将基于身份的策略用于 Amazon SQS - Amazon Simple Queue Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

将基于身份的策略用于 Amazon SQS

本主题提供基于身份的策略的示例,在这些策略中,账户管理员可以向 IAM 身份(用户、组和角色)挂载权限策略。

重要

我们建议您首先阅读以下介绍性主题,这些主题讲解了管理 Amazon Simple 队列服务资源访问的基本概念和选项。有关更多信息,请参阅Amazon SQS 中的访问管理概述

除了ListQueues,所有 Amazon SQS 操作均支持资源级权限。有关更多信息,请参阅Amazon SQS API 权限:操作和资源参考

使用 Amazon SQS 和 IAM 策略

可通过两种方式向用户授予访问 Amazon SQS 资源的权限:使用 Amazon SQS 策略系统和使用 IAM 策略系统。您可以使用其中任意一套或两套系统。在绝大部分情况下,无论采用上述哪种方式,都可以得到同样的结果。

例如,下图显示了等效的 IAM 策略和 Amazon SQS 策略。IAM 策略授予 Amazon SQS 的权限ReceiveMessageSendMessage命令的队列的操作queue_xyz在您的Amazon账户,并且该策略已附加到用户 Bob 和 Susan(Bob 和 Susan 拥有策略所述的权限)。此 Amazon SQS 策略还授予 Bob 和 Susan 对ReceiveMessageSendMessage操作相同队列。

注意

此示例显示了不带条件的简单策略。您可以在上述任一策略中指定特定条件,并获得同样的结果。

IAM 策略和 Amazon SQS 策略之间有一个主要区别:Amazon SQS 策略系统允许您向其他Amazon账户,而 IAM 则没有。

您可以自行决定如何综合使用上述两种系统来管理您的权限。以下示例展示这两种策略系统是如何共同运行的。

  • 在第一个示例中,Bob 同时拥有适用于其账户的 IAM 策略和 Amazon SQS 策略。IAM 策略向其账户授予ReceiveMessage操作queue_xyz,而 Amazon SQS 策略授予其账户对SendMessage在同一队列上的操作。下图阐明了这一概念。

    如果 Bob 发送ReceiveMessage请求至queue_xyz,IAM 策略将允许执行操作。如果 Bob 发送SendMessage请求至queue_xyz,Amazon SQS 策略将允许执行此操作。

  • 在第二个示例中,Bob 滥用他对 queue_xyz 的访问权限,因此有必要删除他对该队列的所有访问权限。最简单的方法是添加一个策略,拒绝他访问该队列的所有操作。此策略会覆盖另外两个策略,因为显式 deny 始终覆盖 allow。有关策略评估逻辑的更多信息,请参阅将自定义策略与 Amazon SQS 访问策略语言配合使用。下图阐明了这一概念。

    此外,您还可以向 Amazon SQS 策略中添加一条额外的语句,拒绝 Bob 以任何方式访问该队列。添加拒绝 Bob 访问该队列的 IAM 策略具有同样的效果。有关涉及 Amazon SQS 操作和资源的策略示例,请参阅 “”Amazon SQS 策略的基本示例. 有关编写 Amazon SQS 策略的更多信息,请参阅 “”。将自定义策略与 Amazon SQS 访问策略语言配合使用.

使用 Amazon SQS 控制台所需的权限

希望使用 Amazon SQS 控制台的用户必须具有在用户的 Amazon Web Services 账户 . 例如,用户必须具有调用 ListQueues 操作的权限才能列出队列,或者必须具有调用 CreateQueue 操作的权限才能创建队列。要将 Amazon SQS 队列订阅到 Amazon SNS 主题,则除了 Amazon SQS 主题之外,控制台还需要针对 Amazon SNS 操作的权限。

如果创建比必需的最低权限更为严格的 IAM 策略,对于附加了该 IAM 策略的用户,控制台可能无法按预期方式运行。

对于只需要调用的用户,您无需为其提供最低控制台权限。Amazon CLI或 Amazon SQS 操作。

Amazon适用于 Amazon SQS 的托管(预定义)策略

Amazon通过提供独立的单独的用例Amazon托管 IAM 策略。这些 Amazon 托管策略通过授予常用案例所需的权限来简化对权限的使用。有关更多信息,请参阅 IAM 用户指南中的 Amazon 托管策略

以下Amazon托管策略(可将它们附加到账户中的用户)是特定于 Amazon SQS 的:

  • AmazonSQSReadOnlyAccess— 授予 Amazon SQS 队列的只读访问权限,使用Amazon Web Services Management Console.

  • AmazonSQSFullAccess— 授予 Amazon SQS 队列的完全访问权限Amazon Web Services Management Console.

您可以在 IAM 控制台上搜索和查看可用策略。此外,您还可以创建自定义 IAM 策略,以授予 Amazon SQS 操作和队列的相关权限。您可以将这些自定义策略附加到需要权限的 IAM 用户或组。