本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon Connect 的 Identity and Access Management
AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員負責控制誰可通過*驗證* (登入) 和獲得*授權* (具有許可) 來使用 Amazon Connect 資源。IAM 是您可以免費使用 AWS 服務 的 。
**Topics**
+ [
## 目標對象
](#security_iam_audience)
+ [
## 使用身分驗證
](#security_iam_authentication)
+ [
## 使用政策管理存取權
](#security_iam_access-manage)
+ [自訂 IAM 政策的必要許可](security-iam-amazon-connect-permissions.md)
+ [限制可與 Amazon Connect 相關聯的 AWS 資源](restrict-access-examples.md)
+ [
# Amazon Connect 如何與 IAM 搭配運作
](security_iam_service-with-iam.md)
+ [身分型政策範例](security_iam_id-based-policy-examples.md)
+ [資源層級政策範例](security_iam_resource-level-policy-examples.md)
+ [AWS 受管政策](security_iam_awsmanpol.md)
+ [疑難排解](security_iam_troubleshoot.md)
+ [使用服務連結角色](connect-slr.md)
+ [使用對外行銷活動的服務連結角色](connect-slr-outbound.md)
+ [針對 Application AppIntegrations 使用服務連結角色](appintegrations-slr.md)
+ [使用 Amazon Connect Customer Profiles 的服務連結角色](customerprofiles-slr.md)
+ [使用 Amazon Connect 受管同步的服務連結角色](managed-synchronization-slr.md)
## 目標對象
使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同：
+ **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [Amazon Connect 身分和存取疑難排解](security_iam_troubleshoot.md))
+ **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [Amazon Connect 如何與 IAM 搭配運作](security_iam_service-with-iam.md))
+ **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [Amazon Connect 的身分型政策範例](security_iam_id-based-policy-examples.md))
## 使用身分驗證
身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。
您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。
對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。
### AWS 帳戶 根使用者
當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### 使用者和群組
*IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者，以 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。
[IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 使用政策管理存取權
您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。
預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。
### 身分型政策
身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
### 資源型政策
資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。
### 其他政策類型
AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可：
+ **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多種政策類型
當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多個政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
# 使用自訂 IAM 政策管理 Amazon Connect 主控台存取權的必要許可
如果您使用自訂 [IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) 政策來管理 Amazon Connect 主控台的存取權，則您的使用者需要本文中列出的部分或全部許可，具體取決於他們需要執行的任務。
**注意**
使用自訂 IAM 政策中的 `connect:*` 會授予您的使用者本文中列出的所有 Amazon Connect 權限。
**注意**
Amazon Connect 主控台上的某些頁面 (例如[任務](#tasks-page)和 [Customer Profiles](#customer-profiles-page)) 要求您在內嵌政策中新增許可。
**Topics**
+ [AmazonConnect\$1FullAccess 政策](#amazonconnectfullaccesspolicy)
+ [AmazonConnectReadOnlyAccess 政策](#amazonconnectreadonlyaccesspolicy)
+ [首頁](#console-home-page-permissions)
+ [詳細資訊頁面](#detail-pages)
+ [概觀頁面](#overview-page)
+ [電話頁面](#telephony-page)
+ [資料儲存頁面](#data-storage-page)
+ [資料串流頁面](#data-streaming-page)
+ [流程頁面](#contact-flows-page)
+ [Contact Lens 連接器頁面](#contactlensconnectors-page)
+ [語音轉接整合頁面](#voice-transfer-integrations-page)
+ [應用程式整合頁面](#application-integration-page)
+ [客戶設定檔頁面](#customer-profiles-page)
+ [任務頁面](#tasks-page)
+ [電子郵件頁面](#email-page)
+ [案例頁面](#cases-page)
+ [客戶身分驗證頁面](#customer-authentication-page)
+ [對外行銷活動頁面](#outbound-campaigns-page)
+ [Connect AI 代理程式頁面](#wisdom-page)
+ [Voice ID 頁面](#voiceid-page)
+ [預測、容量規劃和排程頁面](#forecasting-page)
+ [聯合](#federations)
## AWS 受管政策：AmazonConnect\$1FullAccess 政策
若要允許 Amazon Connect 的完整讀取/寫入存取權，您必須將兩個政策附加到使用者、群組或角色。附加 `AmazonConnect_FullAccess` 政策和具有以下內容的自訂政策：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AttachAnyPolicyToAmazonConnectRole",
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
}
]
}
```
------
若要允許使用者來建立執行個體，確保它們具備 `AmazonConnect_FullAccess` 政策所授與的許可。
使用 `AmazonConnect_FullAccess` 政策時，請注意下列事項：
+ 若要使用您選擇的名稱建立 Amazon S3 儲存貯體，或在從 Amazon Connect 管理員網站建立或更新執行個體時使用現有的儲存貯體，則需要其他權限。如果您為通話錄音、聊天文字記錄、電子郵件訊息、附件、通話文字記錄和其他資料選擇預設儲存位置，系統會在這些物件前加上 `"amazon-connect-"`。
+ `aws/connect` KMS 金鑰可作為預設加密選項使用。若要使用自訂加密金鑰，請指派其他 KMS 權限給使用者。
+ 為使用者指派其他權限，以將 Amazon Polly、即時媒體串流、資料串流和 Lex 機器人等其他 AWS 資源連接至其 Amazon Connect 執行個體。
## AWS 受管政策：AmazonConnectReadOnlyAccess 政策
若要允許唯讀存取權，您只需要附加 `AmazonConnectReadOnlyAccess` 政策。
## Amazon Connect 主控台首頁
下圖顯示 Amazon Connect 主控台首頁範例，其中有一個指向執行個體別名的箭頭。選擇執行個體別名，以導覽至執行個體詳細資訊頁面。
![\[Amazon Connect 虛擬聯絡中心執行個體頁面，即執行個體別名。\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/images/instance.png)
使用下表所列的權限來管理此頁面的存取權限。
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 列出執行個體 | `connect:ListInstances` `ds:DescribeDirectories` |
| 描述執行個體：檢視執行個體/目前設定的詳細資料 | `connect:DescribeInstance` `connect:ListLambdaFunctions` `connect:ListLexBots` `connect:ListInstanceStorageConfigs` `connect:ListApprovedOrigins` `connect:ListSecurityKeys` `connect:DescribeInstanceAttributes` `connect:DescribeInstanceStorageConfig` `ds:DescribeDirectories` |
| 建立執行個體 | `connect:AssociateCustomerProfilesDomain` `connect:CreateInstance` `connect:DescribeInstance` `connect:ListInstances` `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceAttribute` `ds:CheckAlias` `ds:CreateAlias` `ds:AuthorizeApplication` `ds:UnauthorizeApplication` `ds:CreateIdentityPoolDirectory` `ds:DescribeDirectories` `iam:CreateServiceLinkedRole` `iam:PutRolePolicy` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `kms:RetireGrant` `logs:CreateLogGroup` `s3:CreateBucket` `s3:GetBucketLocation` `s3:ListAllMyBuckets` `servicequotas:GetServiceQuota` `profile:CreateDomain` `profile:GetDomain` `profile:GetProfileObjectType` `profile:ListAccountIntegrations` `profile:ListDomains` `profile:ListProfileObjectTypeTemplates` `profile:PutIntegration` |
| 刪除執行個體 | `connect:DescribeInstance` `connect:DeleteInstance` `connect:ListInstances` `ds:DescribeDirectories` `ds:DeleteDirectory` `ds:UnauthorizeApplication` |
## 執行個體詳細資訊頁面
下圖顯示您用來存取每個詳細執行個體頁面的導覽功能表。
![\[Amazon Connect 執行個體頁面上的導覽功能表。\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/images/iam-custom-permissions-admin-console-telephony-page.png)
若要存取詳細的執行個體頁面，您需要 Amazon Connect 主控台首頁 (描述/清單) 的許可。或者，使用 `AmazonConnectReadOnlyAccess` 政策。
下表列出每個詳細執行個體頁面的精細權限。
**注意**
若要執行 `Edit` 動作，使用者還需要 `List` 和 `Describe` 權限。
## 概觀頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 建立服務連結角色 | `connect:DescribeInstance` `connect:ListInstances` `connect:DescribeInstanceAttribute` `connect:UpdateInstanceAttribute` `connect:ListIntegrationAssociations` `profile:ListAccountIntegrations` `ds:DescribeDirectories` `iam:CreateServiceLinkedRole` `iam:PutRolePolicy` |
## 電話頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視電話選項 | `connect:DescribeInstance` |
| 啟用/停用電話選項 | `connect:UpdateInstanceAttribute` |
| 檢視傳出活動 | `connect-campaigns:GetConnectInstanceConfig` `connect-campaigns:GetInstanceOnboardingJobStatus` `connect:DescribeInstance` `connect:DescribeInstanceAttribute` `kms:DescribeKey` |
| 啟用/停用外傳出活動 | `connect-campaigns:GetConnectInstanceConfig` `connect-campaigns:GetInstanceOnboardingJobStatus` `connect-campaigns:StartInstanceOnboardingJob` `connect-campaigns:DeleteInstanceOnboardingJob` `connect-campaigns:DeleteConnectInstanceConfig` `connect:DescribeInstance` `connect:DescribeInstanceAttribute` `connect:UpdateInstanceAttribute` `iam:CreateServiceLinkedRole` `iam:DeleteServiceLinkedRole` `iam:AttachRolePolicy` `iam:PutRolePolicy` `iam:DeleteRolePolicy` `events:PutRule` `events:PutTargets` `events:DeleteRule` `events:RemoveTargets` `events:DescribeRule` `events:ListTargetsByRule` `ds:DescribeDirectories` `kms:DescribeKey` `kms:ListKeys` `kms:CreateGrant` `kms:RetireGrant` |
## 資料儲存頁面
### 通話錄音區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視通話錄音 | `connect:DescribeInstance` `connect:ListInstanceStorageConfigs` `connect:DescribeInstanceStorageConfig` |
| 編輯通話錄音 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `s3:ListAllMyBuckets` `s3:GetBucketLocation` `s3:GetBucketAcl` `s3:CreateBucket` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `kms:RetireGrant` `iam:PutRolePolicy` |
### 畫面錄製區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視畫面錄製 | `connect:DescribeInstance` `connect:ListInstanceStorageConfigs` `connect:DescribeInstanceStorageConfig` |
| 編輯畫面錄製 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `s3:ListAllMyBuckets` `s3:GetBucketLocation` `s3:GetBucketAcl` `s3:CreateBucket` `iam:PutRolePolicy` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `kms:RetireGrant` |
### 聊天文字記錄區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視聊天文字記錄 | `connect:DescribeInstance` `connect:DescribeInstanceStorageConfig` `connect:ListInstanceStorageConfigs` |
| 編輯聊天文字記錄 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `s3:ListAllMyBuckets` `s3:GetBucketLocation` `s3:GetBucketAcl` `s3:CreateBucket` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `kms:RetireGrant` `iam:PutRolePolicy` |
### 附件區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視附件 | `connect:DescribeInstance` `connect:DescribeInstanceStorageConfig` `connect:ListInstanceStorageConfigs` |
| 編輯附件 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `s3:ListAllMyBuckets` `s3:GetBucketLocation` `s3:CreateBucket` `s3:GetBucketAcl` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `kms:RetireGrant` `iam:PutRolePolicy` |
### 即時媒體串流區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視即時媒體串流 | `connect:DescribeInstance` `connect:ListInstanceStorageConfigs` `connect:DescribeInstanceStorageConfig` |
| 編輯即時媒體串流 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `kms:CreateGrant` `kms:DescribeKey` `kms:RetireGrant` `iam:PutRolePolicy` |
### 匯出的報告區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視匯出的報告 | `connect:DescribeInstance` `connect:ListInstanceStorageConfigs` `connect:DescribeInstanceStorageConfig` |
| 編輯匯出的報告 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect: DisassociateInstanceStorageConfig` `s3:ListAllMyBuckets` `s3:GetBucketLocation` `s3:CreateBucket` `kms:DescribeKey` `kms:ListAliases` `kms:RetireGrant` `kms:CreateGrant` `iam:PutRolePolicy` |
## 資料串流頁面
### 聯絡記錄區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視資料串流 – 聯絡記錄 | `connect:DescribeInstance` `connect:ListInstanceStorageConfigs` `connect:DescribeInstanceStorageConfig` |
| 編輯聯絡記錄 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `firehose:ListDeliveryStreams` `firehose:DescribeDeliveryStream` `kinesis:ListStreams` `kinesis:DescribeStream` `iam:PutRolePolicy` |
### 客服人員事件區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視資料串流 – 客服人員事件 | `connect:DescribeInstance` `connect:ListInstanceStorageConfigs` `connect:DescribeInstanceStorageConfig` |
| 編輯客服人員事件 | `connect:AssociateInstanceStorageConfig` `connect:UpdateInstanceStorageConfig` `connect:DisassociateInstanceStorageConfig` `kinesis:ListStreams` `kinesis: DescribeStream` `iam:PutRolePolicy` |
## 流程頁面
### 流量安全性金鑰區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視流量安全性金鑰 | `connect:DescribeInstance` `connect:ListSecurityKeys` |
| 新增/移除流程安全性金鑰 | `connect:AssociateSecurityKey` `connect:DisassociateSecurityKey` |
### Lex 機器人區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視 Lex 機器人 | `connect:ListLexBots` `connect:ListBots` |
| 新增/移除 Lex 機器人 | `lex:GetBots` `lex:GetBot` `lex:CreateResourcePolicy` `lex:DeleteResourcePolicy` `lex:UpdateResourcePolicy` `lex:DescribeBotAlias` `lex:ListBotAliases` `lex:ListBots` `connect:AssociateBot` `connect:DisassociateBot` `connect:ListBots` `connect:AssociateLexBot` `connect:DisassociateLexBot` `connect:ListLexBots` `iam:PutRolePolicy` |
