翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Payment Cryptography のリソースベースのポリシー

リソースベースのポリシーは、 AWS Payment Cryptography キーなど、リソースにアタッチする JSON ポリシードキュメントです。リソースベースのポリシーでは、キーにアクセスできるユーザーとそのキーに対して実行できるアクションを指定します。リソースベースのポリシーを使用して、以下を行うことができます。

Payment Cryptography キーにリソースベースのポリシーをアタッチすると、 AWS Payment AWS Cryptography は IAM ポリシー評価ロジックを使用して、特定のプリンシパルがリクエストされたアクションを実行する権限を持っているかどうかを判断します。クロスアカウントアクセスを有効にするには、アカウント全体、または別のアカウントの IAM エンティティをリソースベースのポリシーのプリンシパルとして指定します。クロスアカウントアクセスには、次の 2 つのポリシーが必要です。

どちらのポリシーも アクションを許可する必要があります。どちらかが欠落している場合、クロスアカウントリクエストは で拒否されますAccessDeniedException。

リソースベースのポリシーが同じアカウントのプリンシパルにアクセスを許可する場合、追加のアイデンティティベースのポリシーは必要ありません。詳細については、IAM ユーザーガイドの「IAM ロールとリソースベースのポリシーとの相違点」を参照してください。

考慮事項

AWS Payment Cryptography でリソースベースのポリシーを使用する場合は、次の点に注意してください。

リソースベースのポリシーの管理

Payment Cryptography キーのリソースベースのポリシーは、 AWS CLI または AWS API AWS を使用して管理できます。このコマンドを使用するには、コマンド例の斜体のプレースホルダーテキストを独自の情報に置き換えます。

リソースベースのポリシーをアタッチする

PutResourcePolicy API アクションまたは put-resource-policy CLI コマンドを使用して、リソースベースのポリシーをキーにアタッチします。ポリシーが既に存在する場合、コマンドはそのポリシーを置き換えます。

次の例では、JSON ファイルからキーにリソースベースのポリシーをアタッチします。

aws payment-cryptography put-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h \
    --policy file://policy.json

リソースベースのポリシーを取得する

GetResourcePolicy API アクションまたは get-resource-policy CLI コマンドを使用して、キーにアタッチされたリソースベースのポリシーを取得します。

次の の例では、キーにアタッチされたリソースベースのポリシーを取得します。

aws payment-cryptography get-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h

レスポンスはポリシードキュメントを返します。

{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
                },
                "Action": [
                    "payment-cryptography:EncryptData",
                    "payment-cryptography:DecryptData"
                ],
                "Resource": "*"
            }
        ]
    }
}

リソースベースのポリシーを削除する

DeleteResourcePolicy API アクションまたは delete-resource-policy CLI コマンドを使用して、キーからリソースベースのポリシーを削除します。

次の の例では、キーにアタッチされたリソースベースのポリシーを削除します。

aws payment-cryptography delete-resource-policy \
    --resource-arn arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h

リソースベースのポリシーの例

キーへのクロスアカウントアクセスを付与する

次のリソースベースのポリシーは、別の AWS アカウントのロールに、暗号化オペレーションに AWS Payment Cryptography キーを使用するアクセス許可を付与します。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
            },
            "Action": [
                "payment-cryptography:GenerateCardValidationData",
                "payment-cryptography:VerifyCardValidationData"
            ],
            "Resource": "*"
        }
    ]
}

異なるアカウントに異なるアクセス許可を付与する

次のリソースベースのポリシーは、別々のアカウントのプリンシパルに異なるアクセス許可を付与する方法を示しています。この例では、あるアカウントの 3DS Access Control Server (ACS) はカード検証データを生成できますが、別のアカウントの Payment Authorization サービスは 3DS 暗号しか検証できません。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Allow3DSACSToGenerate",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/3dsAcsRole"
            },
            "Action": [
                "payment-cryptography:GenerateCardValidationData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowPaymentAuthToVerify",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::444455556666:role/PaymentAuthRole"
            },
            "Action": [
                "payment-cryptography:VerifyAuthRequestCryptogram"
            ],
            "Resource": "*"
        }
    ]
}