了解 AWS Elemental MediaConvert 如何与 IAM 配合使用 - MediaConvert
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

了解 AWS Elemental MediaConvert 如何与 IAM 配合使用

Amazon服务可以通过多种方式与 IAM 配合使用。AWS Elemental MediaConvert 网络支持以下方式:

  • 操作— AWS Elemental MediaConvert 支持在策略中使用操作。这允许管理员控制实体是否可以在 MediaConvert 中完成操作。例如,要允许某个实体通过执行 UpdateJobTemplate Amazon API 操作来更新作业模板,管理员必须附加允许 iam:UpdateJobTemplate 操作的策略。

  • 资源级权限— AWS Elemental MediaConvert 支持资源级权限。资源级权限允许您在策略中指定各个资源。例如,您可以向用户授予仅将作业提交到某个特定队列或仅使用在其名称中具有某个特定 ID 的作业模板的权限。

    有关授予资源级权限的示例 IAM 策略,请参阅。示例策略:资源级访问控制

    有关限制资源级访问的更多信息,请参阅。控制对资源的访问中的IAM 用户指南

  • 根据标签进行授权— AWS Elemental MediaConvert 支持基于标签的授权。此功能允许您在策略条件中使用资源标签

    例如,您可能创建一个策略,该策略允许用户访问对账户中的所有 MediaConvert 资源的所有操作,除非资源标记有标签键access的值,并且denied或以字符串开头deny。您可以使用条件键 aws:RequestTag/<tag-key> 完成此操作。

    有关授予这些权限的示例 IAM 策略,请参阅。示例策略:使用资源标签的基于标签的访问控制

    有关在您的 AWS Elemental MediaConvert Convert 资源上放置标签的信息,请参阅为 AWS Elemental MediaConvert 资源添加标签

    有关使用标签限制对资源的访问的更多信息,请参阅使用标签控制访问中的IAM 用户指南

  • 临时凭证— AWS Elemental MediaConvert 连接器支持临时证书。此功能允许您使用联合身份验证登录、代入 IAM 角色或者代入跨账户角色。您可以通过调用 Amazon STS API 操作(如 AssumeRoleGetFederationToken)获得临时安全凭证。

  • 服务角色— AWS Elemental MediaConvert 支持服务角色。此功能允许服务代表您担任服务角色。此角色允许服务访问其他服务中的资源以代表您完成操作。服务角色显示在您的 IAM 账户中,并归该账户所有。这意味着 IAM 管理员可以更改此角色的权限。但是,这可能会中断服务的功能。有关创建此角色的信息,请参阅第 5 步:设置 IAM 权限 中的开始使用本指南的章节。

AWS Elemental MediaConvert 不支持采用以下方式与 IAM 交互:

  • 基于资源的策略— AWS Elemental MediaConvert 不支持基于资源的策略。基于资源的策略允许您将策略附加到该服务中的资源。基于资源的策略包含 Principal 元素,用于指定可以访问此资源的 IAM 身份。

  • 服务相关角色— AWS Elemental MediaConvert 不支持服务相关角色。此功能允许服务代表您代入服务相关角色。此角色允许服务访问其他服务中的资源以代表您完成操作。服务相关角色显示在您的 IAM 账户中,并由该服务拥有。IAM 管理员可以查看但不能编辑服务相关角色的权限。

AWS Elemental MediaConvert 资源和操作

在 AWS Elemental MediaConvert 中,主要资源是一个任务。在策略中,您可以使用 Amazon 资源名称 (ARN) 标识策略应用到的资源。

下表中的资源具有关联的唯一 ARN。

MediaConvert 控制台中的名称 ARN 格式
作业 arn:partition:mediaconvert:region:account:jobs/JobId
Queue arn:partition:mediaconvert:region:account:queues/QueueName
输出预设 arn:partition:mediaconvert:region:account:presets/PresetName
作业模板 arn:partition:mediaconvert:region:account:jobTemplates/JobTemplateName

AWS Elemental MediaConvert 提供了一组用于处理传媒资源的操作。有关每个资源的可用操作列表,请遵循指向AWS Elemental MediaConvert API 参考在前面的表中。

要允许或拒绝对 AWS Elemental MediaConvert 资源子集的访问权限,请在Resource元素。用于 MediaConvert 的 ARN 具有以下格式:

arn:partition:mediaconvert:account:resource/ID

partitionaccountresourceID 变量替换为有效值。有效值如下:

  • 分区:您的分区Amazon区域。对于大多数区域,分区是aws

  • 账户:您的Amazonaccount. 此账户必须与您用于创建 IAM 用户以登录 AWS Elemental MediaConvert 的账户相同。

  • 资源:AWS Elemental MediaConvert 资源的类型。

  • ID:AWS Elemental MediaConvert 资源的 ID。

对于任何这些变量,您可以选择使用一个通配符 (*) 来指示指定类型的所有资源。例如,以下 ARN 指定账户 111122223333 的所有输出预设:

arn:aws:mediaconvert::111122223333:presets/*