GetDomain",
                  "cases:CreateDomain"
              ],
              "Resource": "*"
          },
          {
              "Sid": "ProfileSearchProfiles",
              "Effect": "Allow",
              "Action": [
                  "profile:SearchProfiles"
              ],
              "Resource": "*"
          }
      ]
  }
  ```

------