Amazon SQS 策略的基本示例 - Amazon Simple Queue Service
示例 1：向一个人授予一项权限Amazon Web Services 账户示例 2：向其中一个授予两个权限Amazon Web Services 账户示例 3：将所有权限授予两个Amazon Web Services 账户示例 4：向角色和用户名授予跨账户权限示例 5：向所有用户授予权限示例 6：向所有用户授予限时权限示例 7：向 CIDR 范围内的所有用户授予所有权限示例 8：不同 CIDR 范围内的用户的白名单和封禁列表权限
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon SQS 策略的基本示例

本部分显示了常见 Amazon SQS 用例的示例策略。

在将每个策略附加到用户时，可使用控制台验证该策略的效果。最初，用户没有权限并且无法在控制台中执行任何操作。在将策略附加到用户时，可以验证用户是否能在控制台中执行各种操作。

注意

建议使用两个浏览器窗口：一个浏览器窗口用于授予权限，另一个浏览器窗口用于使用用户凭证登录 Amazon Web Services Management Console，以便在向用户授予权限时验证这些权限。

示例 1：向一个人授予一项权限Amazon Web Services 账户

以下示例策略授权Amazon Web Services 账户号码111122223333这SendMessage名为的队列的权限444455556666/queue1在美国东部（俄亥俄）区域。

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_SendMessage",
      "Effect": "Allow",
      "Principal": {
         "AWS": [ 
            "111122223333"
         ]
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:us-east-2:444455556666:queue1"
   }]  
}

示例 2：向其中一个授予两个权限Amazon Web Services 账户

以下示例策略授权Amazon Web Services 账户号码111122223333两者都是SendMessage和ReceiveMessage名为的队列的权限444455556666/queue1.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_Send_Receive",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333"
         ]
      },
      "Action": [
         "sqs:SendMessage",
         "sqs:ReceiveMessage"
      ],
      "Resource": "arn:aws:sqs:*:444455556666:queue1"
   }]
}

示例 3：将所有权限授予两个Amazon Web Services 账户

以下示例策略授予两种不同的权限Amazon Web Services 账户数字 (111122223333和444455556666) 允许使用 Amazon SQS 允许共享访问名为的队列的所有操作123456789012/queue1在美国东部（俄亥俄）区域。

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333",
            "444455556666"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

示例 4：向角色和用户名授予跨账户权限

以下示例策略授权role1和username1下Amazon Web Services 账户号码111122223333使用 Amazon SQS 允许共享访问名为的队列的所有操作的跨账户权限123456789012/queue1在美国东部（俄亥俄）区域。

跨账户权限不能应用于以下操作：

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "arn:aws:iam::111122223333:role/role1",
            "arn:aws:iam::111122223333:user/username1"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

示例 5：向所有用户授予权限

以下示例策略向所有用户 (匿名用户) 授予对名为 111122223333/queue1 的队列的 ReceiveMessage 权限。

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1"
   }]
}

示例 6：向所有用户授予限时权限

以下示例策略向所有用户 (匿名用户) 授予对名为 111122223333/queue1 的队列的 ReceiveMessage 权限，但有效时间仅限于 2009 年 1 月 31 日中午 12:00 至下午 3:00 期间。

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage_TimeLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "DateGreaterThan" : {
            "aws:CurrentTime":"2009-01-31T12:00Z"
         },
         "DateLessThan" : {
            "aws:CurrentTime":"2009-01-31T15:00Z"
         }
      }
   }]
}

示例 7：向 CIDR 范围内的所有用户授予所有权限

以下示例策略向所有用户（匿名用户）授予使用所有可能的 Amazon SQS 操作的权限，这些操作可以共享给名为的队列111122223333/queue1，但前提是请求来自192.0.2.0/24CIDR 范围。

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_AllActions_AllowlistIP",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         }
      }
   }]
}

示例 8：不同 CIDR 范围内的用户的白名单和封禁列表权限

以下策略示例具有两项陈述：

  • 第一个语句向 192.0.2.0/24 CIDR 范围 (192.0.2.188 除外) 内的所有用户 (匿名用户) 授予对名为 111122223333/queue1 的队列使用 SendMessage 操作的权限。

  • 第二个语句阻止 12.148.72.0/23 CIDR 范围内的所有用户 (匿名用户) 使用该队列。

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_SendMessage_IPLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         },
         "NotIpAddress" : {
            "aws:SourceIp":"192.0.2.188/32"
         }
      }
   }, {
      "Sid":"Queue1_AnonymousAccess_AllActions_IPLimit_Deny",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"12.148.72.0/23"
         }
      }
   }]
}