### Lambda 函數區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視 Lambda 函數 | `connect:ListLambdaFunctions` |
| 新增/移除 Lambda 函數 | `connect:ListLambdaFunctions` `connect:AssociateLambdaFunction` `connect:DisassociateLambdaFunction` `iam:PutRolePolicy` `lambda:ListFunctions` `lambda:AddPermission` `lambda:RemovePermission` |
### 流程日誌區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視流程日誌組態 | `connect:DescribeInstance` `connect:DescribeInstanceAttribute` |
| 啟用/停用流程日誌 | `logs:CreateLogGroup` |
### Amazon Polly 區段
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視 Amazon Polly 選項 | `connect:DescribeInstance` `connect:DescribeInstanceAttribute` |
| 更新 Amazon Polly 選項 | `connect:UpdateInstanceAttribute` |
## Contact Lens 連接器頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視 Contact Lens 連接器 | `connect:ListIntegrationAssociations` `chime:GetVoiceConnector` `chime:GetVoiceConnectorLoggingConfiguration` `chime:GetVoiceConnectorTermination` `chime:GetVoiceConnectorTerminationHealth` `chime:ListVoiceConnectors` `chime:ListVoiceConnectorTerminationCredentials` `chime:GetVoiceConnectorExternalSystemsConfiguration` |
| 新增/更新/移除 Contact Lens 連接器 | `chime:CreateVoiceConnector` `chime:DeleteVoiceConnector` `chime:DeleteVoiceConnectorTermination` `chime:DeleteVoiceConnectorTerminationCredentials` `chime:GetVoiceConnector` `chime:GetVoiceConnectorLoggingConfiguration` `chime:GetVoiceConnectorTermination` `chime:GetVoiceConnectorTerminationHealth` `chime:ListVoiceConnectors` `chime:ListVoiceConnectorTerminationCredentials` `chime:PutVoiceConnectorLoggingConfiguration` `chime:PutVoiceConnectorTermination` `chime:PutVoiceConnectorTerminationCredentials` `chime:UpdateVoiceConnector` `chime:CreateConnectAnalyticsConnector` `chime:PutVoiceConnectorExternalSystemsConfiguration` `chime:GetVoiceConnectorExternalSystemsConfiguration` `chime:DeleteVoiceConnectorExternalSystemsConfiguration` `chime:AssociateVoiceConnectorConnect` `chime:DisassociateVoiceConnectorConnect` `chime:TagResources` `chime:UntagResources` `chime:ListTagsForResource` |
## 語音轉接整合頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視外部語音轉接連接器 | `connect:ListIntegrationAssociations` `chime:GetVoiceConnector` `chime:GetVoiceConnectorLoggingConfiguration` `chime:GetVoiceConnectorTermination` `chime:GetVoiceConnectorTerminationHealth` `chime:ListVoiceConnectors` `chime:ListVoiceConnectorTerminationCredentials` `chime:GetVoiceConnectorExternalSystemsConfiguration` `servicequotas:GetServiceQuota` |
| 新增/更新/移除外部語音轉接連接器 | `connect:CreateIntegrationAssociation` `connect:DeleteIntegrationAssociation` `connect:ListIntegrationAssociations` `chime:CreateConnectCallTransferConnector` `chime:CreateVoiceConnector` `chime:DeleteVoiceConnector` `chime:DeleteVoiceConnectorTermination` `chime:DeleteVoiceConnectorTerminationCredentials` `chime:GetVoiceConnector` `chime:GetVoiceConnectorLoggingConfiguration` `chime:GetVoiceConnectorOrigination` `chime:GetVoiceConnectorTermination` `chime:GetVoiceConnectorTerminationHealth` `chime:ListVoiceConnectors` `chime:ListVoiceConnectorTerminationCredentials` `chime:PutVoiceConnectorLoggingConfiguration` `chime:PutVoiceConnectorOrigination` `chime:PutVoiceConnectorTermination` `chime:PutVoiceConnectorTerminationCredentials` `chime:UpdateVoiceConnector` `chime:CreateConnectAnalyticsConnector` `chime:PutVoiceConnectorExternalSystemsConfiguration` `chime:GetVoiceConnectorExternalSystemsConfiguration` `chime:DeleteVoiceConnectorExternalSystemsConfiguration` `chime:AssociateVoiceConnectorConnect` `chime:DisassociateVoiceConnectorConnect` `chime:TagResources` `chime:UntagResources` `chime:ListTagsForResource` `servicequotas:GetServiceQuota` |
## 應用程式整合頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視核准的來源 | `connect:DescribeInstance` `connect:ListApprovedOrigins` |
| 編輯核准的來源 | `connect: AssociateApprovedOrigin` `connect:ListApprovedOrigins` `connect:DisassociateApprovedOrigin` |
## 客戶設定檔頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 查看客戶設定檔 | `app-integrations:ListEventIntegrations` `appflow:DescribeConnectorEntity` `appflow:DescribeConnectorProfiles` `appflow:DescribeFlow` `appflow:ListFlows` `appflow:ListConnectorEntities` `appflow:ListConnectorProfiles` `cloudwatch:GetMetricData` `connect:DescribeInstance` `connect:ListInstances` `ds:DescribeDirectories` `iam:ListRoles` `kinesis:DescribeStreamSummary` `kms:Decrypt` `kms:DescribeKey` `kms:GenerateDataKey` `kms:ListKeys` `profile:GetCalculatedAttributeDefinition` `profile:GetDomain` `profile:GetEventStream` `profile:GetIdentityResolutionJob` `profile:GetIntegration` `profile:GetProfileObjectType` `profile:GetProfileObjectTypeTemplate` `profile:GetWorkflow` `profile:ListAccountIntegrations` `profile:ListCalculatedAttributeDefinitions` `profile:ListDomains` `profile:ListDomainLayouts` `profile:ListEventStreams` `profile:ListIdentityResolutionJobs` `profile:ListIntegrations` `profile:ListProfileObjectTypes` `profile:ListProfileObjectTypeTemplates` `profile:ListRecommenders` `profile:ListSegmentDefinitions` `sqs:ListQueues` |
| 編輯客戶設定檔 | `app-integrations:CreateEventIntegration` `app-integrations:ListEventIntegrations` `appflow:CreateFlow` `appflow:CreateConnectorProfile` `appflow:DescribeFlow` `appflow:DeleteFlow` `appflow:DescribeConnectorEntity` `appflow:DescribeConnectorProfiles` `appflow:ListFlows` `appflow:ListConnectorEntities` `appflow:ListConnectorProfiles` `appflow:StartFlow` `cloudwatch:GetMetricData` `connect:DescribeInstance` `connect:ListInstances` `ds:DescribeDirectories` `events:CreateEventBus` `events:DescribeEventBus` `events:DescribeEventSource` `events:ListEventSources` `iam:CreateRole` `iam:CreatePolicy` `iam:AttachRolePolicy` `iam:ListRoles` `iam:PutRolePolicy` `kinesis:DescribeStreamSummary` `kinesis:ListStreams` `kms:CreateGrant` `kms:Decrypt` `kms:DescribeKey` `kms:GenerateDataKey` `kms:ListAliases` `kms:ListKeys` `kms:ListGrants` `profile:CreateCalculatedAttributeDefinition` `profile:CreateDomain` `profile:CreateDomainLayout` `profile:CreateEventStream` `profile:CreateIntegrationWorkflow` `profile:CreateSegmentDefinition` `profile:DeleteEventStream` `profile:DeleteIntegration` `profile:DeleteDomain` `profile:DeleteProfileObjectType` `profile:DetectProfileObjectType` `profile:GetCalculatedAttributeDefinition` `profile:GetDomain` `profile:GetEventStream` `profile:GetIdentityResolutionJob` `profile:GetIntegration` `profile:GetProfileObjectType` `profile:GetProfileObjectTypeTemplate` `profile:GetWorkflow` `profile:ListAccountIntegrations` `profile:ListCalculatedAttributeDefinitions` `profile:ListDomains` `profile:ListDomainLayouts` `profile:ListEventStreams` `profile:ListIdentityResolutionJobs` `profile:ListIntegrations` `profile:ListProfileObjectTypes` `profile:ListProfileObjectTypeTemplates` `profile:ListSegmentDefinitions` `profile:PutIntegration` `profile:PutProfileObjectType` `profile:TagResource` `profile:UntagResource` `profile:UpdateDomain` `s3:GetBucketLocation` `s3:GetBucketPolicy` `s3:GetObject` `s3:HeadBucket` `s3:ListAllMyBuckets` `s3:ListBucket` `s3:ListObjectsV2` `s3:PutBucketPolicy` `s3:SelectObjectContent` `sqs:ListQueues` |
## 任務頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 查看任務整合 | `app-integrations:GetEventIntegration` `connect:ListIntegrationAssociations` |
| 編輯任務整合 | `app-integrations:CreateEventIntegration` `app-integrations:GetEventIntegration` `app-integrations:ListEventIntegrations` `app-integrations:DeleteEventIntegrationAssociation` `app-integrations:CreateEventIntegrationAssociation` `appflow:CreateFlow` `appflow:CreateConnectorProfile` `appflow:DescribeFlow` `appflow:DeleteFlow` `appflow:DeleteConnectorProfile` `appflow:DescribeConnectorEntity` `appflow:ListFlows` `appflow:ListConnectorEntities` `appflow:StartFlow` `connect:ListIntegrationAssociations` `connect:DeleteIntegrationAssociation` `connect:ListUseCases` `connect:DeleteUseCase` `events:ActivateEventSource` `events:CreateEventBus` `events:DescribeEventBus` `events:DescribeEventSource` `events:ListEventSources` `events:ListTargetsByRule` `events:PutRule` `events:PutTargets` `events:DeleteRule` `events:RemoveTargets` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `kms:ListKeys` `kms:ListGrants` |
## 電子郵件頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視電子郵件網域和地址 | `ses:GetIdentityVerificationAttributes` `ses:DescribeReceiptRule` `ses:DescribeActiveReceiptRuleSet` `ses:GetEmailIdentity` `ses:DescribeReceiptRuleSet` `ses:GetConfigurationSetEventDestinations` `ses:GetConfigurationSet` |
| 編輯電子郵件網域和地址 | `ses:CreateReceiptRule` `ses:UpdateReceiptRule` `ses:SetActiveReceiptRuleSet` `ses:CreateReceiptRuleSet` `ses:CreateEmailIdentity` `ses:TagResource` `ses:UntagResource` `ses:DeleteReceiptRule` `ses:DeleteReceiptRuleSet` `ses:CloneReceiptRuleSet` `ses:CreateConfigurationSet` `ses:CreateConfigurationSetEventDestination` `ses:PutEmailIdentityConfigurationSetAttributes` `ses:CreateEmailIdentityPolicy` `ses:UpdateEmailIdentityPolicy` `ses:DeleteEmailIdentityPolicy` `iam:CreateServiceLinkedRole` `iam:PassRole` `iam:CreateRole` `iam:CreatePolicy` |
## 案例頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視案例網域詳細資訊 | `connect:ListInstances` `ds:DescribeDirectories` `connect:ListIntegrationAssociations` `cases:GetDomain` |
| 加入案例 | `connect:ListInstances` `connect:ListIntegrationAssociations` `cases:GetDomain` `cases:CreateDomain` `connect:CreateIntegrationAssociation` `connect:DescribeInstance` `iam:PutRolePolicy` |
## 客戶身分驗證頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視客戶身分驗證 | `connect:ListIntegrationAssociations` `cognito-idp:ListUserPools` `cognito-idp:DescribeUserPool` |
| 加入至客戶身分驗證 | `connect:CreateIntegrationAssociation` `connect:DeleteIntegrationAssociation` `connect:ListIntegrationAssociations` `cognito-idp:ListUserPools` `cognito-idp:DescribeUserPool` `cognito-idp:ListUserPoolClients` `cognito-idp:TagResource` `cognito-idp:CreateUserPool` |
## 對外行銷活動頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視傳出活動 | `connect:ListIntegrationAssociations` `connect:ListPhoneNumbersV2` `connect:SearchEmailAddresses` `connect:DescribeInstance` `connect:DescribeInstanceAttribute` `kms:DescribeKey` `kms:ListKeys` `profile:ListAccountIntegrations` `profile:ListIntegrations` `profile:ListDomains` `profile:GetDomain` `wisdom:ListKnowledgeBases` `wisdom:GetKnowledgeBase` `connect-campaigns:GetInstanceOnboardingJobStatus` `connect-campaigns:GetConnectInstanceConfig` `connect-campaigns:ListConnectInstanceIntegrations` |
| 建立對外行銷活動 | `connect-campaigns:StartInstanceOnboardingJob` `connect-campaigns:DeleteInstanceOnboardingJob` `connect-campaigns:GetConnectInstanceConfig` `connect-campaigns:GetInstanceOnboardingJobStatus` `connect-campaigns:DeleteConnectInstanceConfig` `connect:DescribeInstance` `connect:DescribeInstanceAttribute` `connect:UpdateInstanceAttribute` `iam:CreateServiceLinkedRole` `iam:DeleteServiceLinkedRole` `iam:AttachRolePolicy` `iam:PutRolePolicy` `iam:DeleteRolePolicy` `events:PutRule` `events:PutTargets` `events:DeleteRule` `events:RemoveTargets` `events:DescribeRule` `events:ListTargetsByRule` `ds:DescribeDirectories` `kms:DescribeKey` `kms:ListKeys` `kms:CreateGrant` `kms:RetireGrant` `profile:CreateDomain` `profile:ListAccountIntegrations` `profile:ListIntegrations` `profile:PutIntegration` `profile:PutProfileObjectType` `connect:CreateIntegrationAssociation` `connect:ListIntegrationAssociations` `connect:UpdateInstanceAttribute` `connect:AssociateCustomerProfilesDomain` `connect-campaigns:ListConnectInstanceIntegrations` `connect-campaigns:PutConnectInstanceIntegration` `wisdom:CreateKnowledgeBase` `wisdom:ListKnowledgeBases` |
