Установленные разрешения

Описание

Amazon Verified Permissions — это служба управления разрешениями от Amazon Web Services. Вы можете использовать Verified Permissions для управления разрешениями своего приложения и авторизации доступа пользователей на основе этих разрешений. Разработчики приложений с помощью Verified Permissions могут предоставлять доступ, основываясь на информации о пользователях, ресурсах и запрошенных действиях. Также можно учитывать дополнительную информацию, такую как членство в группах, атрибуты ресурсов и контекст сеанса, например, время запроса и IP-адреса. Verified Permissions управляет этими разрешениями, позволяя вам создавать и хранить политики авторизации для ваших приложений, таких как веб-сайты для клиентов и корпоративные бизнес-системы.

Verified Permissions использует язык Cedar для выражения ваших требований к разрешениям. Cedar поддерживает модели авторизации как на основе ролей (RBAC), так и на основе атрибутов (ABAC).

Дополнительную информацию о настройке, администрировании и использовании Amazon Verified Permissions в ваших приложениях см. в Руководстве пользователя Amazon Verified Permissions.

Дополнительную информацию о языке Cedar см. в Руководстве по языку Cedar.

Предупреждение

При написании политик Cedar, ссылающихся на принципалы, ресурсы и действия, вы можете определить уникальные идентификаторы, используемые для каждого из этих элементов. Мы настоятельно рекомендуем придерживаться следующих рекомендаций:

Используйте значения, такие как универсально уникальные идентификаторы (UUID), для всех идентификаторов принципалов и ресурсов. Например, если пользователь jane покидает компанию, и вы позже позволите кому-то другому использовать имя jane , то этому новому пользователю автоматически предоставляется доступ ко всему, что предоставлялось политиками, которые все еще ссылаются на User::"jane" . Cedar не может отличить нового пользователя от старого. Это относится как к идентификаторам принципалов, так и к идентификаторам ресурсов. Всегда используйте идентификаторы, которые гарантированно уникальны и никогда не используются повторно, чтобы убедиться, что вы не предоставили доступ случайно из-за наличия старого идентификатора в политике. Если вы используете UUID для сущности, мы рекомендуем дополнить его комментарием // и «дружественным» именем вашей сущности. Это поможет сделать ваши политики более понятными. Например: principal == User::”a1b2c3d4-e5f6-a1b2-c3d4-EXAMPLE11111”, // alice
Не включайте персональные идентификационные данные, конфиденциальную или чувствительную информацию в качестве части уникального идентификатора для ваших принципалов или ресурсов. Эти идентификаторы включены в записи журналов, используемые в трейлах CloudTrail.

Некоторые операции возвращают структуры, которые выглядят похоже, но имеют разное назначение. По мере добавления новых функций в продукт, структура, используемая в параметре одной операции, может потребоваться изменить способом, который не имеет смысла для того же параметра в другой операции. Чтобы помочь вам понять назначение каждой из них, используется следующая система именования для структур:

Структуры типа параметров, оканчивающиеся на Detail, используются в операциях Get.
Структуры типа параметров, оканчивающиеся на Item, используются в операциях List.
Структуры типа параметров без суффикса используются в операциях изменения (создания и обновления).

Установленные разрешения

Описание

Предупреждение

Доступные команды