java访问控制策略,访问控制策略 - 适用于 Java 的 AWS 开发工具包

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

访问控制策略

利用 AWS 访问控制策略，您可以指定对 AWS 资源的精细访问控制。访问控制策略包含一组语句，其形式如下：

账户 A 有权对应用了条件 D 的资源 C 执行操作 B。

其中：

A 是委托人 – 发出访问或修改某个 AWS 资源的请求的 AWS 账户。

B 是操作 – 访问或修改 AWS 资源的方式，例如，将消息发送到 Amazon SQS 队列或在 Amazon S3 存储桶中存储对象。

C 是资源 – 委托人希望访问的 AWS 实体，例如 Amazon SQS 队列或存储在 Amazon S3 中的对象。

D 是一组条件 – 指定何时允许或拒绝委托人访问资源的可选约束。有许多富有表现力的条件，还有一些特定于每项服务的条件。例如，您可以使用日期条件以仅允许在特定时间之后或之前访问资源。

Amazon S3 示例

以下示例说明一个策略，该策略向任何人授予读取某个存储桶中所有对象的权限，但仅允许两个特定的 AWS 账户(除了存储桶所有者的账户之外)将对象上传到该存储桶。

Statement allowPublicReadStatement = new Statement(Effect.Allow)

.withPrincipals(Principal.AllUsers)

.withActions(S3Actions.GetObject)

.withResources(new S3ObjectResource(myBucketName, "*"));

Statement allowRestrictedWriteStatement = new Statement(Effect.Allow)

.withPrincipals(new Principal("123456789"), new Principal("876543210"))

.withActions(S3Actions.PutObject)

.withResources(new S3ObjectResource(myBucketName, "*"));

Policy policy = new Policy()

.withStatements(allowPublicReadStatement, allowRestrictedWriteStatement);

AmazonS3 s3 = AmazonS3ClientBuilder.defaultClient();

s3.setBucketPolicy(myBucketName, policy.toJson());

Amazon SQS 示例

策略的一种常见用途是，授权 Amazon SQS 队列接收来自 Amazon SNS 主题的消息。

Policy policy = new Policy().withStatements(

new Statement(Effect.Allow)

.withPrincipals(Principal.AllUsers)

.withActions(SQSActions.SendMessage)

.withConditions(ConditionFactory.newSourceArnCondition(myTopicArn)));

Map queueAttributes = new HashMap();

queueAttributes.put(QueueAttributeName.Policy.toString(), policy.toJson());

AmazonSQS sqs = AmazonSQSClientBuilder.defaultClient();

sqs.setQueueAttributes(new SetQueueAttributesRequest(myQueueUrl, queueAttributes));

Amazon SNS 示例

一些服务提供可用于策略的其他条件。Amazon SNS 提供用于根据主题订阅请求的协议(例如，电子邮件、HTTP、HTTPS、Amazon SQS)和终端节点(例如，电子邮件地址、URL、Amazon

SQS ARN)允许或拒绝订阅 SNS 主题的条件。

Condition endpointCondition =

SNSConditionFactory.newEndpointCondition("*@mycompany.com");

Policy policy = new Policy().withStatements(

new Statement(Effect.Allow)

.withPrincipals(Principal.AllUsers)

.withActions(SNSActions.Subscribe)

.withConditions(endpointCondition));

AmazonSNS sns = AmazonSNSClientBuilder.defaultClient();

sns.setTopicAttributes(

new SetTopicAttributesRequest(myTopicArn, "Policy", policy.toJson()));