Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS Sign-In riferimento alle chiavi di condizione

Questa pagina elenca le chiavi di condizione che è possibile utilizzare nelle politiche AWS Sign-In basate sulle risorse e nelle politiche di controllo delle risorse (RCP) e mostra la fase di valutazione e l'azione a cui si applica ciascuna chiave. Solo signin:PrincipalArn è specifico per AWS Sign-In; le altre sono chiavi di condizione globali. AWS Per le definizioni delle chiavi globali, consulta le chiavi di contesto delle condizioni AWS globali.

Per l'elenco completo delle azioni e delle chiavi di condizione nel Service Authorization Reference, vedi Azioni, risorse e chiavi di condizione per AWS Sign-In.

Network-based chiavi di condizione

Queste chiavi di condizione controllano da dove proviene la richiesta. AWS Sign-In li valuta per tutte le AWS Sign-In azioni (signin:Authenticatesignin:AuthorizeOAuth2Access, esignin:CreateOAuth2Token) sia nelle politiche basate sulle risorse che negli RCP.

Identity-based chiavi di condizione

Queste chiavi condizionali controllano chi sta effettuando la richiesta. Sono disponibili solo per le azioni successive all'autenticazione (signin:AuthorizeOAuth2Accessandsignin:CreateOAuth2Token), in cui è stata stabilita l'identità principale.

Service-specific chiave di condizione: signin: PrincipalArn

La seguente chiave di condizione è specifica AWS Sign-In e non è una AWS chiave globale. È disponibile solo durante la valutazione di pre-autenticazione. Viene utilizzato signin:PrincipalArn per identificare il principale che avvia l'accesso prima del completamento dell'autenticazione. Si tratta dell'equivalente di preautenticazione diaws:PrincipalArn, disponibile solo dopo l'autenticazione.

Usa gli operatori ARN per confrontare i valori. È possibile specificare i seguenti tipi principali:

Caso d'uso: esenta un'identità principale esclusa dalle restrizioni di rete, prevenendo il blocco e applicando comunque i controlli di rete per tutti gli altri tentativi di accesso.

Esempio: nega l'accesso di preautenticazione da reti non autorizzate, ad eccezione dell'utente root:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    }
  ]
}

Questa politica nega l'accesso alla console dall'esterno dell'intervallo 203.0.113.0/24 IP, ad eccezione dell'utente root dell'account. L'istruzione di preautenticazione utilizza signin:PrincipalArn l'esonero dall'utente root prima del completamento dell'autenticazione. L'istruzione di post-autenticazione utilizza aws:PrincipalArn l'esenzione dello stesso principale dopo l'autenticazione, durante lo scambio di token OAuth. Per informazioni, consulta Esempi di policy.

Condiziona la disponibilità delle chiavi in base all'azione

Informazioni correlate