## Connect AI 代理程式頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視網域和整合 | `wisdom:ListAssistantAssociations` `appflow:DescribeConnectorProfiles` `app-integrations:GetDataIntegration` `connect:DescribeInstance` `connect:DescribeInstanceAttribute` `connect:ListIntegrationAssociations` `kms:DescribeKey` `kms:ListGrants` `wisdom:GetAssistant` `wisdom:GetKnowledgeBase` `wisdom:ListAssistantAssociations` |
| 新增或移除網域 | `connect:CreateIntegrationAssociation` `connect:DeleteIntegrationAssociation` `connect:ListIntegrationAssociations` `iam:DeleteRolePolicy` `iam:PutRolePolicy` `kms:CreateGrant` `kms:DescribeKey` `kms:ListAliases` `wisdom:CreateAssistant` `wisdom:DeleteAssistant` `wisdom:GetAssistant` `wisdom:ListAssistantAssociations` `wisdom:ListAssistants` `wisdom:TagResource` |
| 新增或移除整合 | `wisdom:ListAssistantAssociations` `app-integrations:CreateDataIntegration` `app-integrations:CreateDataIntegrationAssociation` `app-integrations:DeleteDataIntegrationAssociation` `app-integrations:GetDataIntegration` `app-integrations:ListDataIntegrations` `appflow:CreateConnectorProfile` `appflow:CreateFlow` `appflow:DeleteFlow` `appflow:DescribeConnector` `appflow:DescribeConnectorEntity` `appflow:DescribeConnectorProfiles` `appflow:DescribeConnectors` `appflow:DescribeFlow` `appflow:ListConnectorEntities` `appflow:StartFlow` `appflow:StopFlow` `appflow:TagResource` `appflow:UseConnectorProfile` `connect:CreateIntegrationAssociation` `connect:DeleteIntegrationAssociation` `connect:ListIntegrationAssociations` `iam:DeleteRolePolicy` `iam:PutRolePolicy` `kms:CreateGrant` `kms:Decrypt` `kms:DescribeKey` `kms:GenerateDataKey` `kms:ListAliases` `kms:ListGrants` `secretsmanager:CreateSecret` `secretsmanager:PutResourcePolicy` `wisdom:CreateAssistantAssociation` `wisdom:CreateKnowledgeBase` `wisdom:DeleteAssistantAssociation` `wisdom:DeleteKnowledgeBase` `wisdom:GetAssistant` `wisdom:GetKnowledgeBase` `wisdom:ListAssistantAssociations` `wisdom:ListKnowledgeBases` `wisdom:TagResource` |
## Voice ID 頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視 Voice ID 整合 | `voiceid:DescribeDomain` `voiceid:ListDomains` `voiceid:RegisterComplianceConsent` `voiceid:DescribeComplianceConsent` `connect:ListIntegrationAssociations` |
| 編輯 Voice ID 整合 | `voiceid:DescribeDomain` `voiceid:ListDomains` `voiceid:RegisterComplianceConsent` `voiceid:DescribeComplianceConsent` `voiceid:UpdateDomain` `voiceid:CreateDomain` `connect:ListIntegrationAssociations` `connect:CreateIntegrationAssociation` `connect:DeleteIntegrationAssociation` `events:PutRule` `events:DeleteRule` `events:PutTargets` `events:RemoveTargets` `iam:PutRolePolicy` |
## 預測、容量規劃和排程頁面
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 檢視預測、容量規劃和排程 | `connect:DescribeForecastingPlanningSchedulingIntegration` |
| 啟用預測、容量規劃和排程 | `connect:UpdateInstanceAttribute` `connect:StartForecastingPlanningSchedulingIntegration` |
| 停用預測、容量規劃和排程 | `connect:UpdateInstanceAttribute` `connect:StopForecastingPlanningSchedulingIntegration` |
## 聯合
### SAML 聯合
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| SAML 聯合 | `connect:GetFederationToken` |
### 行政/緊急聯合
| 動作/使用案例 | 需要的許可 |
| --- | --- |
| 行政/緊急聯合 | `connect:AdminGetEmergencyAccessToken` |
# 限制可與 Amazon Connect 相關聯的 AWS 資源
建立執行個體時，每個 Amazon Connect 執行個體都會與 IAM [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)建立關聯。Amazon Connect 可以針對通話錄音儲存 (Amazon S3 儲存貯體)、自然語言機器人 (Amazon Lex 機器人) 和資料串流 (Amazon Kinesis Data Streams) 等使用案例整合其他 AWS 服務。Amazon Connect 會假設服務連結角色與這些其他服務互動。政策會先新增至服務連結角色，做為 Amazon Connect 服務 （由 AWS 管理員主控台呼叫） 上對應 APIs 的一部分。例如，如果您想要將某個 Amazon S3 儲存貯體與您的 Amazon Connect 執行個體搭配使用，則必須將該儲存貯體傳遞至 [AssociateInstanceStorageConfig](https://docs.aws.amazon.com/connect/latest/APIReference/API_AssociateInstanceStorageConfig.html) API。
如需 Amazon Connect 定義的一組 IAM 動作，請參閱 [Amazon Connect 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html#amazonconnect-actions-as-permissions)。
以下是一些如何限制對可能與 Amazon Connect 執行個體相關聯之其他資源的存取範例。他們應套用至與 Amazon Connect API 或 Amazon Connect 主控台互動的使用者或角色。
**注意**
使用明確的 `Deny` 政策會覆寫這些範例中的 `Allow` 政策。
如需可用於限制存取的資源、條件金鑰和相依 API 的詳細資訊，請參閱 [Amazon Connect 的動作、資源和條件金鑰](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html)。
## 範例 1：限制哪些 Amazon S3 儲存貯體可與 Amazon Connect 執行個體建立關聯
此範例允許 IAM 主體將 Amazon S3 儲存貯體關聯至指定 Amazon Connect 執行個體 ARN 的通話錄音，以及名稱為 `my-connect-recording-bucket` 的特定 Amazon S3 儲存貯體。`AttachRolePolicy` 和 `PutRolePolicy ` 動作的範圍是 Amazon Connect 服務連結角色 (在此範例中使用萬用字元，但您可以視需要為執行個體提供角色 ARN)。
**注意**
若要使用 AWS KMS 金鑰來加密此儲存貯體中的記錄，需要額外的政策。
## 範例 2：限制哪些 AWS Lambda 函數可與 Amazon Connect 執行個體相關聯
AWS Lambda 函數與 Amazon Connect 執行個體相關聯，但 Amazon Connect 服務連結角色不會用來叫用它們，因此不會修改。而是透過 `lambda:AddPermission` API 將政策新增至函數，以允許指定的 Amazon Connect 執行個體調用該函數。
若要限制哪些函數可以與 Amazon Connect 執行個體關聯，請指定使用者可以用來調用 `lambda:AddPermission` 的 Lambda 函數 ARN：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"connect:AssociateLambdaFunction",
"lambda:AddPermission"
],
"Resource": [
"arn:aws:connect:us-east-1:111122223333:instance/instance-id",
"arn:aws:lambda:*:*:function:my-function"
]
}
]
}
```
------
## 範例 3：限制哪些 Amazon Kinesis Data Streams 可與 Amazon Connect 執行個體建立關聯
此範例遵循與 Amazon S3 範例類似的模型。它會限制哪些特定 Kinesis Data Streams 可能與指定的 Amazon Connect 執行個體相關聯，以便傳遞聯絡記錄。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"connect:UpdateInstanceStorageConfig",
"connect:AssociateInstanceStorageConfig"
],
"Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id",
"Condition": {
"StringEquals": {
"connect:StorageResourceType": "CONTACT_TRACE_RECORDS"
}
}
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"kinesis:DescribeStream",
"iam:PutRolePolicy"
],
"Resource": [
"arn:aws:iam::111122223333:role/aws-service-role/connect.amazonaws.com/*",
"arn:aws:kinesis:*:111122223333:stream/stream-name"
]
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": "kinesis:ListStreams",
"Resource": "*"
}
]
}
```
------
# Amazon Connect 如何與 IAM 搭配運作
在您使用 IAM 管理對 Amazon Connect 的存取權之前，您應該了解哪些 IAM 功能可以與 Amazon Connect 搭配使用。若要全面了解 Amazon Connect 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
**Topics**
+ [
## Amazon Connect 身分型政策
](#security_iam_service-with-iam-id-based-policies)
+ [
## 以 Amazon Connect 標籤為基礎的授權
](#security_iam_service-with-iam-tags)
+ [
## Amazon Connect IAM 角色
](#security_iam_service-with-iam-roles)
## Amazon Connect 身分型政策
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。Amazon Connect 支援特定動作、資源和條件金鑰。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 動作
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
Amazon Connect 中的政策動作會在動作前使用以下字首：`connect:`。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Amazon Connect 會定義自己的一組動作，描述您可以使用此服務執行的任務。
若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：
```
"Action": [
"connect:action1",
"connect:action2"
```
您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作：
```
"Action": "connect:Describe*"
```
若要查看 Amazon Connect 的 Amazon Connect 動作清單、[動作、資源和 Amazon Connect 的條件金鑰](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html)。
### Resources
Amazon Connect 支援資源層級許可 (在 IAM 政策中指定資源 ARN)。以下是 Amazon Connect 資源清單：
+ 執行個體
+ 聯絡
+ 使用者
+ 轉接設定檔
+ 安全性設定檔
+ 層次結構群組
+ 佇列
+ 檔案
+ 流程
+ 操作時數
+ 電話號碼
+ 任務範本
+ 客戶設定檔網域
+ 客戶設定檔物件類型
+ 傳出活動
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
Amazon Connect 執行個體資源具有以下 ARN：
```
arn:${Partition}:connect:${Region}:${Account}:instance/${InstanceId}
```
如需 ARNs 格式的詳細資訊，請參閱 [Amazon Resource Name (ARNs) AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。
例如，若要在陳述式中指定 `i-1234567890abcdef0` 執行個體，請使用以下 ARN：
```
"Resource": "arn:aws:connect:us-east-1:123456789012:instance/i-1234567890abcdef0"
```
若要指定屬於特定帳戶的所有執行個體，請使用萬用字元 (\$1)：
```
"Resource": "arn:aws:connect:us-east-1:123456789012:instance/*"
```
有些 Amazon Connect 動作無法對特定資源執行，例如用來建立資源的動作。在這些情況下，您必須使用萬用字元 (\$1)。
```
"Resource": "*"
```
許多 Amazon Connect API 動作都涉及多個資源。例如
若要在單一陳述式中指定多項資源，請使用逗號分隔 ARN。
```
"Resource": [
"resource1",
"resource2"
```
若要查看 Amazon Connect 資源類型及其 ARN 的清單，請參閱 [Amazon Connect 的動作、資源和條件金鑰](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html)。同一篇文章說明您可以指定每個資源的 ARN 動作。
### 條件索引鍵
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
Amazon Connect 會定義自己的一組條件索引鍵，也支援使用一些全域條件索引鍵。若要查看所有 AWS 全域條件金鑰，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
所有 Amazon EC2 操作都支援 `aws:RequestedRegion` 和 `ec2:Region` 條件索引鍵。如需詳細資訊，請參閱[範例：將存取限制在特定區域](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ExamplePolicies_EC2.html#iam-example-region)。
若要查看 Amazon Connect 條件金鑰的清單，請參閱 [Amazon Connect 的動作、資源和條件金鑰](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonconnect.html)。
### 範例
若要檢視 Amazon Connect 身分型政策的範例，請參閱 [Amazon Connect 的身分型政策範例](security_iam_id-based-policy-examples.md)。
## 以 Amazon Connect 標籤為基礎的授權
您可以將標籤連接至 Amazon Connect 資源，或是在請求中將標籤傳遞至 Amazon Connect。如需根據標籤控制存取，請使用 `connect:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
若要檢視身分型政策範例，以根據該資源上的標籤來限制存取資源，請參閱 [根據標籤描述和更新 Amazon Connect 使用者](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-view-widget-tags)。
## Amazon Connect IAM 角色
[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。
### 將臨時憑證與 Amazon Connect 搭配使用
您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。
Amazon Connect 支援使用臨時憑證。
### 服務連結角色
[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代表您完成 動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
Amazon Connect 支援服務連結角色。如需建立或管理 Amazon Connect 服務連結角色的詳細資訊，請參閱 [使用 Amazon Connect 的服務連結角色和角色權限](connect-slr.md)。
### 在 Amazon Connect 中選擇 IAM 角色
當您在 Amazon Connect 中建立資源時，必須選擇角色，以允許 Amazon Connect 代您存取 Amazon EC2。如果您之前已建立服務角色或服務連結角色，Amazon Connect 會提供您角色清單讓您選擇。請務必選擇允許存取啟動和停止 Amazon EC2 執行個體的角色。
# Amazon Connect 的身分型政策範例
根據預設，使用者和角色不具備建立或修改 Amazon Connect 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予 IAM 實體在其所需的指定資源上執行特定 API 操作的許可。IAM 管理員接著必須將這些政策連接至需要這些許可的 IAM 實體。
若要了解如何使用這些範例 JSON 原則文件建立 IAM 身分型原則，請參閱《*IAM 使用者指南*》中的[在 JSON 標籤上建立原則](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。
**Topics**
+ [
## 政策最佳實務
](#security_iam_service-with-iam-policy-best-practices)
+ [
## 允許 IAM 使用者檢視他們自己的許可
](#security_iam_id-based-policy-examples-view-own-permissions)
+ [
## 授予「檢視使用者」許可
](#security_iam_id-based-policy-example-view-user-permissions)
+ [
## 允許使用者與外部應用程式整合
](#security_iam_id-based-policy-examples-integrate)
+ [
## 根據標籤描述和更新 Amazon Connect 使用者
](#security_iam_id-based-policy-examples-view-widget-tags)
+ [
## 根據標籤建立 Amazon Connect 使用者
](#connect-access-control-resources-example1)
+ [
## 建立和檢視 Amazon AppIntegrations 資源
](#appintegration-resources-example1)
+ [
## 建立和檢視 Connect AI 代理器助理
](#wisdom-resources-example1)
+ [
## 管理對外行銷活動資源
](#outboundcommunications-policy-example1)
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Amazon Connect 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並轉向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 允許 IAM 使用者檢視他們自己的許可
此範例會示範如何建立政策，允許 IAM 使用者檢視連接到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 授予「檢視使用者」許可
當您在 AWS 帳戶中建立使用者或[群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html#id_iam-groups)時，您可以將 IAM 政策與該群組或使用者建立關聯，以指定您要授予的許可。
例如，假設您有一群項目層級的開發人員。您可以建立名為 `Junior application developers` 的 IAM 群組，並包含所有入門級開發人員。然後，將政策與授予其檢視 Amazon Connect 使用者之許可的群組產生關聯。在此情況下，您可能有類似以下範例的政策：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"connect:DescribeUser",
"connect:ListUsers"
],
"Resource": "*"
}
]
}
```
------
這個範例政策會授予許可，允許在 `Action` 元素中列出 API 動作。
**注意**
如果您不在陳述式中指定使用者 ARN 或 ID，則您必須同時在 `Resource` 元素中使用 \$1 萬用字元以授予許可，允許使用此動作的所有資源。
## 允許使用者與外部應用程式整合
此範例會示範如何建立允許使用者與外部應用程式整合的政策。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowAllAppIntegrationsActions",
"Effect": "Allow",
"Action": [
"app-integrations:ListEventIntegrations",
"app-integrations:CreateEventIntegration",
"app-integrations:GetEventIntegration",
"app-integrations:UpdateEventIntegration",
"app-integrations:DeleteEventIntegration",
"app-integrations:ListDataIntegrations",
"app-integrations:CreateDataIntegration",
"app-integrations:GetDataIntegration",
"app-integrations:UpdateDataIntegration",
"app-integrations:DeleteDataIntegration"
],
"Resource": "*"
