Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Resource-based politiques relatives à la cryptographie des AWS paiements

Resource-based les politiques sont des documents de politique JSON que vous attachez à une ressource, comme une clé AWS de chiffrement des paiements. Dans une politique basée sur les ressources, vous spécifiez qui peut accéder à la clé et les actions qu'il peut effectuer sur celle-ci. Vous pouvez utiliser des stratégies basées sur une ressource pour :

Lorsque vous associez une politique basée sur les ressources à une clé de chiffrement des AWS paiements, la cryptographie des AWS paiements utilise la logique d'évaluation de la politique IAM pour déterminer si un principal donné est autorisé à effectuer l'action demandée. Pour activer l'accès entre comptes, vous pouvez spécifier un compte entier ou des entités IAM dans un autre compte comme principal dans une politique basée sur les ressources. Cross-account l'accès nécessite deux politiques :

Les deux politiques doivent autoriser l'action. Si l'un ou l'autre est manquant, la demande multi-comptes est refusée avecAccessDeniedException.

Si une politique basée sur les ressources accorde l'accès à un mandant du même compte, aucune politique supplémentaire basée sur l'identité n'est requise. Pour plus d'informations, consultez la section En quoi les rôles IAM diffèrent des Resource-based politiques dans le guide de l'utilisateur IAM.

Considérations

Gardez les points suivants à l'esprit lorsque vous utilisez des politiques basées sur les ressources avec AWS Payment Cryptography.

Gestion des politiques basées sur les ressources

Vous pouvez gérer les politiques basées sur les ressources pour les clés de chiffrement des AWS paiements à l'aide de l' AWS CLI API or. AWS Pour utiliser cette commande, remplacez celle italicized placeholder text de l'exemple par vos propres informations.

Joindre une politique basée sur les ressources

Utilisez l'action PutResourcePolicyAPI ou la commande put-resource-policyCLI pour associer une politique basée sur les ressources à une clé. Si une politique existe déjà, la commande la remplace.

L'exemple suivant associe une politique basée sur les ressources d'un fichier JSON à une clé.

aws payment-cryptography put-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h \
    --policy file://policy.json

Récupérer une politique basée sur les ressources

Utilisez l'action GetResourcePolicyAPI ou la commande get-resource-policyCLI pour récupérer la politique basée sur les ressources attachée à une clé.

L'exemple suivant récupère la politique basée sur les ressources attachée à une clé.

aws payment-cryptography get-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h

La réponse renvoie le document de politique :

{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
                },
                "Action": [
                    "payment-cryptography:EncryptData",
                    "payment-cryptography:DecryptData"
                ],
                "Resource": "*"
            }
        ]
    }
}

Supprimer une politique basée sur les ressources

Utilisez l'action DeleteResourcePolicyAPI ou la commande delete-resource-policyCLI pour supprimer la politique basée sur les ressources d'une clé.

L'exemple suivant supprime la politique basée sur les ressources attachée à une clé.

aws payment-cryptography delete-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h

Resource-based exemples de politiques

Accorder l'accès à une clé entre comptes

La politique basée sur les ressources suivante accorde à un rôle dans un autre AWS compte l'autorisation d'utiliser une clé de cryptographie AWS de paiement pour des opérations cryptographiques.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
            },
            "Action": [
                "payment-cryptography:GenerateCardValidationData",
                "payment-cryptography:VerifyCardValidationData"
            ],
            "Resource": "*"
        }
    ]
}

Accorder différentes autorisations à différents comptes

La politique basée sur les ressources suivante montre comment accorder différentes autorisations aux principaux dans des comptes distincts. Dans cet exemple, un serveur de contrôle d'accès 3DS (ACS) d'un compte peut générer des données de validation de carte, tandis qu'un service d'autorisation de paiement d'un autre compte ne peut valider que les cryptogrammes 3DS.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Allow3DSACSToGenerate",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/3dsAcsRole"
            },
            "Action": [
                "payment-cryptography:GenerateCardValidationData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowPaymentAuthToVerify",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::444455556666:role/PaymentAuthRole"
            },
            "Action": [
                "payment-cryptography:VerifyAuthRequestCryptogram"
            ],
            "Resource": "*"
        }
    ]
}