**终止支持通知：** AWS 将于 2026 年 10 月 30 日终止对亚马逊 Pinpoint 的支持。2026 年 10 月 30 日之后，您将不再能够访问 Amazon Pinpoint 控制台或 Amazon Pinpoint 资源（端点、分段、活动、旅程和分析）。有关更多信息，请参阅 [Amazon Pinpoint 终止支持](https://docs.aws.amazon.com/console/pinpoint/migration-guide)。**注意：** APIs 与短信相关、语音、移动推送、OTP 和电话号码验证不受此更改的影响，并受 AWS 最终用户消息的支持。
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# Amazon Pinpoint 基于身份的策略示例
默认情况下，用户和角色没有创建或修改 Amazon Pinpoint 资源的权限，他们也无法使用 AWS 管理控制台 AWS CLI、或 AWS API 执行任务。IAM 管理员必须创建 IAM 策略，以授权用户和角色对其所需的资源执行特定的 API 操作。然后，管理员必须将这些策略附加到需要这些权限的用户或组。
要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》**中的[在 JSON 选项卡上创建策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。
**Topics**
+ [策略最佳实践](#security_iam_service-with-iam-policy-best-practices)
+ [使用 Amazon Pinpoint 控制台](#permissions-actions-examples-console-readonly)
+ [示例：访问单个 Amazon Pinpoint 项目](#security_iam_id-based-policy-examples-access-one-project)
+ [示例：基于标签查看 Amazon Pinpoint 资源](#security_iam_id-based-policy-examples-view-resource-tags)
+ [示例：允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions)
+ [示例：提供对 Amazon Pinpoint API 操作的访问权限](#permissions-actions-examples-pin-api)
+ [示例：提供对 Amazon Pinpoint SMS 和 Voice API 操作的访问权限](#permissions-actions-examples-pin-sms-voice-api)
+ [示例：将 Amazon Pinpoint 项目的访问权限限制为特定 IP 地址](#security_iam_resource-based-policy-examples-restrict-project-access-by-ip)
+ [示例：基于标签限制 Amazon Pinpoint 的访问权限](#security_iam_resource-based-policy-examples-restrict-access-by-tag)
+ [示例：允许 Amazon Pinpoint 使用在 Amazon SES 中验证的身份发送电子邮件](#security_iam_resource-based-policy-examples-access-ses-identities)
## 策略最佳实践
基于身份的策略确定某个人能否在您的账户中创建、访问或删除 Amazon Pinpoint 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：
+ **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 使用 Amazon Pinpoint 控制台
要访问 Amazon Pinpoint 控制台，您必须具有一组最低权限许可。这些权限必须允许您列出和查看有关您 AWS 账户中的 Amazon Pinpoint 资源的详细信息。如果您创建的基于身份的策略所应用的许可比最低要求许可严格，则对于附加了该策略的实体（用户或角色），控制台将不能提供预期功能。为确保这些实体可以使用 Amazon Pinpoint 控制台，可为其附加另外的策略。有关更多信息，请参阅《IAM 用户指南》**中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
以下示例策略提供对特定 AWS 地区的 Amazon Pinpoint 控制台的只读访问权限。其中包括对 Amazon Pinpoint 控制台所依赖的其他服务的只读访问权限，例如 Amazon Simple Email Service (Amazon SES)、IAM 和 Amazon Kinesis。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "UseConsole",
"Effect": "Allow",
"Action": [
"mobiletargeting:Get*",
"mobiletargeting:List*"
],
"Resource": "arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:*"
},
{
"Effect": "Allow",
"Action": [
"firehose:ListDeliveryStreams",
"iam:ListRoles",
"kinesis:ListStreams",
"s3:List*",
"ses:Describe*",
"ses:Get*",
"ses:List*",
"sns:ListTopics"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{accountId}}"
}
}
}
]
}
```
------
在前面的政策示例中，{{region}}替换为 AWS 区域名称，然后{{accountId}}替换为您的 AWS 账户 ID。
对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。
## 示例：访问单个 Amazon Pinpoint 项目
您还可以创建仅为特定项目提供访问权限的只读策略。以下示例策略允许用户登录到控制台并查看项目列表。用户还可查看有关 Amazon Pinpoint 控制台所依赖的其他 AWS 服务的相关资源的信息，例如 Amazon SES、IAM 和 Amazon Kinesis。但是，该策略只允许用户查看策略中指定的项目的信息。您可以修改此政策以允许访问其他项目或 AWS 区域。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ViewProject",
"Effect": "Allow",
"Action": "mobiletargeting:GetApps",
"Resource": "arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:*"
},
{
"Effect": "Allow",
"Action": [
"mobiletargeting:Get*",
"mobiletargeting:List*"
],
"Resource": [
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{projectId}}",
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{projectId}}/*",
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:reports"
]
},
{
"Effect": "Allow",