}
]
}
```
------
## 根據標籤描述和更新 Amazon Connect 使用者
在 IAM 政策中，您可以選擇性的指定控制政策生效時機的條件。例如，您可以定義允許使用者僅更新在測試環境中工作的 Amazon Connect 使用者政策。
您可以定義 Amazon Connect 的特定條件，並定義適用於所有 的其他條件 AWS。如需詳細資訊和 AWS整體條件清單，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Condition)中的條件。 **
下列政策範例允許包含特定標籤的使用者執行「描述」和「更新」動作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"connect:DescribeUser",
"connect:UpdateUser*"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Test"
}
}
}
]
}
```
------
這個政策允許「描述使用者」和「更新使用者」，但僅限於包含「Department: Test」標籤的 Amazon Connect 使用者；其中「Department」是標籤金鑰，而「Test」是指標籤值。
## 根據標籤建立 Amazon Connect 使用者
下列政策範例允許包含特定標籤的使用者執行建立動作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"connect:CreateUser",
"connect:TagResource"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Owner": "TeamA"
}
}
}
]
}
```
------
這個政策允許「建立使用者」和「標籤資源」，但請求中必須出現「Owner: TeamA」標籤。
## 建立和檢視 Amazon AppIntegrations 資源
下列範例政策允許建立、列出和擷取事件整合。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"app-integrations:CreateEventIntegration",
"app-integrations:GetEventIntegration",
"app-integrations:ListEventIntegrations"
],
"Resource": "*"
}
]
}
```
------
## 建立和檢視 Connect AI 代理器助理
下列範例政策允許建立、列出、擷取和刪除 Connect AI 代理程式助理。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"wisdom:CreateContent",
"wisdom:DeleteContent",
"wisdom:CreateKnowledgeBase",
"wisdom:GetAssistant",
"wisdom:GetKnowledgeBase",
"wisdom:GetContent",
"wisdom:GetRecommendations",
"wisdom:GetSession",
"wisdom:NotifyRecommendationsReceived",
"wisdom:QueryAssistant",
"wisdom:StartContentUpload",
"wisdom:UpdateContent",
"wisdom:UntagResource",
"wisdom:TagResource",
"wisdom:CreateSession"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/AmazonConnectEnabled": "True"
}
}
},
{
"Action": [
"wisdom:ListAssistants",
"wisdom:ListKnowledgeBases"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
## 管理對外行銷活動資源
上線許可：以下範例政策允許 Amazon Connect 執行個體登入對外行銷活動。
```
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"kms:DescribeKey",
"kms:CreateGrant"
],
"Resource": [
"arn:aws:kms:region:account-id:key/key-id"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"connect:DescribeInstance"
],
"Resource": [
"arn:aws:connect:region:account-id:instance/instance-id"
]
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": [
"events:PutTargets",
"events:PutRule",
"iam:CreateServiceLinkedRole",
"iam:AttachRolePolicy",
"iam:PutRolePolicy",
"ds:DescribeDirectories",
"connect-campaigns:StartInstanceOnboardingJob",
"connect-campaigns:GetConnectInstanceConfig",
"connect-campaigns:GetInstanceOnboardingJobStatus",
"connect-campaigns:DeleteInstanceOnboardingJob",
"connect:DescribeInstanceAttribute",
"connect:UpdateInstanceAttribute",
"connect:ListInstances",
"kms:ListAliases"
],
"Resource": "*"
}
```
若要停用執行個體的對外行銷活動，請新增下列許可：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"kms:DescribeKey",
"kms:RetireGrant"
],
"Resource": [
"arn:aws:kms:us-east-1:111122223333:key/KeyId"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"events:DeleteRule",
"events:RemoveTargets",
"events:DescribeRule",
"iam:DeleteRolePolicy",
"events:ListTargetsByRule",
"iam:DeleteServiceLinkedRole",
"connect-campaigns:DeleteConnectInstanceConfig"
],
"Resource": "*"
}
]
}
```
------
管理許可：下列範政策允許對外行銷活動上的所有讀取和寫入作業。
```
{
"Sid": "AllowConnectCampaignsOperations",
"Effect": "Allow",
"Action": [
"connect-campaigns:CreateCampaign",
"connect-campaigns:DeleteCampaign",
"connect-campaigns:DescribeCampaign",
"connect-campaigns:UpdateCampaignName",
"connect-campaigns:GetCampaignState"
"connect-campaigns:UpdateOutboundCallConfig",
"connect-campaigns:UpdateDialerConfig",
"connect-campaigns:PauseCampaign",
"connect-campaigns:ResumeCampaign",
"connect-campaigns:StopCampaign",
"connect-campaigns:GetCampaignStateBatch",
"connect-campaigns:ListCampaigns"
],
"Resource": "*"
}
```
ReadOnly 權限：以下範例政策允許僅供讀取存取行銷活動。
```
{
"Sid": "AllowConnectCampaignsReadOnlyOperations",
"Effect": "Allow",
"Action": [
"connect-campaigns:DescribeCampaign",
"connect-campaigns:GetCampaignState",
"connect-campaigns:GetCampaignStateBatch",
"connect-campaigns:ListCampaigns"
],
"Resource": "*",
}
```
以標籤為基礎的許可：以下範例政策限制對使用標籤與特定 Amazon Connect 執行個體整合的行銷活動的存取。您可以根據使用案例新增更多許可。
```
{
"Sid": "AllowConnectCampaignsOperations",
"Effect": "Allow",
"Action": [
"connect-campaigns:DescribeCampaign",
"connect-campaigns:GetCampaignState"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/owner": "arn:aws:connect:region:customer_account_id:instance/connect_instance_id"
}
}
}
```
**注意**
`connect-campaigns:ListCampaigns` 和 `connect-campaigns:GetCampaignStateBatch` 操作不能被標籤限制。
# Amazon Connect 資源層級政策範例
Amazon Connect 支援使用者的資源層級許可，因此您可以為執行個體使用者指定動作，如下列政策所示。
**Topics**
+ [
## 拒絕 Amazon Connect 執行個體上的所有動作
](#connect-access-control-resources-example-all)
+ [
## 拒絕「刪除」和「更新」動作
](#connect-access-control-resources-example2)
+ [
## 允許整合特定名稱的動作
](#connect-access-control-resources-integration-example)
+ [
## 允許「建立使用者」但在您已獲派特定安全性設定檔時則予以拒絕
](#connect-access-control-resources-example3)
+ [
## 允許對聯絡錄製動作
](#connect-access-control-resources-example4)
+ [
## 允許或拒絕複本區域中電話號碼佇列 API 動作
](#allow-deny-queue-actions-replica-region)
+ [
## 檢視特定 Amazon AppIntegrations 資源
](#view-specific-appintegrations-resources)
+ [
## 授予 Amazon Connect Customer Profiles 存取權
](#grant-access-to-customer-profiles)
+ [
## 授予僅供讀取 Customer Profiles 資料
](#grant-read-only-access-to-customer-profiles)
+ [
## 僅適用於特定助理的 Query Connect AI 代理器
](#query-wisdom-assistant)
+ [
## 授予 Amazon Connect Voice ID 完整存取權
](#grant-read-only-access-to-voiceid)
+ [
## 授予對 Amazon Connect Outbound Campaigns 資源的存取權
](#grant-read-only-access-to-outboundcommunications)
+ [
## 限制搜尋 Amazon Connect Contact Lens 所分析的文字記錄的功能
](#restrict-ability-to-search-transcripts-contact-lens)
## 拒絕 Amazon Connect 執行個體上的所有動作
Amazon Connect 執行個體是 Amazon Connect 中最上層的資源。所有其他子資源都會在其範圍內建立。若要拒絕 Amazon Connect 執行個體內所有資源的所有動作，您可以使用下列其中一種方式：
+ 使用 `connect:instanceId` 內容金鑰。
+ 使用執行個體 ARN，後面接著萬用字元 (\$1)。
下列範例政策會拒絕執行個體 ID 為 00fbeee1-123e-111e-93e3-11111bfbfcc1 的執行個體所有連線動作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "connect:*",
"Resource": "*",
"Condition": {
"StringEquals": {
"connect:instanceId": "00fbeee1-123e-111e-93e3-11111bfbfcc1"
}
}
}
]
}
```
------
或者，您可以指定執行個體 ARN 後接萬用字元 (\$1)，來拒絕所有動作。下列範例政策會拒絕執行個體 ARN 為 `arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1` 的執行個體所有連線動作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"connect:*"
],
"Resource": "arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1*"
}
]
}
```
------
## 拒絕「刪除」和「更新」動作
下列這個政策範例拒絕一個 Amazon Connect 執行個體的使用者執行「刪除」和「更新」動作。它在 Amazon Connect 使用者 ARN 的結尾處使用萬用字元，以便在完整使用者 ARN 上拒絕「刪除使用者」和「更新使用者」(也就是，指定執行個體中的所有 Amazon Connect 使用者，例如 arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/agent/00dtcddd1-123e-111e-93e3-11111bfbfcc1)。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"connect:DeleteUser",
"connect:UpdateUser*"
],
"Resource": "arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/agent/*"
}
]
}
```
------
## 允許整合特定名稱的動作
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowAllAppIntegrationsActions",
"Effect": "Allow",
"Action": [
"app-integrations:ListEventIntegrations",
"app-integrations:CreateEventIntegration",
"app-integrations:GetEventIntegration",
"app-integrations:UpdateEventIntegration",
"app-integrations:DeleteEventIntegration"
],
"Resource":"arn:aws:app-integrations:*:*:event-integration/MyNamePrefix-*"
}
]
}
```
------
## 允許「建立使用者」但在您已獲派特定安全性設定檔時則予以拒絕
下列政策範例允許「建立使用者」，但會在 [CreateUser](https://docs.aws.amazon.com/connect/latest/APIReference/API_CreateUser.html#API_CreateUser_RequestBody) 請求的安全性設定檔使用參數為 arn:aws:connect:us-west-2:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/security-profile/11dtcggg1-123e-111e-93e3-11111bfbfcc17 時明確拒絕。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"connect:CreateUser"
],
"Resource": "*"
},
{
"Effect": "Deny",
"Action": [
"connect:CreateUser"
],
"Resource": "arn:aws:connect:us-west-2:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc17/security-profile/11dtcggg1-123e-111e-93e3-11111bfbfcc17"
}
]
}
```
------
## 允許對聯絡錄製動作
以下範例政策允許在特定執行個體中對聯絡進行「開始聯絡記錄」。由於 contactID 是動態的，因此使用 \$1。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"connect:StartContactRecording"
],
"Resource": "arn:aws:connect:us-west-2:111122223333:instance/instanceId/contact/*",
"Effect": "Allow"
}
]
}
```
------
設定與 *accountID* 的信任關係。
以下為錄製 API 定義的動作：
+ 「connect:StartContactRecording」
+ 「connect:StopContactRecording」
+ 「connect:SuspendContactRecording」
+ 「connect:ResumeContactRecording」
### 允許相同角色的更多聯絡動作
如果使用相同的角色呼叫其他聯絡 API，您可以列出下列聯絡動作：
+ GetContactAttributes
+ ListContactFlows
+ StartChatContact
+ StartOutboundVoiceContact
+ StopContact
+ UpdateContactAttributes
或者使用萬用字元來允許所有聯絡動作，例如：「connect:\$1」
### 允許更多資源
您也可以使用萬用字元，以允許更多資源。例如，以下說明如何允許所有聯絡資源上的所有連線動作：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"connect:*"
],
"Resource": "arn:aws:connect:us-west-2:111122223333:instance/*/contact/*",
"Effect": "Allow"
}
]
}
```
------
## 允許或拒絕複本區域中電話號碼佇列 API 動作
[CreateQueue](https://docs.aws.amazon.com/connect/latest/APIReference/API_CreateQueue.html) 和 [UpdateQueueOutboundCallerConfig](https://docs.aws.amazon.com/connect/latest/APIReference/API_UpdateQueueOutboundCallerConfig.html) API 包含名為 `OutboundCallerIdNumberId` 的輸入欄位。此欄位代表可以取得流量分布群組的電話號碼資源。它支援由 [ListPhoneNumbers](https://docs.aws.amazon.com/connect/latest/APIReference/API_ListPhoneNumbers.html) 返回的 V1 ARN 格式和 [ListPhoneNumbersV2](https://docs.aws.amazon.com/connect/latest/APIReference/API_ListPhoneNumbersV2.html) 返回的 V2 ARN 格式。
以下是 `OutboundCallerIdNumberId` 支援的 V1 和 V2 ARN 格式：
+ **V1 ARN 格式**：`arn:aws:connect:your-region:your-account_id:instance/instance_id/phone-number/resource_id`
+ **V2 ARN 格式**：`arn:aws:connect:your-region:your-account_id:phone-number/resource_id`
**注意**
我們建議使用 V2 ARN 格式。V1 ARN 格式將在未來棄用。
### 為副本區域中的電話號碼資源提供兩種 ARN 格式
如果對流量分布群組取得電話號碼，若要在複本區域中操作時正確允許/拒絕對電話號碼資源的佇列 API 動作存取，**您必須同時提供 V1 和 V2 ARN 格式的電話號碼資源**。如果您僅以一種 ARN 格式提供電話號碼資源，則在複本區域中操作時不會產生正確的允許/拒絕行為。
### 範例 1：拒絕存取 CreateQueue
例如，您在複本區域 us-west-2 中使用帳戶 ` 123456789012` 和執行個體 `aaaaaaaa-bbbb-cccc-dddd-0123456789012` 進行操作。當 `OutboundCallerIdNumberId` 值是向具有資源 ID `aaaaaaaa-eeee-ffff-gggg-0123456789012` 的流量分布群組取得的電話號碼時，您想要拒絕存取 [CreateQueue](https://docs.aws.amazon.com/connect/latest/APIReference/API_CreateQueue.html) API。但下列情況必須使用下列政策：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "DenyCreateQueueForSpecificNumber",
"Effect": "Deny",
"Action": "connect:CreateQueue",
"Resource": [
"arn:aws:connect:us-east-1:123456789012:phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012",
"arn:aws:connect:us-west-2:123456789012:instance/aaaaaaaa-bbbb-cccc-dddd-0123456789012/phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012"
]
}
]
}
```
------
其中 us-west-2 是正在發出請求的區域。
### 範例 2：僅允許 UpdateQueueOutboundCallerConfig 存取
例如，您在複本區域 us-west-2 中使用帳戶 `123456789012` 和執行個體 `aaaaaaaa-bbbb-cccc-dddd-0123456789012` 進行操作。當 `OutboundCallerIdNumberId` 值是向具有資源 ID `aaaaaaaa-eeee-ffff-gggg-0123456789012` 的[流量通訊群組宣告的電話號碼時，您只想要允許存取 UpdateQueueOutboundCallerConfig](https://docs.aws.amazon.com/connect/latest/APIReference/API_UpdateQueueOutboundCallerConfig.html) API。但下列情況必須使用下列政策：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "OnlyAllowUpdateQueueOutboundCallerConfigForSpecificNumber",
"Effect": "Allow",
"Action": "connect:UpdateQueueOutboundCallerConfig",
"Resource": [
"arn:aws:connect:us-east-1:123456789012:phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012",
"arn:aws:connect:us-west-2:123456789012:instance/aaaaaaaa-bbbb-cccc-dddd-0123456789012/phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012"
]
}
]
}
```
------
## 檢視特定 Amazon AppIntegrations 資源
下列範例政策允許擷取特定事件整合。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"app-integrations:GetEventIntegration"
],
