本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
自定义 Amazon SQS 访问策略语言示例
以下示例是典型的 Amazon SQS 访问策略。
示例 1:授予对一个账户的权限
以下示例 Amazon SQS 策略给出了Amazon Web Services 账户111122223333 发送和接收权限queue2
拥有的Amazon Web Services 账户444455556666。
{ "Version": "2012-10-17", "Id": "UseCase1", "Statement" : [{ "Sid": "1", "Effect": "Allow", "Principal": { "AWS": [ "111122223333" ] }, "Action": [ "sqs:SendMessage", "sqs:ReceiveMessage" ], "Resource": "arn:aws:sqs:us-east-2:444455556666:queue2" }] }
示例 2:授予对一个或多个账户的权限
以下示例 Amazon SQS 策略给出了一个或多个Amazon Web Services 账户在特定的时间段内访问您的账户所拥有的队列。有必要编写此政策并 Amazon SQS 用SetQueueAttributes
行动是因为AddPermission
在授予队列访问权限时,操作不允许指定时间限制。
{ "Version": "2012-10-17", "Id": "UseCase2", "Statement" : [{ "Sid": "1", "Effect": "Allow", "Principal": { "AWS": [ "111122223333", "444455556666" ] }, "Action": [ "sqs:SendMessage", "sqs:ReceiveMessage" ], "Resource": "arn:aws:sqs:us-east-2:444455556666:queue2", "Condition": { "DateLessThan": { "AWS:CurrentTime": "2009-06-30T12:00Z" } } }] }
示例 3:允许来自 Amazon EC2 实例的请求
以下示例 Amazon SQS 策略对来自 Amazon EC2 实例的请求授予访问权限。此示例根据“示例 2:授予对一个或多个账户的权限”示例编写:它将访问时间限制在 2009 年 6 月 30 日中午 12 点 (UTC) 之前,将访问 IP 的范围限制在 203.0.113.0/24
。有必要编写此政策并 Amazon SQS 用SetQueueAttributes
行动是因为AddPermission
在授予队列访问权限时,操作不允许指定 IP 地址限制。
{ "Version": "2012-10-17", "Id": "UseCase3", "Statement" : [{ "Sid": "1", "Effect": "Allow", "Principal": { "AWS": [ "111122223333" ] }, "Action": [ "sqs:SendMessage", "sqs:ReceiveMessage" ], "Resource": "arn:aws:sqs:us-east-2:444455556666:queue2", "Condition": { "DateLessThan": { "AWS:CurrentTime": "2009-06-30T12:00Z" }, "IpAddress": { "AWS:SourceIp": "203.0.113.0/24" } } }] }
示例 4:拒绝访问特定账户
以下示例 Amazon SQS 策略拒绝特定Amazon Web Services 账户访问队列。此示例建立在”示例 1:授予对一个账户的权限“示例:它拒绝指定的访问Amazon Web Services 账户. 有必要编写此政策并 Amazon SQS 用SetQueueAttributes
行动是因为AddPermission
操作不允许拒绝对队列的访问(它只允许授予对队列的访问权限)。
{ "Version": "2012-10-17", "Id": "UseCase4", "Statement" : [{ "Sid": "1", "Effect": "Deny", "Principal": { "AWS": [ "111122223333" ] }, "Action": [ "sqs:SendMessage", "sqs:ReceiveMessage" ], "Resource": "arn:aws:sqs:us-east-2:444455556666:queue2" }] }
示例 5:如果不是来自 VPC 终端节点,则拒绝访问
以下示例 Amazon SQS 策略将限制为:queue1
: 111122223333 可以执行SendMessage
和ReceiveMessage
仅来自 VPC 终端节点 ID 的操作vpce-1a2b3c4d
(使用指定aws:sourceVpce
条件)。有关更多信息,请参阅 Amazon SQS 的 Amazon Virtual Private Cloud 终端节点。
-
aws:sourceVpce
条件不需要 VPC 终端节点资源的 ARN,而只需要 VPC 终端节点 ID。 -
您可以通过拒绝所有 Amazon SQS 操作来修改以下示例以将所有操作限制到特定 VPC 终端节点。
sqs:*
) 在第二个声明中。但是,此类策略声明将规定所有操作(包括修改队列权限所需的管理操作)必须通过在策略中定义的特定 VPC 终端节点进行,这可能会阻止用户以后修改队列权限。
{ "Version": "2012-10-17", "Id": "UseCase5", "Statement": [{ "Sid": "1", "Effect": "Allow", "Principal": { "AWS": [ "111122223333" ] }, "Action": [ "sqs:SendMessage", "sqs:ReceiveMessage" ], "Resource": "arn:aws::sqs:us-east-2:111122223333:queue1" }, { "Sid": "2", "Effect": "Deny", "Principal": "*", "Action": [ "sqs:SendMessage", "sqs:ReceiveMessage" ], "Resource": "arn:aws::sqs:us-east-2:111122223333:queue1", "Condition": { "StringNotEquals": { "aws:sourceVpce": "vpce-1a2b3c4d" } } } ] }