"Action": [
"ses:Get*",
"kinesis:ListStreams",
"firehose:ListDeliveryStreams",
"iam:ListRoles",
"ses:List*",
"sns:ListTopics",
"ses:Describe*",
"s3:List*"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{accountId}}"
}
}
}
]
}
```
------
在前面的示例中，{{region}}替换为 AWS 区域名称，替换{{accountId}}为您的 AWS 账户 ID，然后替换{{projectId}}为您想要提供访问权限的 Amazon Pinpoint 项目的 ID。
同样，您可以创建策略，向 AWS 账户中的用户授予对您的一个 Amazon Pinpoint 项目（例如具有项目 ID 的项目）的有限写入权限。`810c7aab86d42fb2b56c8c966example`在此案例中，您希望允许用户查看、添加和更新项目组件，例如分段和活动，但不允许删除任何组件。
除了授予关于 `mobiletargeting:Get` 和 `mobiletargeting:List` 操作的权限，您还可以创建一个策略，来授予关于以下操作的权限：`mobiletargeting:Create`、`mobiletargeting:Update` 和 `mobiletargeting:Put`。这些是创建和管理大多数项目组件所需的额外权限。例如：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "LimitedWriteProject",
"Effect": "Allow",
"Action": "mobiletargeting:GetApps",
"Resource": "arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:*"
},
{
"Effect": "Allow",
"Action": [
"mobiletargeting:Get*",
"mobiletargeting:List*",
"mobiletargeting:Create*",
"mobiletargeting:Update*",
"mobiletargeting:Put*"
],
"Resource": [
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{810c7aab86d42fb2b56c8c966example}}",
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{810c7aab86d42fb2b56c8c966example}}/*",
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:reports"
]
},
{
"Effect": "Allow",
"Action": [
"ses:Get*",
"kinesis:ListStreams",
"firehose:ListDeliveryStreams",
"iam:ListRoles",
"ses:List*",
"sns:ListTopics",
"ses:Describe*",
"s3:List*"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
}
}
}
]
}
```
------
## 示例：基于标签查看 Amazon Pinpoint 资源
您可以在基于身份的策略中使用条件，以基于标签控制对于 Amazon Pinpoint 资源的访问。此示例策略展示了如何创建此类策略，以允许查看 Amazon Pinpoint 资源。不过，仅当 `Owner` 资源标签具有该用户的用户名的值时，才会授予权限。此策略还授予在控制台上完成此操作的必要权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ListResources",
"Effect": "Allow",
"Action": [
"mobiletargeting:Get*",
"mobiletargeting:List*"
],
"Resource": "*"
},
{
"Sid": "ViewResourceIfOwner",
"Effect": "Allow",
"Action": [
"mobiletargeting:Get*",
"mobiletargeting:List*"
],
"Resource": "arn:aws:mobiletargeting:*:*:*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Owner": "{{userName}}"
},
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:*"
}
}
}
]
}
```
------
您可以将此策略附加到您的账户中的用户。如果名为 `richard-roe` 的用户想要查看某个 Amazon Pinpoint 资源，该资源必须标记为 `Owner=richard-roe` 或 `owner=richard-roe`。否则，将拒绝其访问。条件标签键 `Owner` 匹配 `Owner` 和 `owner`，因为条件键名称不区分大小写。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
## 示例：允许用户查看他们自己的权限
该示例展示了如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 示例：提供对 Amazon Pinpoint API 操作的访问权限
本节介绍允许访问 Amazon Pinpoint API（Amazon Pinpoint 的主要 API）所提供的功能的策略示例。要了解有关此 API 的更多信息，请参阅 [Amazon Pinpoint API 参考](https://docs.aws.amazon.com/pinpoint/latest/apireference/)。
### 只读访问权限
以下示例策略允许以只读方式访问您在特定 AWS 地区的 Amazon Pinpoint 账户中的所有资源。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ViewAllResources",
"Effect": "Allow",
"Action": [
"mobiletargeting:Get*",
"mobiletargeting:List*"
],
"Resource": "arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:*"
}
]
}
```
------
在前面的示例中，{{region}}替换为 AWS 区域的名称，然后{{accountId}}替换为您的 AWS 账户 ID。
### 管理员访问权限
以下示例策略允许对您的 Amazon Pinpoint 账户中的所有 Amazon Pinpoint 操作和资源进行完全访问：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "FullAccess",
"Effect": "Allow",
"Action": [
"mobiletargeting:*"
],
"Resource": "arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:*"
}
]
}
```
------
在前面的示例中，{{accountId}}替换为您的 AWS 账户 ID。