"Resource": "arn:aws:app-integrations:us-west-2:111122223333:event-integration/Name"
}
]
}
```
------
## 授予 Amazon Connect Customer Profiles 存取權
Amazon Connect Customer Profiles 使用 `profile` 作為動作的前綴，而不是 `connect`。以下政策授予 Amazon Connect Customer Profiles 中特定網域的完整存取權。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"profile:*"
],
"Resource": "arn:aws:profile:us-west-2:111122223333:domains/domainName",
"Effect": "Allow"
}
]
}
```
------
設定 accountID 與網域 domainName 的信任關係。
## 授予僅供讀取 Customer Profiles 資料
以下是授予對 Amazon Connect Customer Profiles 中資料的讀取存取權限的範例。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"profile:SearchProfiles"
],
"Resource": "arn:aws:profile:us-east-1:111122223333:domains/domainName",
"Effect": "Allow"
}
]
}
```
------
## 僅適用於特定助理的 Query Connect AI 代理器
下列範例策略僅允許查詢特定助理。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"wisdom:QueryAssistant"
],
"Resource": "arn:aws:wisdom:us-east-1:111122223333:assistant/assistantID"
}
]
}
```
------
## 授予 Amazon Connect Voice ID 完整存取權
Amazon Connect Voice ID 使用 `voiceid` 作為動作的前綴，而不是連接。以下政策授予 Amazon Connect Voice ID 中特定網域的完整存取權：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"voiceid:*"
],
"Resource": "arn:aws:voiceid:us-west-2:111122223333:domain/domainName",
"Effect": "Allow"
}
]
}
```
------
設定 accountID 與網域 domainName 的信任關係。
## 授予對 Amazon Connect Outbound Campaigns 資源的存取權
對外行銷活動使用 `connect-campaign` 作為動作的前綴，而不是 `connect`。以下政策授予特定對外行銷活動的完整存取權。
```
{
"Sid": "AllowConnectCampaignsOperations",
"Effect": "Allow",
"Action": [
"connect-campaigns:DeleteCampaign",
"connect-campaigns:DescribeCampaign",
"connect-campaigns:UpdateCampaignName",
"connect-campaigns:GetCampaignState"
"connect-campaigns:UpdateOutboundCallConfig",
"connect-campaigns:UpdateDialerConfig",
"connect-campaigns:PauseCampaign",
"connect-campaigns:ResumeCampaign",
"connect-campaigns:StopCampaign"
],
"Resource": "arn:aws:connect-campaigns:us-west-2:accountID:campaign/campaignId",
}
```
## 限制搜尋 Amazon Connect Contact Lens 所分析的文字記錄的功能
下列政策允許搜尋和描述聯絡人，但拒絕使用 Amazon Connect Contact Lens 分析的文字記錄搜尋聯絡人。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"connect:DescribeContact"
],
"Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id/contact/*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"connect:SearchContacts"
],
"Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id"
},
{
"Sid": "VisualEditor2",
"Effect": "Deny",
"Action": [
"connect:SearchContacts"
],
"Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id",
"Condition": {
"ForAnyValue:StringEquals": {
"connect:SearchContactsByContactAnalysis": [
"Transcript"
]
}
}
}
]
}
```
------
# AWS Amazon Connect 的 受管政策
若要新增許可給使用者、群組和角色，使用 AWS 受管政策比自己撰寫政策更有效率。[建立 IAM 客戶受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要時間和專業知識，而受管政策可為您的團隊提供其所需的許可。若要快速開始使用，您可以使用 AWS 受管政策。這些政策涵蓋常見的使用案例，並且可在您的帳戶中使用 AWS 。如需 AWS 受管政策的更多相關資訊，請參閱「IAM 使用者指南」**中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/security-iam-awsmanpol.html)。
AWS 服務會維護和更新 AWS 受管政策。您無法變更 AWS 受管政策中的許可。服務偶爾會將其他許可新增至 AWS 受管政策，以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時，服務最有可能更新 AWS 受管政策。服務不會從 AWS 受管政策中移除許可，因此政策更新不會破壞您現有的許可。
此外， AWS 支援跨多個 服務之任務函數的受管政策。例如，ReadOnlyAccess AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會 AWS 新增新操作和資源的唯讀許可。如需任務職能政策的清單和說明，請參閱 *IAM 使用者指南*中[有關任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
## AWS 受管政策：AmazonConnect\$1FullAccess
若要允許 Amazon Connect 的完整讀取/寫入存取權，您必須將兩個政策附加到 IAM 使用者、群組或角色。連接 `AmazonConnect_FullAccess` 政策和自訂政策，以擁有 Amazon Connect的完整存取權。
若要檢視 `AmazonConnect_FullAccess` 政策的權限，請參閱 *AWS 受管政策參考*中的 [AmazonConnect\$1FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonConnect_FullAccess.html)。
**自訂政策**
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AttachAnyPolicyToAmazonConnectRole",
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
}
]
}
```
------
若要允許使用者來建立執行個體，確保它們具備 `AmazonConnect_FullAccess` 政策所授與的許可。
使用 `AmazonConnect_FullAccess` 政策時，請注意下列事項：
+ 包含 `iam:PutRolePolicy` 動作的自動政策允許取得該政策的使用者設定帳戶中的任何資源，以與 Amazon Connect 執行個體搭配使用。有鑑於此新增動作授予十分廣泛的權限，請只在必要時指派。或者，您可以建立可存取必要資源的服務連結角色，並讓使用者可以存取將服務連結角色傳遞給 Amazon Connect (由 `AmazonConnect_FullAccess` 政策授予)。
+ 若要使用您選擇的名稱建立 Amazon S3 儲存貯體，或在從 Amazon Connect 管理員網站建立或更新執行個體時使用現有的儲存貯體，則需要其他權限。如果您為通話錄音、聊天文字記錄、通話文字記錄和其他資料選擇預設儲存位置，系統會在這些物件的名稱前加上「amazon-connect-」。
+ aws/connect KMS 金鑰可作為預設加密選項使用。若要使用自訂加密金鑰，請指派其他 KMS 權限給使用者。
+ 為使用者指派其他權限，以將 Amazon Polly、即時媒體串流、資料串流和 Lex 機器人等其他 AWS 資源連接至其 Amazon Connect 執行個體。
如需有關許可的詳細資訊，請參閱 [使用自訂 IAM 政策管理 Amazon Connect 主控台存取權的必要許可](security-iam-amazon-connect-permissions.md)。
## AWS 受管政策：AmazonConnectReadOnlyAccess
若要允許唯讀存取權，您可以連接 `AmazonConnectReadOnlyAccess` 政策。
若要檢視此政策的權限，請參閱 *AWS 受管政策參考*中的 [AmazonConnectReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonConnectReadOnlyAccess.html)。
## AWS 受管政策：AmazonConnectServiceLinkedRolePolicy
此政策會連接到名為 的服務連結角色`AWSServiceRoleForAmazonConnect`，以允許 對指定的資源 Amazon Connect 執行各種動作。當您在 中啟用其他功能時 Amazon Connect，會為 [AWSServiceRoleForAmazonConnect](https://docs.aws.amazon.com/connect/latest/adminguide/connect-slr.html#slr-permissions) 服務連結角色新增額外的許可，以存取與這些功能相關聯的資源。
若要檢視此政策的權限，請參閱 *AWS 受管政策參考*中的 [AmazonConnectServiceLinkedRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonConnectServiceLinkedRolePolicy.html)。
## AWS 受管政策：AmazonConnectCampaignsServiceLinkedRolePolicy
`AmazonConnectCampaignsServiceLinkedRolePolicy` 角色許可政策允許 Amazon Connect 對外行銷活動對指定的資源執行各種動作。當您在 中啟用其他功能時 Amazon Connect，會為 [AWSServiceRoleForConnectCampaigns](https://docs.aws.amazon.com/connect/latest/adminguide/connect-slr-outbound.html#slr-permissions-outbound) 服務連結角色新增額外的許可，以存取與這些功能相關聯的資源。
若要檢視此政策的權限，請參閱 *AWS 受管政策參考*中的 [AmazonConnectCampaignsServiceLinkedRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonConnectCampaignsServiceLinkedRolePolicy.html)。
## AWS 受管政策：AmazonConnectVoiceIDFullAccess
若要允許完整存取 Amazon Connect Voice ID，您必須將兩個政策附加到使用者、群組或角色。連接`AmazonConnectVoiceIDFullAccess`政策和自訂政策，以透過 Amazon Connect 管理員網站存取語音 ID。
若要檢視 `AmazonConnectVoiceIDFullAccess` 政策的權限，請參閱 *AWS 受管政策參考*中的 [AmazonConnectVoiceIDFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonConnectVoiceIDFullAccess.html)。
**自訂政策**
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AttachAnyPolicyToAmazonConnectRole",
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
},
{
"Effect": "Allow",
"Action": [
"connect:CreateIntegrationAssociation",
"connect:DeleteIntegrationAssociation",
"connect:ListIntegrationAssociations"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"events:DeleteRule",
"events:PutRule",
"events:PutTargets",
"events:RemoveTargets"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"events:ManagedBy": "connect.amazonaws.com"
}
}
}
]
}
```
------
自訂政策會設定下列項目：
+ `iam:PutRolePolicy` 允許取得該政策的使用者設定帳戶中的任何資源與 Amazon Connect 執行個體搭配使用。由於其範圍廣泛，請僅在絕對必要時才授予此權限。
+ 將語音 ID 網域連接至 Amazon Connect 執行個體需要額外的 Amazon Connect 和 Amazon EventBridge 許可。您需要許可才能呼叫 Amazon Connect APIs 來建立、刪除和列出整合關聯。此外，您需要 EventBridge 權限才能建立和刪除提供與 Voice ID 相關的聯絡人記錄的規則。
Amazon Connect Voice ID 沒有預設加密選項，因此若要使用客戶受管金鑰，您必須在金鑰政策中允許下列 API 操作。此外，您需要授予相關金鑰的這些權限，因為這些權限不包含在受管政策中。
+ `kms:Decrypt` - 存取或儲存加密資料。
+ `kms:CreateGrant` – 建立或更新網域時，用來為 Voice ID 網域建立客戶受管金鑰的授權。授予可控制指定 KMS 金鑰的存取權，該金鑰允許[授予 Amazon Connect Voice ID 所需的作業](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html#terms-grant-operations)存取權。如需使用授予的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的[使用授權](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)。
+ `kms:DescribeKey` – 建立或更新網域時，允許決定您提供的 KMS 金鑰的 ARN。
如需建立網域和 KMS 金鑰的詳細資訊，請參閱 [開始在 Amazon Connect 中啟用語音 ID](enable-voiceid.md) 和 [Amazon Connect 中的靜態加密](encryption-at-rest.md)。
## AWS 受管政策：CustomerProfilesServiceLinkedRolePolicy
`CustomerProfilesServiceLinkedRolePolicy` 角色許可政策允許 對指定的資源 Amazon Connect 執行各種動作。當您啟用 Amazon Connect 中的其他功能時，會新增額外的許可，來讓 [AWSServiceRoleForProfile](customerprofiles-slr.md#slr-permissions-customerprofiles) 服務連結角色存取與下列功能相關的資源。
若要檢視此政策的權限，請參閱 * AWS 受管政策參考*中的 [CustomerProfilesServiceLinkedRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CustomerProfilesServiceLinkedRolePolicy.html)。
## AWS 受管政策：AmazonConnectSynchronizationServiceRolePolicy
`AmazonConnectSynchronizationServiceRolePolicy` 許可政策允許 Amazon Connect 受管同步對指定的資源執行各種動作。當資源同步處理已啟用更多資源時，系統會將其他權限新增至 [AWSServiceRoleForAmazonConnectSynchronization](managed-synchronization-slr.md#slr-permissions-managed-synchronization) 服務連結角色，以存取這些資源。
若要檢視此政策的權限，請參閱 *AWS 受管政策參考*中的 [AmazonConnectSynchronizationServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonConnectSynchronizationServiceRolePolicy.html)。
## AWS 受管政策的 Amazon Connect 更新
檢視自此服務開始追蹤 Amazon Connect AWS 受管政策更新以來的詳細資訊。如需有關此頁面變更的自動提醒，請訂閱 [Amazon Connect 文件歷史記錄](doc-history.md) 頁面的 RSS 摘要。
| 變更 | 描述 | Date |
| --- | --- | --- |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作 | 將下列 Connect AI 代理器動作新增至服務連結角色政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 11 月 18 日 |
| [AmazonConnectSynchronizationServiceRolePolicy](#amazonconnectsynchronizationservicerolepolicy) – 新增受管同步的動作 | 透過新增批次和匯入萬用字元，修改允許的動作。已新增下列動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 11 月 21 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 已新增 AWS 終端使用者訊息社交服務的動作 | 已新增 AWS 終端使用者訊息社交服務動作，以允許列出 WhatsApp 商業帳戶，以及擷取商業帳戶的 WhatsApp 訊息範本。已新增下列動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) AWS 終端使用者訊息社交服務範本 API 僅限於標記為 `AmazonConnectEnabled : True` 的 WhatsApp 商業帳戶。 | 2025 年 10 月 20 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Connect Customer Profiles 動作 | 已新增下列 Amazon Connect Customer Profiles 動作至 **AllowCustomerProfilesForConnectDomain** Sid 下的服務連結角色政策。此外，已新增對所有 amazon-connect-\$1 資源的設定檔 UploadJobs 支援，而不只是「上傳任務」資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 7 月 25 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Polly 的動作 | 已新增下列 Amazon Polly 動作至服務連結角色政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 7 月 9 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Connect Customer Profiles 動作 | 已新增下列 Amazon Connect Customer Profiles 動作至服務連結角色政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 6 月 30 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Connect Customer Profiles 動作 | 已新增下列 Customer Profiles 動作至服務連結角色政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 6 月 9 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作，以支援傳訊 | 將下列 Connect AI 代理器動作新增至服務連結角色政策，以支援傳訊。這些動作允許 Amazon Connect 使用 Connect AI 代理器 API 傳送、列出和取得下一個訊息： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2025 年 3 月 14 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作 | 將下列 Connect AI 代理器動作新增至服務連結角色政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 12 月 31 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 已新增 Amazon Pinpoint 的動作，以支援推播通知 | 已新增下列 Amazon Pinpoint 動作至服務連結角色政策，以支援推播通知。此動作允許 Amazon Connect 使用 Amazon Pinpoint API，傳送推播通知： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 12 月 10 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增與 AWS 最終使用者傳訊社交整合的動作 | 已將下列 AWS 最終使用者傳訊社交動作新增至服務連結角色政策。該動作允許 Amazon Connect 在具 `'AmazonConnectEnabled':'True'` 資源標籤的終端使用者訊息社交服務電話號碼上，調用這些 API。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 12 月 2 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 已新增 Amazon SES 動作，以支援電子郵件管道 | 已新增下列 Amazon SES 動作至服務連結角色政策，以支援電子郵件管道。這些動作允許 Amazon Connect 使用 Amazon SES API 傳送、接收和管理電子郵件： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 11 月 22 日 |
| [AmazonConnectServiceLinkedRolePolicy](#amazonconnectservicelinkedrolepolicy) – 新增 Amazon Connect Customer Profiles 動作 | 新增下列動作來管理 Amazon Connect Customer Profiles 資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 11 月 18 日 |
| [CustomerProfilesServiceLinkedRolePolicy](#customerprofilesservicelinkedrolepolicy) – 已新增權限，以管理對外行銷活動 | 已新增下列動作，以擷取設定檔資訊和觸發行銷活動。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 12 月 1 日 |
