Amazon AWS – Amazon Connect IAM 权限策略

问题描述

在尝试锁定用户帐户，仅限于 Amazon Connect、Lambda 和 S3。他已经成功为 S3 和 Lambda 分配了权限，但找不到适用于 Amazon Connect 的权限。尽管查阅了文档等资料，但仍无法找出该服务的正确名称，以便编写策略。用户希望获得帮助。

解决方案

请注意以下操作注意版本差异及修改前做好备份。

使用IAM策略生成器

Amazon AWS 的 IAM（Identity and Access Management）中有一个策略生成器，您可以通过以下步骤找到适用于 Amazon Connect 的策略。以下是一个示例策略，以供参考：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "connect:DescribeInstance",
                "connect:CreateInstance",
                "connect:ModifyInstance",
                "connect:ListInstances",
                "connect:GetFederationTokens",
                "connect:DestroyInstance",
                "connect:GetFederationToken"
            ],
            "Resource": "*"
        }
    ]
}

此策略授予了一些 Amazon Connect 相关的操作权限，但需要注意的是，IAM 中可能会提示某些操作需要其他操作权限，以提供完整的权限。

配置策略细节

根据生成的策略，您可以查看提示信息，以了解需要添加的其他权限。以下是示例的一些提示和相应的操作权限，这些操作权限可能需要用于支持特定的 Amazon Connect 功能：

DescribeInstance 操作所需权限示例：

• firehose:DescribeDeliveryStream
• firehose:ListDeliveryStreams
• kinesis:DescribeStream
• kinesis:ListStreams
• kms:DescribeKey
• kms:ListAliases
• s3:ListAllMyBuckets

CreateInstance 操作所需权限示例：

• ds:CreateAlias
• ds:DeleteDirectory
• ds:DescribeDirectories
• firehose:DescribeDeliveryStream
• firehose:ListDeliveryStreams
• kinesis:DescribeStream
• kinesis:ListStreams
• kms:CreateGrant
• kms:DescribeKey
• kms:ListAliases
• kms:RetireGrant
• s3:CreateBucket
• s3:ListAllMyBuckets

ModifyInstance 操作所需权限示例：

• firehose:DescribeDeliveryStream
• firehose:ListDeliveryStreams
• kinesis:DescribeStream
• kinesis:ListStreams
• kms:CreateGrant
• kms:DescribeKey
• kms:ListAliases
• kms:RetireGrant
• s3:CreateBucket
• s3:ListAllMyBuckets

请根据您的具体需求选择适当的操作权限，并将它们添加到策略中。确保策略满足您的安全要求并限制用户的访问权限。

总结

通过以上步骤，您应该能够创建一个适用于 Amazon Connect 的 IAM 策略，以满足用户的需求。记住，安全性很重要，确保只授予用户需要的最小权限，以减少潜在的风险。