## 示例：提供对 Amazon Pinpoint SMS 和 Voice API 操作的访问权限
本节介绍允许访问 Amazon Pinpoint SMS 和 Voice API 提供的功能的策略示例。这是一个补充 API，它提供在 Amazon Pinpoint 中使用和管理短信和语音渠道的高级选项。要了解有关此 API 的更多信息，请参阅 [Amazon Pinpoint SMS 和 Voice API 参考](https://docs.aws.amazon.com/pinpoint-sms-voice/latest/APIReference/)。
### 只读访问权限
以下示例策略允许对您账户中的所有 Amazon Pinpoint 短信和语音 API 操作和资源进行只读访问： AWS
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "SMSVoiceReadOnly",
"Effect": "Allow",
"Action": [
"sms-voice:Get*",
"sms-voice:List*"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:sms-voice:{{us-east-1}}:{{111122223333}}:*"
}
}
}
]
}
```
------
### 管理员访问权限
以下示例策略允许完全访问您账户中的所有 Amazon Pinpoint 短信和语音 API 操作和资源： AWS
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "SMSVoiceFullAccess",
"Effect": "Allow",
"Action": [
"sms-voice:*"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:sms-voice:{{us-east-1}}:{{111122223333}}:*"
}
}
}
]
}
```
------
## 示例：将 Amazon Pinpoint 项目的访问权限限制为特定 IP 地址
以下示例策略向任何用户授予在指定项目上执行任何 Amazon Pinpoint 操作的权限 () {{projectId}}。但是，请求必须来自在条件中指定的 IP 地址范围。
此语句中的条件确定了允许的 Internet 协议版本 4 (IPv4) 地址的`54.240.143.*`范围，但有一个例外：`54.240.143.188`。该`Condition`块使用`IpAddress`和`NotIpAddress`条件和`aws:SourceIp`条件键，后者是一个 AWS宽范围的条件键。有关这些条件键的更多信息，请参阅《IAM 用户指南》中的[在策略中指定条件](https://docs.aws.amazon.com/AmazonS3/latest/userguide/amazon-s3-policy-keys.html)**。这些`aws:SourceIp` IPv4值使用标准的 CIDR 表示法。有关更多信息，请参阅《IAM 用户指南》中的 [IP 地址条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_IPAddress)**。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id":"AMZPinpointPolicyId1",
"Statement":[
{
"Sid":"IPAllow",
"Effect":"Allow",
"Principal":"*",
"Action":"mobiletargeting:*",
"Resource":[
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{projectId}}",
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{projectId}}/*"
],
"Condition":{
"IpAddress":{
"aws:SourceIp":"54.240.143.0/24"
},
"NotIpAddress":{
"aws:SourceIp":"54.240.143.188/32"
}
}
}
]
}
```
------
## 示例：基于标签限制 Amazon Pinpoint 的访问权限
以下示例策略授予对指定项目执行任何 Amazon Pinpoint 操作的权限 () {{projectId}}。但是，只有当请求来自其名称是项目的 `Owner` 资源标签中的值的用户（如条件中所指定）时，才会授予权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ModifyResourceIfOwner",
"Effect": "Allow",
"Action": "mobiletargeting:*",
"Resource": [
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{projectId}}",
"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{projectId}}/*"
],
"Condition": {
"StringEquals": {
"aws:ResourceTag/Owner": "{{userName}}"
}
}
}
]
}
```
------
## 示例：允许 Amazon Pinpoint 使用在 Amazon SES 中验证的身份发送电子邮件
当您通过 Amazon Pinpoint 控制台验证电子邮件身份（例如电子邮件地址或域）时，系统会自动配置该身份，以便 Amazon Pinpoint 和 Amazon SES 都可以使用该身份。但是，如果您通过 Amazon SES 验证电子邮件身份，并且想要在 Amazon Pinpoint 中使用该身份，则必须对该身份应用策略。
以下示例策略授予 Amazon Pinpoint 使用已通过 Amazon SES 验证的电子邮件身份发送电子邮件的权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"PinpointEmail",
"Effect":"Allow",
"Principal":{
"Service":"pinpoint.amazonaws.com"
},
"Action":"ses:*",
"Resource":"arn:aws:ses:{{us-east-1}}:{{111122223333}}:identity/{{emailId}}",
"Condition":{
"StringEquals":{
"aws:SourceAccount":"{{111122223333}}"
},
"ArnLike":{
"aws:SourceArn":"arn:aws:mobiletargeting:{{us-east-1}}:{{111122223333}}:apps/{{*}}"
}
}
}
]
}
```
------
如果您在 AWS GovCloud （美国西部）地区使用 Amazon Pinpoint，请改用以下政策示例：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"PinpointEmail",
"Effect":"Allow",
"Principal":{
"Service":"pinpoint.amazonaws.com"
},
"Action":"ses:*",
"Resource":"arn:aws-us-gov:ses:us-gov-west-1:{{111122223333}}:identity/{{emailId}}",
"Condition":{
"StringEquals":{
"aws:SourceAccount":"{{111122223333}}"
},
"ArnLike":{
"aws:SourceArn":"arn:aws-us-gov:mobiletargeting:us-gov-west-1:{{111122223333}}:apps/{{*}}"
}
}
}
]
}
```
------