| [AmazonConnectServiceLinkedRolePolicy](#amazonconnectservicelinkedrolepolicy) – 新增 Amazon Connect Customer Profiles 和 Connect AI 代理器的動作 | 新增下列動作來管理 Amazon Connect Customer Profiles 資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 新增下列動作來管理 Connect AI 代理器資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 11 月 18 日 |
| [AmazonConnectCampaignsServiceLinkedRolePolicy](#amazonconnectcampaignsservicelinkedrolepolicy) – 新增 Amazon Connect Customer Profiles 和 Connect AI 代理器的動作 | 新增下列動作來管理 Amazon Connect 資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 新增下列動作來管理 EventBridge 資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 新增下列動作來管理 Connect AI 代理器資源： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 11 月 18 日 |
| [AmazonConnectSynchronizationServiceRolePolicy](#amazonconnectsynchronizationservicerolepolicy) – 已合併允許的動作，並新增受管同步的動作拒絕清單 | 已使用萬用字元修改允許的動作，並新增明確的拒絕動作清單。 | 2024 年 11 月 12 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 已新增 Amazon Chime SDK Voice Connector 的動作 | 已新增下列 Amazon Chime SDK Voice Connector 動作至服務連結角色政策。這些動作允許 Amazon Connect 取得和列出 Amazon Chime SDK Voice Connector API，來取得 Amazon Chime 語音連接器資訊： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 10 月 25 日 |
| [AmazonConnectSynchronizationServiceRolePolicy](#amazonconnectsynchronizationservicerolepolicy) – 已針對受管同步新增 | 已新增下列動作至服務連結角色受管政策，以支援啟動 `HoursOfOperationOverride` 屬性。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 9 月 25 日 |
| [AmazonConnectSynchronizationServiceRolePolicy](#amazonconnectsynchronizationservicerolepolicy) – 已針對受管同步新增 | 已針對受管同步，新增下列動作至服務連結角色受管政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 7 月 5 日 |
| [AmazonConnectReadOnlyAccess](#amazonconnectreadonlyaccess-policy) – 已重新命名動作 `connect:GetFederationTokens`，變更為 `connect:AdminGetEmergencyAccessToken` | 由於將 Amazon Connect 動作 `connect:GetFederationTokens` 重新命名為 `connect:AdminGetEmergencyAccessToken`，因此已更新 AmazonConnectReadOnlyAccess 受管政策。此變更可回溯相容，且 `connect:AdminGetEmergencyAccessToken` 動作的運作方式與 `connect:GetFederationTokens` 動作相同。如果您在政策中保留先前命名的 `connect:GetFederationTokens` 動作，它們將繼續如期運作。 | 2024 年 6 月 15 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 已新增 Amazon Cognito 使用者集區和 Amazon Connect Customer Profiles 動作 | 已新增下列 Amazon Cognito 使用者集區動作至服務連結角色政策，以允許對具 `AmazonConnectEnabled` 資源標籤的 Cognito 使用者集區資源進行選取讀取操作。呼叫 `CreateIntegrationAssociations` API 時，此標籤會放在資源上： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 已新增下列 Amazon Connect Customer Profiles 動作至服務連結角色政策，以允許權限，將資料放入 Customer Profiles 的 Connect 相鄰服務： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 5 月 23 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作 | 允許在 Connect AI 代理器知識庫上具有資源標籤的 Connect AI 代理器資源`'AmazonConnectEnabled':'True'`上執行下列動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2024 年 5 月 20 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Pinpoint 的動作 | 將下列動作新增至服務連結角色政策，以使用 Amazon Pinpoint 電話號碼 Amazon Connect 允許 傳送簡訊： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 11 月 17 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作 | 允許在 Connect AI 代理器知識庫上具有資源標籤的 Connect AI 代理器資源`'AmazonConnectEnabled':'True'`上執行下列動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 11 月 15 日 |
| [AmazonConnectCampaignsServiceLinkedRolePolicy](connect-slr-outbound.md#slr-permissions-outbound) – 新增 的動作 Amazon Connect | Amazon Connect 新增了擷取對外行銷活動的新動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 11 月 8 日 |
| [AmazonConnectSynchronizationServiceRolePolicy](#amazonconnectsynchronizationservicerolepolicy) – 新增了新的 AWS 受管政策 | 新增新的服務連結角色受管政策，以管理同步處理。 此政策提供讀取、建立、更新和刪除 Amazon Connect 資源的存取權，並用於跨 AWS 區域自動同步 AWS 資源。 | 2023 年 11 月 3 日 |
| [AmazonConnectServiceLinkedRolePolicy](#amazonconnectservicelinkedrolepolicy) – 新增 Customer Profiles 動作 | 新增下列動作來管理 Amazon Connect Customer Profiles Service Linked Roles： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 10 月 30 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作 | 允許在 Connect AI 代理器知識庫上具有資源標籤的 Connect AI 代理器資源`'AmazonConnectEnabled':'True'`上執行下列動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 10 月 25 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Customer Profiles 動作 | 新增下列動作來管理 Amazon Connect Customer Profiles Service Linked Roles： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 10 月 6 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Connect AI 代理器的動作 | 允許在 Connect AI 代理程式知識庫和助理上具有資源標籤的 Connect AI 代理程式資源`'AmazonConnectEnabled':'True'`上執行下列動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 允許對所有 Connect AI 代理器資源執行下列`List`動作： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 9 月 29 日 |
| [CustomerProfilesServiceLinkedRolePolicy](#customerprofilesservicelinkedrolepolicy) – 新增 CustomerProfilesServiceLinkedRolePolicy | 新的受管政策。 | 2023 年 3 月 7 日 |
| [AmazonConnect\$1FullAccess](#AmazonConnect_FullAccess-policy) – 新增管理 Amazon Connect Customer Profiles 服務連結角色的許可 | 已新增下列動作以管理 Amazon Connect Customer Profiles 服務連結角色。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2023 年 1 月 26 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon CloudWatch 動作 | 已新增下列動作，將執行個體的使用量 Amazon Connect 指標發佈到您的帳戶。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2022 年 2 月 22 日 |
| [AmazonConnect\$1FullAccess](#AmazonConnect_FullAccess-policy) – 新增用於管理 Amazon Connect Customer Profiles 網域的許可 | 已新增管理針對新 Amazon Connect 執行個體建立之 Amazon Connect Customer Profiles 網域的所有許可。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 允許對使用 `amazon-connect-` 前綴名稱的網域執行下列許可： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2021 年 11 月 12 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Connect Customer Profiles 動作 | 已新增下列動作，讓 Amazon Connect 流程和客服人員體驗可以與預設 Customer Profiles 網域中的設定檔互動： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 已新增下列動作，讓 Amazon Connect 流程和客服人員體驗可以與預設 Customer Profiles 網域中的設定檔物件互動： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) 已新增下列動作，讓 Amazon Connect 流程和客服人員體驗可以判斷是否已為 Amazon Connect 執行個體啟用客戶設定檔： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2021 年 11 月 12 日 |
| [AmazonConnectVoiceIDFullAccess](#amazonconnectvoiceidfullaccesspolicy) – 新增新的 AWS 受管政策 | 新增了新的 AWS 受管政策，讓您可以設定使用者使用 Amazon Connect Voice ID。 此政策提供透過 AWS 主控台、SDK 或其他方式對 Amazon Connect Voice ID 的完整存取權。 | 2021 年 9 月 27 日 |
| [AmazonConnectCampaignsServiceLinkedRolePolicy](connect-slr-outbound.md#slr-permissions-outbound) – 新增新的服務連結角色政策 | 為對外行銷活動新增新的服務連結角色政策。 該政策提供擷取所有對外行銷活動的存取權限。 | 2021 年 9 月 27 日 |
| [AmazonConnectServiceLinkedRolePolicy](connect-slr.md) – 新增 Amazon Lex 的動作 | 針對在所有區域的帳戶中建立的所有機器人新增以下動作。這些動作已新增以支援與 Amazon Lex 的整合。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2021 年 6 月 15 日 |
| [AmazonConnect\$1FullAccess](security-iam-amazon-connect-permissions.md) – 新增 Amazon Lex 的動作 | 針對在所有區域的帳戶中建立的所有機器人新增以下動作。這些動作已新增以支援與 Amazon Lex 的整合。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/security_iam_awsmanpol.html) | 2021 年 6 月 15 日 |
| Amazon Connect 開始追蹤變更 | Amazon Connect 開始追蹤其 AWS 受管政策的變更。 | 2021 年 6 月 15 日 |
# Amazon Connect 身分和存取疑難排解
請使用以下資訊來協助您診斷和修正使用 Amazon Connect 和 IAM 時可能發生的常見問題。
**Topics**
+ [
## 我未獲得執行 iam:PassRole 的授權
](#security_iam_troubleshoot-passrole)
+ [
## 我想要允許 AWS 帳戶外的人員存取我的 Amazon Connect 資源
](#security_iam_troubleshoot-cross-account-access)
## 我未獲得執行 iam:PassRole 的授權
如果您收到錯誤，告知您無權執行 `iam:PassRole` 動作，則必須更新您的政策，您才能將角色傳遞至 Amazon Connect。
有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。
當名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 Amazon Connect 中執行動作時，就會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
## 我想要允許 AWS 帳戶外的人員存取我的 Amazon Connect 資源
您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。
如需進一步了解，請參閱以下內容：
+ 若要了解 Amazon Connect 是否支援這些功能，請參閱 [Amazon Connect 如何與 IAM 搭配運作](security_iam_service-with-iam.md)。
+ 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 中提供存取權給](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) *IAM* 使用者。
+ 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。
+ 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。
+ 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
# 使用 Amazon Connect 的服務連結角色和角色權限
## 什麼是服務連結角色 (SLR)？它們為什麼很重要？
Amazon Connect 使用 AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Amazon Connect 執行個體的一種特殊 IAM 角色類型。
服務連結角色由 Amazon Connect 預先定義，並包含 Amazon Connect 代表您呼叫其他 AWS 服務所需的[所有許可](#slr-permissions)。
您需要啟用服務連結角色，才能在 Amazon Connect 中使用新功能，例如標記支援、**使用者管理** 和 **轉接設定檔** 中的新使用者介面，以及使用 CloudTrail 支援的佇列。
如需關於支援服務連結角色的其他服務資訊，請參閱[《可搭配 IAM 運作的AWS 服務》](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，尋找 **Service-Linked Role** (服務連結角色) 欄中顯示為 **Yes** (是) 的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## Amazon Connect 的服務連結角色許可
Amazon Connect 使用具有字首 **AWSServiceRoleForAmazonConnect**\$1*unique-id* 的服務連結角色 – 授予 Amazon Connect 代表您存取 AWS 資源的許可。
AWSServiceRoleForAmazonConnect 前綴的服務連結角色信任下列服務擔任該角色：
+ `connect.amazonaws.com`
[AmazonConnectServiceLinkedRolePolicy](https://docs.aws.amazon.com/connect/latest/adminguide/security_iam_awsmanpol.html#amazonconnectservicelinkedrolepolicy) 的角色政策允許 Amazon Connect 對指定資源完成下列動作。
+ 動作：所有 Amazon Connect 資源上的所有 Amazon Connect 操作，`connect:*`。
+ 動作：IAM `iam:DeleteRole` 以允許刪除服務連結角色。
+ 動作：Amazon S3 `s3:GetObject`、`s3:DeleteObject`、`s3:GetBucketLocation` 和 `GetBucketAcl` 適用於針對錄音對話指定的 S3 儲存貯體。
這也會授予 `s3:PutObject`、`s3:PutObjectAcl` 和 `s3:GetObjectAcl` 給針對已匯出報告指定的儲存貯體。
+ 動作：Amazon CloudWatch Logs `logs:CreateLogStream`、`logs:DescribeLogStreams` 和 `logs:PutLogEvents` 以及針對流程記錄指定的 CloudWatch Logs 群組。
+ 動作：Amazon Lex `lex:ListBots`，`lex:ListBotAliases` 適用於在所有區域的帳戶中建立的所有機器人。
+ 動作：Amazon Connect Customer Profiles
+ `profile:SearchProfiles`
+ `profile:CreateProfile`
+ `profile:UpdateProfile`
+ `profile:AddProfileKey`
+ `profile:ListProfileObjects`
+ `profile:ListAccountIntegrations`
+ `profile:ListProfileObjectTypeTemplates`
+ `profile:GetProfileObjectTypeTemplate`
+ `profile:ListProfileObjectTypes`
+ `profile:GetProfileObjectType`
+ `profile:ListCalculatedAttributeDefinitions`
+ `profile:GetCalculatedAttributeForProfile`
+ `profile:ListCalculatedAttributesForProfile`
+ `profile:GetDomain`
+ `profile:ListIntegrations`
+ `profile:GetIntegration`
+ `profile:PutIntegration`
+ `profile:DeleteIntegration`
+ `profile:CreateEventTrigger`
+ `profile:GetEventTrigger`
+ `profile:ListEventTriggers`
+ `profile:UpdateEventTrigger`
+ `profile:DeleteEventTrigger`
+ `profile:CreateCalculatedAttributeDefinition`
+ `profile:DeleteCalculatedAttributeDefinition`
+ `profile:GetCalculatedAttributeDefinition`
+ `profile:UpdateCalculatedAttributeDefinition`
+ `profile:PutProfileObject`
+ `profile:ListObjectTypeAttributes`
+ `profile:ListProfileAttributeValues`
+ `profile:BatchGetProfile`
+ `profile:BatchGetCalculatedAttributeForProfile`
+ `profile:ListSegmentDefinitions`
+ `profile:CreateSegmentDefinition`
+ `profile:GetSegmentDefinition`
+ `profile:DeleteSegmentDefinition`
+ `profile:CreateSegmentEstimate`
+ `profile:GetSegmentEstimate`
+ `profile:CreateSegmentSnapshot`
+ `profile:GetSegmentSnapshot`
+ `profile:GetSegmentMembership`
+ `profile:CreateDomainLayout`
+ `profile:UpdateDomainLayout`
+ `profile:DeleteDomainLayout`
+ `profile:GetDomainLayout`
+ `profile:ListDomainLayouts`
+ `profile:GetSimilarProfiles`
+ `profile:GetUploadJob`
+ `profile:GetUploadJobPath`
+ `profile:StartUploadJob`
+ `profile:StopUploadJob`
+ `profile:CreateUploadJob`
+ `profile:ListUploadJobs`
+ `profile:DetectProfileObjectType`
將您的預設 Customer Profiles 網域 (包括設定檔和網域中的所有物件類型) 與 Amazon Connect 流程和客服人員體驗應用程式搭配使用。
**注意**
每個 Amazon Connect 執行個體一次只能與一個網域建立關聯。不過，您可以將任何網域連結至 Amazon Connect 執行個體。相同 AWS 帳戶和區域內的跨網域存取，會自動為開頭為字首 `amazon-connect-` 的所有網域啟用。若要限制跨網域存取，您可以使用個別 Amazon Connect 執行個體，以邏輯方式分割資料，或在開頭不是 `amazon-connect-` 字首的相同執行個體中使用 Customer Profiles 網域名稱，進而防止跨網域存取。
+ 動作：連接 AI 代理器
+ `wisdom:CreateContent`
+ `wisdom:DeleteContent`
+ `wisdom:CreateKnowledgeBase`
+ `wisdom:GetAssistant`
+ `wisdom:GetKnowledgeBase`
