了解 AWS Elemental 的方式 MediaConvert 与 IAM 协同工作 - MediaConvert
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

了解 AWS Elemental 的方式 MediaConvert 与 IAM 协同工作

Amazon服务可通过多种方式与 IAM 配合使用。AWS Elemental Elemental MediaConvert 支持以下方式:

  • 操作— AWS Elemental MediaConvert 支持在策略中使用操作。这允许管理员控制实体是否可以在 MediaConvert 中完成操作。例如,要允许某个实体通过执行 UpdateJobTemplate Amazon API 操作来更新作业模板,管理员必须附加允许 iam:UpdateJobTemplate 操作的策略。

  • 资源级权限— AWS Elemental MediaConvert 支持资源级权限。资源级权限允许您在策略中指定各个资源。例如,您可以向用户授予仅将作业提交到某个特定队列或仅使用在其名称中具有某个特定 ID 的作业模板的权限。

    有关授予资源级权限的示例 IAM 策略,请参阅示例策略:资源级访问控制.

    有关在资源级限制访问的更多信息,请参阅。控制对资源的访问中的IAM 用户指南.

  • 根据标签进行授权— AWS Elemental MediaConvert 支持根据标签进行授权。此功能允许您在策略条件中使用资源标签

    例如,您可以创建一个策略,允许用户访问对所有操作的所有操作。 MediaConvert 账户中的资源,除非使用标签键标记了资源或资源access要么是的价值denied或者从字符串开始deny. 您可以使用条件键 aws:RequestTag/<tag-key> 完成此操作。

    有关授予这些权限的示例 IAM 策略,请参阅示例策略:基于标签的访问控制.

    有关在 AWS Elemental 上放置标签的信息 MediaConvert 请参阅资源标记 AWS Elemental MediaConvertt资源.

    有关使用标签限制对资源的访问的更多信息,请参阅使用标签控制访问中的IAM 用户指南.

  • 临时凭证— AWS Elemental MediaConvert 支持临时证书。此功能允许您使用联合身份验证登录、代入 IAM 角色或者代入跨账户角色。您可以通过调用 Amazon STS API 操作(如 AssumeRoleGetFederationToken)获得临时安全凭证。

  • 服务角色— AWS Elemental MediaConvert 支持服务角色。此功能允许服务代表您担任服务角色。此角色允许服务访问其它服务中的资源以代表您完成操作。服务角色显示在您的 IAM 账户中,并归该账户所有。这意味着,IAM 管理员可以更改该角色的权限。但是,这可能会中断服务的功能。有关创建此角色的信息,请参阅。第 5 步:设置 IAM 权限 中的开始使用本指南的章节。

AWS Elemental Elemental MediaConvert 不支持以下方式与 IAM 进行交互:

  • 基于资源的策略— AWS Elemental MediaConvert 不支持基于资源的策略。基于资源的策略允许您将策略附加到该服务中的资源。基于资源的策略包含 Principal 元素,用于指定可以访问此资源的 IAM 身份。

  • 服务相关角色— AWS Elemental MediaConvert 不支持服务相关角色。此功能允许服务代表您代入服务相关角色。此角色允许服务访问其它服务中的资源以代表您完成操作。服务相关角色显示在您的 IAM 账户中,并归该服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。

AWS Elemental Elemental MediaConvert 资源和操作

在 AWS Elemental MediaConvert 中,主要资源是一个任务. 在策略中,您可以使用 Amazon Resource Name(ARN)标识策略应用到的资源。

下表中的资源具有关联的唯一 ARN。

名字在 MediaConvert 控制台 ARN 格式
任务 arn:partition:mediaconvert:region:account:jobs/JobId
队列 arn:partition:mediaconvert:region:account:queues/QueueName
输出预设 arn:partition:mediaconvert:region:account:presets/PresetName
作业模板 arn:partition:mediaconvert:region:account:jobTemplates/JobTemplateName

AWS Elemental Elemental MediaConvert 提供一组操作来处理 MediaConvert 资源的费用。有关每个资源的可用操作列表,请按照指向AWS Elemental Elemental MediaConvert API 参考在前面的表中。

允许或拒绝对 AWS Elemental 的子集的访问权限 MediaConvert 资源,将资源的 ARN 包括在Resource保单的元素。MediaConvert 的 ARN 具有以下格式:

arn:partition:mediaconvert:account:resource/ID

partitionaccountresourceID 变量替换为有效值。有效值如下:

  • 分割:你的分区Amazon区域。对于大多数区域,分区是aws.

  • 帐户:您的 IDAmazonaccount. 此账户必须与您用于创建用于登录 AWS Elemental MediaConvert 的账户相同。

  • 资源:AWS Elemental 的类型 MediaConvert 资源。

  • ID:AWS Elemental 的 ID MediaConvert 资源。

对于任何这些变量,您可以选择使用一个通配符 (*) 来指示指定类型的所有资源。例如,以下 ARN 指定账户 111122223333 的所有输出预设:

arn:aws:mediaconvert::111122223333:presets/*