Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Resource-based politiche per la crittografia AWS dei pagamenti

Resource-based le politiche sono documenti di policy JSON che alleghi a una risorsa, come una chiave di crittografia dei pagamenti. AWS In una politica basata sulle risorse, si specifica chi può accedere alla chiave e le azioni che può eseguire su di essa. Le policy basate su risorse possono essere utilizzate per:

Quando colleghi una policy basata sulle risorse a una chiave di crittografia dei AWS AWS pagamenti, Payment Cryptography utilizza la logica di valutazione delle policy IAM per determinare se una determinata entità è autorizzata a eseguire l'azione richiesta. Per abilitare l'accesso tra più account, puoi specificare un intero account o entità IAM in un altro account come principale in una policy basata sulle risorse. Cross-account l'accesso richiede due politiche:

Entrambe le politiche devono consentire l'azione. Se manca una delle due, la richiesta tra più account viene rifiutata conAccessDeniedException.

Se una politica basata sulle risorse consente l'accesso a un principale nello stesso account, non è richiesta alcuna politica aggiuntiva basata sull'identità. Per ulteriori informazioni, consulta In che modo i ruoli IAM differiscono dalle Resource-based politiche nella Guida per l'utente IAM.

Considerazioni

Tieni presente quanto segue quando utilizzi politiche basate sulle risorse con Payment Cryptography. AWS

Gestione delle politiche basate sulle risorse

Puoi gestire le politiche basate sulle risorse per le chiavi di crittografia dei AWS pagamenti utilizzando l'API or. AWS CLI AWS Per utilizzare questo comando, sostituisci il comando italicized placeholder text nell'esempio con le tue informazioni.

Allega una politica basata sulle risorse

Utilizza l'azione PutResourcePolicyAPI o il comando put-resource-policyCLI per allegare una policy basata sulle risorse a una chiave. Se una policy esiste già, il comando la sostituisce.

L'esempio seguente collega una politica basata sulle risorse da un file JSON a una chiave.

aws payment-cryptography put-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h \
    --policy file://policy.json

Recupera una politica basata sulle risorse

Utilizza l'azione GetResourcePolicyAPI o il comando get-resource-policyCLI per recuperare la policy basata sulle risorse allegata a una chiave.

L'esempio seguente recupera la policy basata sulle risorse allegata a una chiave.

aws payment-cryptography get-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h

La risposta restituisce il documento relativo alla politica:

{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
                },
                "Action": [
                    "payment-cryptography:EncryptData",
                    "payment-cryptography:DecryptData"
                ],
                "Resource": "*"
            }
        ]
    }
}

Eliminare una politica basata sulle risorse

Utilizza l'azione DeleteResourcePolicyAPI o il comando delete-resource-policyCLI per rimuovere la policy basata sulle risorse da una chiave.

L'esempio seguente elimina la policy basata sulle risorse allegata a una chiave.

aws payment-cryptography delete-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h

Resource-based esempi di politiche

Concedi l'accesso a una chiave su più account

La seguente politica basata sulle risorse concede a un ruolo in un altro AWS account l'autorizzazione a utilizzare una chiave di crittografia dei AWS pagamenti per operazioni crittografiche.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
            },
            "Action": [
                "payment-cryptography:GenerateCardValidationData",
                "payment-cryptography:VerifyCardValidationData"
            ],
            "Resource": "*"
        }
    ]
}

Concedi autorizzazioni diverse a diversi account

La seguente politica basata sulle risorse mostra come concedere autorizzazioni diverse ai principali in account separati. In questo esempio, un 3DS Access Control Server (ACS) in un account può generare dati di convalida delle carte, mentre un servizio di autorizzazione dei pagamenti in un altro account può convalidare solo i crittogrammi 3DS.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Allow3DSACSToGenerate",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/3dsAcsRole"
            },
            "Action": [
                "payment-cryptography:GenerateCardValidationData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowPaymentAuthToVerify",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::444455556666:role/PaymentAuthRole"
            },
            "Action": [
                "payment-cryptography:VerifyAuthRequestCryptogram"
            ],
            "Resource": "*"
        }
    ]
}