+ `wisdom:GetContent`
+ `wisdom:GetRecommendations`
+ `wisdom:GetSession`
+ `wisdom:NotifyRecommendationsReceived`
+ `wisdom:QueryAssistant`
+ `wisdom:StartContentUpload`
+ `wisdom:UntagResource`
+ `wisdom:TagResource`
+ `wisdom:CreateSession`
+ `wisdom:CreateQuickResponse`
+ `wisdom:GetQuickResponse`
+ `wisdom:SearchQuickResponses`
+ `wisdom:StartImportJob`
+ `wisdom:GetImportJob`
+ `wisdom:ListImportJobs`
+ `wisdom:ListQuickResponses`
+ `wisdom:UpdateQuickResponse`
+ `wisdom:DeleteQuickResponse`
+ `wisdom:PutFeedback`
+ `wisdom:ListContentAssociations`
+ `wisdom:CreateMessageTemplate`
+ `wisdom:UpdateMessageTemplate`
+ `wisdom:UpdateMessageTemplateMetadata`
+ `wisdom:GetMessageTemplate`
+ `wisdom:DeleteMessageTemplate`
+ `wisdom:ListMessageTemplates`
+ `wisdom:SearchMessageTemplates`
+ `wisdom:ActivateMessageTemplate`
+ `wisdom:DeactivateMessageTemplate`
+ `wisdom:CreateMessageTemplateVersion`
+ `wisdom:ListMessageTemplateVersions`
+ `wisdom:CreateMessageTemplateAttachment`
+ `wisdom:DeleteMessageTemplateAttachment`
+ `wisdom:RenderMessageTemplate`
+ `wisdom:CreateAIAgent`
+ `wisdom:CreateAIAgentVersion`
+ `wisdom:DeleteAIAgent`
+ `wisdom:DeleteAIAgentVersion`
+ `wisdom:UpdateAIAgent`
+ `wisdom:UpdateAssistantAIAgent`
+ `wisdom:RemoveAssistantAIAgent`
+ `wisdom:GetAIAgent`
+ `wisdom:ListAIAgents`
+ `wisdom:ListAIAgentVersions`
+ `wisdom:CreateAIPrompt`
+ `wisdom:CreateAIPromptVersion`
+ `wisdom:DeleteAIPrompt`
+ `wisdom:DeleteAIPromptVersion`
+ `wisdom:UpdateAIPrompt`
+ `wisdom:GetAIPrompt`
+ `wisdom:ListAIPrompts`
+ `wisdom:ListAIPromptVersions`
+ `wisdom:CreateAIGuardrail`
+ `wisdom:CreateAIGuardrailVersion`
+ `wisdom:DeleteAIGuardrail`
+ `wisdom:DeleteAIGuardrailVersion`
+ `wisdom:UpdateAIGuardrail`
+ `wisdom:GetAIGuardrail`
+ `wisdom:ListAIGuardrails`
+ `wisdom:ListAIGuardrailVersions`
+ `wisdom:CreateAssistant`
+ `wisdom:ListTagsForResource`
+ `wisdom:SendMessage`
+ `wisdom:GetNextMessage`
+ `wisdom:ListMessages`
+ `wisdom:Retrieve`
+ `wisdom:ListAssistantAssociations`
在與您的 Amazon Connect 執行個體相關聯的所有 Amazon Connect AI 代理器資源`'AmazonConnectEnabled':'True'`上使用資源標籤。
+ `wisdom:ListAssistants`
+ `wisdom:KnowledgeBases`
在所有 Connect AI 代理器資源上。
+ 動作：Amazon CloudWatch 指標 `cloudwatch:PutMetricData` 用於將執行個體的 Amazon Connect 用量指標發布至您的帳戶。
+ 行動：Amazon Pinpoint 簡訊和語音 `sms-voice:DescribePhoneNumbers` 和 `sms-voice:SendTextMessage`，以允許 Amazon Connect 傳送 SMS 訊息。
+ 動作：Amazon Pinpoint `mobiletargeting:SendMessages`，以允許 Amazon Connect 傳送推播通知。
+ 動作：Amazon Cognito 使用者集區 `cognito-idp:DescribeUserPool` 和 `cognito-idp:ListUserPoolClients`，以允許 Amazon Connect 在具 `AmazonConnectEnabled` 資源標籤的 Amazon Cognito 使用者集區資源上進行選取讀取操作。
+ 動作：Amazon Chime SDK Voice Connector `chime:GetVoiceConnector`，以允許在所有具 `'AmazonConnectEnabled':'True'` 資源標籤的 Amazon Chime SDK Voice Connector 資源上讀取 Amazon Connect。
+ 動作：Amazon Chime SDK Voice Connector `chime:ListVoiceConnectors`，適用於所有區域中，在帳戶中建立的所有 Amazon Chime SDK Voice Connector。
+ 動作：Amazon Connect Messaging WhatsApp 整合。將 Amazon Connect 許可授予下列 AWS 最終使用者傳訊社交 APIs：
+ `social-messaging:SendWhatsAppMessage`
+ `social-messaging:PostWhatsAppMessageMedia`
+ `social-messaging:GetWhatsAppMessageMedia`
+ `social-messaging:GetLinkedWhatsAppBusinessAccountPhoneNumber`
社交 API 僅適用於為 Amazon Connect 啟用的電話號碼資源。電話號碼匯入 Amazon Connect 執行個體時，會加上 `AmazonConnectEnabled : True` 標籤。
+ 動作：Amazon Connect Messaging WhatsApp 訊息範本整合。准許 Amazon Connect 呼叫 AWS 終端用戶訊息社交服務 APIs。可能會列出 AWS 帳戶的 WhatsApp 商業帳戶。此外，只要 WhatsApp 商業帳戶已標記 `AmazonConnectEnabled: True`，即可能列出 WhatsApp 商業帳戶的範本，並擷取範本的詳細資訊。
+ `social-messaging:ListLinkedWhatsAppBusinessAccounts`
+ `social-messaging:GetWhatsAppMessageTemplate`
+ `social-messaging:ListWhatsAppMessageTemplates`
+ 動作：Amazon SES
+ `ses:DescribeReceiptRule`
+ `ses:UpdateReceiptRule`
所有 Amazon SES 接收規則。用於傳送和接收電子郵件。
+ `ses:DeleteEmailIdentity` for \$1*instance-alias*\$1.email.connect.aws SES 網域身分。用於 Amazon Connect 提供的電子郵件網域管理。
+ `ses:SendRawEmail` 用於使用 Amazon Connect 提供的 SES 組態設定，來傳送電子郵件 (configuration-set-for-connect-DO-NOT-DELETE)。
+ `iam:PassRole` 用於 Amazon SES 使用的 `AmazonConnectEmailSESAccessRole` 服務角色。針對 Amazon SES 接收規則管理，Amazon SES 需要傳遞其擔任的角色。
+ 動作：Amazon Polly
+ `polly:ListLexicons`
+ `polly:DescribeVoices`
+ `polly:SynthesizeSpeech`
當您啟用 Amazon Connect 中的其他功能時，會新增以下的權限，來讓服務連結角色透過使用行內政策，存取與下列功能相關的資源：
+ 動作：Amazon Data Firehose `firehose:DescribeDeliveryStream`、`firehose:PutRecord` 和 `firehose:PutRecordBatch`，適用於客服人員事件串流和聯絡人記錄定義的交付串流。
+ 動作：Amazon Kinesis Data Streams `kinesis:PutRecord`、`kinesis:PutRecords` 以及 `kinesis:DescribeStream` 針對客服人員事件串流和聯絡記錄指定的串流。
+ 動作：Amazon Lex `lex:PostContent` 適用於加入您執行個體的機器人。
+ 動作：與您的執行個體關聯的 Voice ID 網域的 Amazon Connect Voice ID `voiceid:*`。
+ 動作：EventBridge `events:PutRule` 和 `events:PutTargets` 為 Amazon Connect 受管的 EventBridge 規則發佈 CTR 記錄關聯的 Voice ID 網域。
+ 動作：對外行銷活動
+ `connect-campaigns:CreateCampaign`
+ `connect-campaigns:DeleteCampaign`
+ `connect-campaigns:DescribeCampaign`
+ `connect-campaigns:UpdateCampaignName`
+ `connect-campaigns:GetCampaignState`
+ `connect-campaigns:GetCampaignStateBatch`
+ `connect-campaigns:ListCampaigns`
+ `connect-campaigns:UpdateOutboundCallConfig`
+ `connect-campaigns:UpdateDialerConfig`
+ `connect-campaigns:PauseCampaign`
+ `connect-campaigns:ResumeCampaign`
+ `connect-campaigns:StopCampaign`
對於與對外行銷活動相關的所有操作。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 建立 Amazon Connect 的服務連結角色
您不需要手動建立服務連結角色，當您在 Amazon Connect 中建立新的執行個體時 AWS 管理主控台，Amazon Connect 會為您建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您在 Amazon Connect 中建立資料庫執行個體叢集時，Amazon Connect 會再次為您建立服務連結角色。
您也可以使用 IAM 主控台，透過 **Amazon Connect – 完整存取** 使用案例建立服務連結角色。在 IAM CLI 或 IAM API 中，建立一個使用 `connect.amazonaws.com` 服務名稱的服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的「[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)」。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。
## 對於 2018 年 10 月之前建立的執行個體
**提示**
無法登入以管理 AWS 您的帳戶？ 您不知道誰負責管理您的 AWS 帳戶嗎？ 如需協助，請參閱[針對 AWS 帳戶登入問題進行疑難排解](https://docs.aws.amazon.com/signin/latest/userguide/troubleshooting-sign-in-issues.html)。
如果您的 Amazon Connect 執行個體是在 2018 年 10 月之前建立的，則您沒有設定服務連結角色。若要建立服務連結角色，請在 **帳戶概觀** 頁面上，選擇 **建立服務連結角色**，如下圖所示。
![\[帳戶概觀頁面，建立服務連結角色按鈕。\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/images/slr-create-slr.png)
如需建立服務連結角色所需的 IAM 許可清單，請參閱 [使用自訂 IAM 政策管理 Amazon Connect 主控台存取權的必要許可](security-iam-amazon-connect-permissions.md) 主題中的 [概觀頁面](security-iam-amazon-connect-permissions.md#overview-page)。
## 對於在 2025 年 1 月 31 日之前建立，並使用客戶 KMS 金鑰設定來加密資料的 Customer Profile 網域，您需要將額外 KMS 權限授予您的 Amazon Connect 執行個體。
如果您的關聯 Customer Profile 網域是在 2025 年 1 月 31 日之前建立，且該網域使用客戶受管 KMS 金鑰 (CMK) 進行加密，若要啟用 Connect 執行個體的 CMK 強制執行，請採取下列動作：
1. 提供 Amazon Connect 執行個體的服務連結角色 (SLR) 許可，以使用客戶設定檔網域的 AWS KMS 金鑰，方法是導覽至 Amazon Connect AWS 管理主控台中的客戶設定檔頁面，然後選擇**更新 KMS 許可**。
![\[選擇更新 KMS 權限按鈕，為您 Amazon Connect 執行個體的服務連結角色授予 KMS 權限。\]](http://docs.aws.amazon.com/zh_tw/connect/latest/adminguide/images/kms-permissions-slr-1.png)
1. 與 Amazon Connect Customer Profiles 團隊建立[支援票證](https://support.console.aws.amazon.com/support)，為您的帳戶請求 CMK 權限強制執行。
如需更新 Amazon Connect 執行個體的 IAM 許可清單，請參閱 自訂 IAM 政策所需的許可[客戶設定檔頁面](security-iam-amazon-connect-permissions.md#customer-profiles-page)。
## 編輯 Amazon Connect 的服務連結角色
Amazon Connect 不允許您編輯 AWSServiceRoleForAmazonConnect 前綴的服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 檢查服務連結角色是否具有 Amazon Lex 的許可
1. 在 IAM 主控台的導覽面板上，選擇 **角色**。
1. 選擇要修改之角色的名稱。
## 刪除 Amazon Connect 的服務連結角色
您不需要手動刪除 AWSServiceRoleForAmazonConnect 前綴的角色。當您在 中刪除 Amazon Connect 執行個體時 AWS 管理主控台，Amazon Connect 會為您清除資源並刪除服務連結角色。
## Amazon Connect 服務連結角色的支援區域
Amazon Connect 在所有提供服務的區域中支援使用服務連結的角色。如需詳細資訊，請參閱 [AWS 區域與端點](https://docs.aws.amazon.com/general/latest/gr/rande.html#connect_region)。
# 在 Amazon Connect 中，使用對外行銷活動的服務連結角色
Amazon Connect 對外行銷活動使用 AWS Identity and Access Management 服務連結角色。當 Amazon Connect 執行個體能夠使用對外行銷活動時，它會建立唯一的服務連結角色，讓它能夠在 Amazon Connect 執行個體上執行動作。
服務連結角色可讓設定對外行銷活動更為簡單，因為您不必手動新增必要的許可。對外行銷活動定義其服務連結角色的許可，除非另有定義，否則僅有對外行銷活動可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
如需關於支援服務連結角色的其他服務資訊，請參閱《IAM 使用者指南》**中的[《可搭配 IAM 運作的AWS 服務》](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。尋找**服務連結角色**欄中顯示 **Yes** (是) 的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## 對外行銷活動的服務連結角色許可
傳出行銷活動使用字首為 的服務連結角色 `AWSServiceRoleForConnectCampaigns`- 授予傳出行銷活動代表您存取 AWS 資源的許可。
`AWSServiceRoleForConnectCampaigns` 服務連結角色信任下列服務以擔任角色：
+ `connect-campaigns.amazonaws.com`
[AmazonConnectCampaignsServiceLinkedRolePolicy](security_iam_awsmanpol.md#amazonconnectcampaignsservicelinkedrolepolicy) 的角色許可政策允許對外行銷活動在指定的資源上完成下列動作：將額外許可新增至服務連結角色，以存取資源：
+ 動作： AWS 帳戶的 `connect-campaigns:ListCampaigns` 對外行銷活動。
+ 動作：Amazon Connect
+ `connect:BatchPutContact`
+ `connect:StopContact`
用於所有 Amazon Connect 執行個體。
+ 動作：Amazon Connect
+ `connect:StartOutboundVoiceContact`
+ `connect:GetMetricData`
+ `connect:GetCurrentMetricData`
+ `connect:BatchPutContact`
+ `connect:StopContact`
+ `connect:GetMetricDataV2`
+ `connect:DescribeContactFlow`
+ `connect:SendOutboundEmail`
用於特定 Amazon Connect 執行個體。
+ 動作：EventBridge：
+ `events:ListRules`
適用於所有事件。
+ 動作：EventBridge：
+ `events:DeleteRule`
+ `events:PutRule`
+ `events:PutTargets`
+ `events:RemoveTargets`
+ `events:ListTargetsByRule`
適用於由 **connect-campaigns.amazonaws.com** 管理的 `ConnectCampaignsRule*` 規則。
+ 動作：連接 AI 代理器 訊息範本：
+ `wisdom:GetMessageTemplate`
+ `wisdom:RenderMessageTemplate`
在所有標記為 `aws:ResourceTag/AmazonConnectCampaignsEnabled` 的資源上。
Amazon Connect Customer Profiles 的權限會新增至 ezCRC 範本：`ConnectCampaignsCustomerProfilesIntegrationAccess`。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 建立對外行銷活動的服務連結角色
您不需要手動建立服務連結角色，當您透過調用 `StartInstanceOnboardingJob` API 將 Amazon Connect 執行個體與對外行銷活動建立關聯時，對外行銷活動會為您建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您將新的 Amazon Connect 執行個體與對外行銷活動建立關聯時，Amazon Connect 會再次為您建立服務連結角色。
## 編輯對外行銷活動的服務連結角色
對外行銷活動不允許您編輯 `AWSServiceRoleForConnectCampaigns` 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除對外行銷活動的服務連結角色
如果您不再需要使用對外行銷活動，我們建議您刪除關聯的服務連結角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。
**若要使用 `AWSServiceRoleForConnectCampaigns` 刪除對外行銷活動資源**
+ 刪除 AWS 帳戶的所有行銷活動設定。
**使用 IAM 手動刪除服務連結角色**
+ 使用 IAM 主控台、CLI AWS 或 AWS API 來刪除`AWSServiceRoleForConnectCampaigns`服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## 對外行銷活動服務連結角色的支援區域
對外行銷活動支援在所有提供服務的區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS 區域與端點](https://docs.aws.amazon.com/general/latest/gr/rande.html#connect_region)。
# 針對 Application AppIntegrations 使用服務連結角色
Amazon AppIntegrations 使用 AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Amazon AppIntegrations 的一種特殊 IAM 角色類型。服務連結角色是由 Amazon AppIntegrations 預先定義，並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓設定 Amazon AppIntegrations 更為簡單，因為您不必手動新增必要的許可。Amazon AppIntegrations 定義其服務連結角色的許可，除非另有定義，否則僅有 Amazon AppIntegrations 可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
您必須先刪除服務連結角色的相關資源，才能將其刪除。如此可保護您的 Amazon AppIntegrations 資源，避免您不小心移除資源的存取許可。
如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 服務與 IAM 搭配使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)的服務，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## Amazon AppIntegrations 的服務連結角色許可
Amazon AppIntegrations 使用名為 **AWSServiceRoleForAppIntegrations** 的服務連結角色，其可讓 AppIntegrations 代表您存取 AWS 服務。
AWSServiceRoleForAppIntegrations 服務連結角色會信任下列服務來擔任此角色：
+ `app-integrations.amazonaws.com`
名為 AppIntegrationsServiceLinkedRolePolicy 的服務連結角色許可政策允許 Amazon AppIntegrations 對指定的資源完成下列動作：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudwatch:PutMetricData"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "AWS/AppIntegrations"
}
}
},
{
"Effect": "Allow",
"Action": [
"appflow:DescribeConnectorEntity",
"appflow:ListConnectorEntities"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"appflow:DescribeConnectorProfiles",
"appflow:UseConnectorProfile"
],
"Resource": "arn:aws:appflow:*:*:connector-profile/*"
},
{
"Effect": "Allow",
"Action": [
"appflow:DeleteFlow",
"appflow:DescribeFlow",
"appflow:DescribeFlowExecutionRecords",
"appflow:StartFlow",
"appflow:StopFlow",
"appflow:UpdateFlow"
],
"Condition": {
"StringEquals": {
"aws:ResourceTag/AppIntegrationsManaged": "true"
}
},
"Resource": "arn:aws:appflow:*:*:flow/FlowCreatedByAppIntegrations-*"
},
{
"Effect": "Allow",
"Action": [
"appflow:TagResource"
],
"Condition": {
"ForAllValues:StringEquals": {
"aws:TagKeys": [
"AppIntegrationsManaged"
]
}
},
"Resource": "arn:aws:appflow:*:*:flow/FlowCreatedByAppIntegrations-*"
}
]
}
```
------
+ 動作：`cloudwatch:PutMetricData` 在 `"*"` 使用 `StringEquals` 條件 `"cloudwatch:namespace": "AWS/AppIntegrations"`。
+ 動作：`appflow:DescribeConnectorEntity` 和 `"*"` 的 `appflow:ListConnectorEntities`。
+ 動作：`appflow:DescribeConnectorProfiles` 和 ` arn:aws:appflow:*:*:connector-profile/*` 的 `appflow:UseConnectorProfile`
+ 動作：`appflow:DeleteFlow`、`appflow:DescribeFlow`、`appflow:DescribeFlowExecutionRecords`、`appflow:StartFlow`、`appflow:StopFlow` 和 `appflow:UpdateFlow` 在 ` arn:aws:appflow:*:*:flow/FlowCreatedByAppIntegrations-*` 使用 `StringEquals` 條件 `"aws:ResourceTag/AppIntegrationsManaged": "true"`。
+ 動作：`appflow:TagResource` 在 `arn:aws:appflow:*:*:flow/FlowCreatedByAppIntegrations-*` 使用 `ForAllValues:StringEquals aws:TagKeys` 條件 `AppIntegrationsManaged`。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 建立 Amazon AppIntegrations 的服務連結角色
您不需要手動建立服務連結角色，當您使用 、 或 AWS API 中的 Connect AI 代理器、客戶設定檔或任務小工具建立資料 Amazon Connect AWS 管理主控台 AWS CLI或事件整合時，Amazon AppIntegrations 會為您建立服務連結角色。
**重要**
此服務連結角色可以顯示在您的帳戶，如果您於其他服務中完成一項動作時，可以使用支援此角色的功能。此外，2022 年 9 月 30 日開始支援服務連結角色，如果您在這之後建立任何新的 Amazon AppIntegrations 資源，則 Amazon AppIntegrations 會在您的帳戶中建立 AWSServiceRoleForAppIntegrations 角色。若要進一步了解，請參閱[我的 IAM 帳戶中出現的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您使用 Amazon Connect 中的 Connect AI 代理器、客戶設定檔或任務小工具建立資料或事件整合時，Amazon AppIntegrations 會再次為您建立服務連結角色。
您也可以使用 IAM 主控台透過 **AppIntegrations** 使用案例以建立一個服務連結角色。在 AWS CLI 或 AWS API 中，使用服務名稱建立`app-integrations.amazonaws.com`服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的「[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)」。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。
## 編輯 Amazon AppIntegrations 的服務連結角色
Amazon AppIntegrations 不允許您編輯 AWSServiceRoleForAppIntegrations 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除 Amazon AppIntegrations 的服務連結角色
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。您必須先在 AWS 主控台中刪除您的資料和事件整合關聯，然後使用 刪除您的資料和事件整合 AWS CLI。
**注意**
若 Amazon AppIntegrations 服務在您試圖刪除資源時正在使用該角色，刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
**刪除 AWS 主控台中 AWSServiceRoleForAppIntegrations 使用的資料整合關聯**
1. 前往 Amazon Connect 主控台的 Connect AI 代理程式區段，然後選擇您要刪除的資料整合關聯名稱。
1. 選擇 **整合詳細資料** 區段右側的 **刪除**。
1. 在彈出方塊中，輸入整合的名稱以確認，然後選擇**刪除**。
**使用 刪除 AWSServiceRoleForAppIntegrations 使用的資料整合 AWS CLI**
1. 列出您的資料整合，以檢視現有整合的名稱。
`aws appintegrations list-data-integrations`
1. 使用資料整合名稱刪除每個整合。
`aws appintegrations delete-data-integration --data-integration-identifier DATA_INTEGRATION_NAME`
**刪除 AWS 主控台中 AWSServiceRoleForAppIntegrations 使用的事件整合關聯**
1. 前往 Amazon Connect 主控台的 Customer Profiles 或 Tasks 部分，然後選擇要刪除的事件整合關聯名稱。
1. 在 Tasks 部分中選擇事件整合後，將出現一個彈出窗口。選擇 **移除連線** 按鈕，然後輸入 *remove* 一詞，即可刪除您的事件整合關聯。
**使用 刪除 AWSServiceRoleForAppIntegrations 所使用的事件整合 AWS CLI**
1. 列出您的事件整合，以檢視現有整合的名稱。
`aws appintegrations list-event-integrations`
1. 使用資料整合名稱刪除每個整合。
`aws appintegrations delete-event-integration --name EVENT_INTEGRATION_NAME`
**使用 IAM 手動刪除服務連結角色**
使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AWSServiceRoleForAppIntegrations 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon AppIntegrations 服務連結角色的支援區域
Amazon AppIntegrations 在所有提供服務的區域中支援使用服務連結角色。如需詳細資訊，請參閱 [AWS 區域與端點](https://docs.aws.amazon.com/general/latest/gr/rande.html)。
您可以在下列區域使用 AWSServiceRoleForAppIntegrations 角色。
****
| 區域名稱 | 區域身分 | Amazon AppIntegrations 支援 |
| --- | --- | --- |
| 美國東部 (維吉尼亞北部) | us-east-1 | 是 |
| 美國西部 (奧勒岡) | us-west-2 | 是 |
| 亞太區域 (孟買) | ap-south-1 | 是 |
| 亞太區域 (首爾) | ap-northeast-2 | 是 |
| 亞太區域 (新加坡) | ap-southeast-1 | 是 |
| 亞太區域 (雪梨) | ap-southeast-2 | 是 |
| 亞太區域 (東京) | ap-northeast-1 | 是 |
| 加拿大 (中部) | ca-central-1 | 是 |
| 歐洲 (法蘭克福) | eu-central-1 | 是 |
| 歐洲 (倫敦) | eu-west-2 | 是 |
| Africa (Cape Town) | af-south-1 | 是 |
# 使用 Amazon Connect Customer Profiles 的服務連結角色
Amazon Connect Customer Profiles 使用 AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Customer Profiles 的一種特殊 IAM 角色類型。服務連結角色由客戶設定檔預先定義，並包含服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓設定 Amazon Connect Customer Profiles 更為簡單，因為您不必手動新增必要的許可。Amazon Connect Customer Profiles 定義其服務連結角色的許可，除非另有定義，否則僅有 Amazon Connect Customer Profiles 可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## Amazon Connect Customer Profiles 的服務連結角色許可
Amazon Connect Customer Profiles 使用名為 **AWSServiceRoleForProfile\$1***唯一 ID* 的服務連結角色，可讓 Amazon Connect Customer Profiles 代表您存取 AWS 服務和資源。
**AWSServiceRoleForProfile** 前綴的服務連結角色信任下列服務擔任該角色：
+ `profile.amazonaws.com`
名為 [CustomerProfilesServiceLinkedRolePolicy](security_iam_awsmanpol.md#customerprofilesservicelinkedrolepolicy) 的角色許可政策允許 Amazon Connect Customer Profiles 對指定資源完成下列動作：
+ 動作：Amazon CloudWatch 指標 `cloudwatch:PutMetricData` 用於將執行個體的 Amazon Connect 用量指標發布至您的帳戶。
+ 動作：當關聯的 Amazon Connect Customer Profiles 網域刪除時，IAM `iam:DeleteRole` 刪除 **AWSServiceRoleForProfile** 前綴的服務連結角色本身。
+ 動作：Amazon Connect Outbound Campaigns `connect-campaigns:PutProfileOutboundRequestBatch`，以根據您的 Customer Profiles 事件觸發定義來觸發行銷活動。
+ 動作：Amazon Connect Customer Profiles `profile:BatchGetProfile` 可擷取觸發行銷活動所需的設定檔資訊。
+ 動作：Amazon Connect Customer Profiles `profile:GetRecommender` 可擷取觸發行銷活動所需的建議者。
+ 動作：Amazon Connect Customer Profiles `profile:GetCalculatedAttributeForProfile` 會擷取觸發行銷活動所需的計算屬性。
+ 動作：Amazon Connect Customer Profiles `profile:GetProfileRecommendations` 會擷取觸發行銷活動所需的設定檔建議。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 建立 Amazon Connect Customer Profiles 的服務連結角色
您不需要手動建立服務連結角色，當您在 AWS 管理主控台、 AWS CLI或 AWS API 中建立第一個 Amazon Connect Customer Profiles 網域時，Customer Profiles 會為您建立服務連結角色。請注意，每個 Amazon Connect Customer Profiles 網域都需要專用 SLR，Amazon Connect Customer Profiles 才能為您採取動作。
**重要**
此服務連結角色可以顯示在您的帳戶，如果您於其他服務中完成一項動作時，可以使用支援此角色的功能。此外，Amazon Connect Customer Profiles 自 2023 年 6 月 8 日開始支援服務連結角色，若您在這之前就有使用此服務，則 Amazon Connect Customer Profiles 會在帳戶中建立 **AWSServiceRoleForProfile** 前綴的角色。若要進一步了解，請參閱[我的 IAM 帳戶中出現的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您建立第一個 Amazon Connect Customer Profiles 網域時，Customer Profiles 會再次為您建立服務連結角色。
## 編輯 Amazon Connect Customer Profiles 的服務連結角色
Amazon Connect Customer Profiles 不允許您編輯 **AWSServiceRoleForProfile** 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除 Amazon Connect Customer Profiles 的服務連結角色
您不需要手動刪除 **AWSServiceRoleForProfile** 前綴的角色。當您在 AWS CLI、 或 AWS API AWS 管理主控台中刪除 Amazon Connect Customer Profiles 網域時，Customer Profiles 會為您清除資源並刪除服務連結角色。
您也可以使用 AWS CLI 或 AWS API 手動刪除服務連結角色。若要執行此操作，您必須先手動清除服務連結角色的資源，然後才能手動刪除它。
**注意**
若 Amazon Connect Customer Profiles 服務在您試圖刪除資源時正在使用該角色，刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
**若要刪除 AWSServiceRoleForProfile 前綴服務連結角色使用的 Amazon Connect Customer Profiles 資源：**
+ 在 AWS CLI、 或 AWS API 中刪除 Amazon Connect Customer Profiles AWS 管理主控台網域。
**使用 IAM 手動刪除服務連結角色**
使用 AWS CLI 或 AWS API 刪除 **AWSServiceRoleForProfile** 字首的服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon Connect Customer Profiles 服務連結角色的支援區域
Amazon Connect Customer Profiles 在所有提供服務的區域中支援使用服務連結的角色。如需詳細資訊，請參閱 [AWS 區域與端點](https://docs.aws.amazon.com/general/latest/gr/rande.html)。
****
| 區域名稱 | 區域身分 | Amazon Connect 支援 |
| --- | --- | --- |
| 美國東部 (維吉尼亞北部) | us-east-1 | 是 |
| 美國西部 (奧勒岡) | us-west-2 | 是 |
| 亞太區域 (首爾) | ap-northeast-2 | 是 |
| 亞太區域 (新加坡) | ap-southeast-1 | 是 |
| 亞太區域 (雪梨) | ap-southeast-2 | 是 |
| 亞太區域 (東京) | ap-northeast-1 | 是 |
| 加拿大 (中部) | ca-central-1 | 是 |
| 歐洲 (法蘭克福) | eu-central-1 | 是 |
| 歐洲 (倫敦) | eu-west-2 | 是 |
| Africa (Cape Town) | af-south-1 | 是 |
# 使用 Amazon Connect 受管同步的服務連結角色
Amazon Connect 受管同步使用 AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至受管同步的特殊 IAM 角色類型。服務連結角色由 Managed Synchronization 預先定義，並包含服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓設定受管同步更為簡單，因為您不必手動新增必要的許可。受管同步定義其服務連結角色的許可，除非另有定義，否則僅有受管同步可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
您必須先刪除服務連結角色的相關資源，才能將其刪除。如此可保護您受管同步的資源，避免您不小心移除資源的存取許可。
如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## 適用於受管同步的服務連結角色許可
受管同步使用前置詞為 **AWSServiceRoleForAmazonConnectSynchronization** 的服務連結角色，該角色授予 Amazon Connect 受管理同步讀取、寫入、更新和刪除權限，以代表您存取 AWS 資源。您帳戶中角色的完整名稱將包含前綴和唯一 ID，該 ID 與以下內容類似：
`AWSServiceRoleForAmazonConnectSynchronization_unique-id`
**AWSServiceRoleForAmazonConnectSynchronization** 前綴的服務連結角色信任下列服務擔任該角色：
+ `synchronization.connect.amazonaws.com`
名為 [AmazonConnectSynchronizationServiceRolePolicy](security_iam_awsmanpol.md#amazonconnectsynchronizationservicerolepolicy) 的角色許可政策允許受管同步對指定資源完成下列動作：
+ 行動：Amazon Connect 所有 Amazon Connect 資源
+ `connect:Create*`
+ `connect:Update*`
+ `connect:Delete*`
+ `connect:Describe*`
+ `connect:BatchCreate*`
+ `connect:BatchUpdate*`
+ `connect:BatchDelete*`
+ `connect:BatchDescribe*`
+ `connect:List*`
+ `connect:Search*`
+ `connect:Associate*`
+ `connect:Disassociate*`
+ `connect:Get*`
+ `connect:BatchGet*`
+ `connect:Import*`
+ `connect:TagResource`
+ `connect:UntagResource`
+ 動作：Amazon CloudWatch 指標 `cloudwatch:PutMetricData` 用於將執行個體的 Amazon Connect 用量指標發布至您的帳戶。
名為 [AmazonConnectSynchronizationServiceRolePolicy](security_iam_awsmanpol.md#amazonconnectsynchronizationservicerolepolicy) 的角色許可政策不允許受管同步對指定資源完成下列動作：
+ 行動：Amazon Connect 所有 Amazon Connect 資源
+ `connect:Start*`
+ `connect:Stop*`
+ `connect:Resume*`
+ `connect:Suspend*`
+ `connect:*Contact`
+ `connect:*Contacts`
+ `connect:*ContactAttributes*`
+ `connect:*RealtimeContact*`
+ `connect:*AnalyticsData*`
+ `connect:*MetricData*`
+ `connect:*UserData*`
+ `connect:*ContactEvaluation`
+ `connect:*AttachedFile*`
+ `connect:UpdateContactSchedule`
+ `connect:UpdateContactRoutingData`
+ `connect:ListContactReferences`
+ `connect:CreateParticipant`
+ `connect:CreatePersistentContactAssociation`
+ `connect:CreateInstance`
+ `connect:DeleteInstance`
+ `connect:ListInstances`
+ `connect:ReplicateInstance`
+ `connect:GetFederationToken`
+ `connect:ClaimPhoneNumber`
+ `connect:ImportPhoneNumber`
+ `connect:ReleasePhoneNumber`
+ `connect:SearchAvailablePhoneNumbers`
+ `connect:CreateTrafficDistributionGroup`
+ `connect:DeleteTrafficDistributionGroup`
+ `connect:GetTrafficDistribution`
+ `connect:UpdateTrafficDistribution`
您必須設定許可，以允許您的使用者、群組或角色建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 建立受管同步的服務連結角色
您不需要手動建立服務連結角色，當您透過調用 `ReplicateInstance` API 複寫 Amazon Connect 執行個體時，受管同步會為您建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您再次複寫 Amazon Connect 執行個體時，受管同步會再次為您建立服務連結角色。
## 編輯受管同步的服務連結角色
受管同步不允許您編輯 AWSServiceRoleForAmazonConnectSynchronization 前綴的服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除受管同步的服務連結角色
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。
**注意**
若受管同步服務在您試圖刪除資源時正在使用該角色，刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
**若要刪除 AWSServiceRoleForAmazonConnectSynchronization 前綴的服務連結角色所使用的受管同步資源**
+ 刪除來源執行個體的所有 Amazon Connect 執行個體複本。
**使用 IAM 手動刪除服務連結角色**
使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AWSServiceRoleForAmazonConnectSynchronization 字首的服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## 受管同步服務連結角色的支援區域
受管同步在所有提供 Amazon Connect 全球恢復能力的區域中支援使用服務連結的角色。如需詳細資訊，請參閱[設定 Amazon Connect 的全球恢復能力](setup-connect-global-resiliency.md)。
****
| 區域名稱 | 區域身分 | 受管同步支援 |
| --- | --- | --- |
| 美國東部 (維吉尼亞北部) | us-east-1 | 是 |
| 美國西部 (奧勒岡) | us-west-2 | 是 |