Amazon Connect IAM-roller og klargøringspolitikker for Salesforce Voice

AWS IAM-rolle

Hvis du vil aktivere en betroet relation med Salesforce Management AWS-kontoen, skal du oprette en IAM-rolle (Identity and Access Management) under opsætning. Ved at bruge denne rolle konfigurerer Salesforce artefakter i din Amazon Connect-forekomst, der er påkrævet for Service Cloud Voice. Disse ressourcer er ikke-ødelæggende IAM-tilladelser, f.eks. resetPassword og slette- og deaktiver roller.

Hvis du vil definere adgang, skal du føje politikker til IAM-rollen. Kravene til denne rolle er baseret på disse principper.

• Efter princippet om mindste rettigheder tildelte vi denne rolle det mindste niveau af tilladelser, der er nødvendigt for at udføre dens job.
• Vi har opbygget tilstrækkelig fleksibilitet i denne rolle til at tilføje nye funktioner og forbedringer i fremtiden.
• For at reducere fodaftrykket er alle tilladelser og begrænsninger inkluderet i en IAM-rollepolitik: SCVProvisioningPolicy.json.
• Denne rolle inkluderer kun tilladelsen til de tjenester, der kræves af Service Cloud Voice. 
• Hvis du vil reducere sikkerhedsrisiko, der er knyttet til Salesforce Voice-provisioneringstjeneste, skal du tilføje en IAM-tilladelsesgrænse.

Se Konfigurer AWS IAM-rolle (Identity and Access Management) for Voice.

AWS IAM-rolle for GovCloud

Hvis du arbejder i det offentlige domæne i USA og bruger AWS GovCloud-området, skal du bruge den SCVGovProvisioningPolicy.json, der er tilgængelig på GitHub. Værdien af GOV prod MPA-konto-id skal være 383319876315.

Hvis du arbejder i det offentlige domæne i USA, men bruger den kommercielle AWS-konto, kan du bruge den generelle fil SCVProvisioningPolicy.json.

Jokeradgang

Afsnittet WildcardAccess viser alle ressourcer, der har jokertegnsfunktionshandlinger og jokertegnsressourceadgang. Politikkerne Ds (mappetjeneste) og Logs (cloud-overvågningslogfiler) kræver jokertegnsadgang til provisionering og kørselshandlinger.

Lambda-tjenesten har også jokertegnshandlinger.

Begivenhedsadgang

Afsnittet EventAccess definerer, hvem der har adgang til begivenhederne. Kun Lambda-funktionerne i Resource har adgang til begivenheder.

LambdaEventSourceAccess

Afsnittet LambdaEventSourceAccess viser, hvilke Lambda-funktioner der kan reagere på en begivenhed, der udløses af AWS-ressourcer. Du kan kun tilknytte de angivne Lambda-funktioner til begivenhedskilder. Du kan f.eks. tilknytte CTRStream-begivenhedskilden til CTRDataSyncFunction og S3-begivenhedskilden til VoiceMailAudioProcessingFunction.

LambdaAccess

Afsnittet LambdaAccess pålægger ressourcebaserede begrænsninger for adgangen til Lambda. Hvis du vil forhindre uønsket adgang til brugerdefinerede Lambda-funktioner, klargør og fungerer Salesforce kun med de angivne Lambda-funktioner.

S3Write

Afsnittet S3Write definerer politikken for de S3-relaterede handlinger. Service Cloud Voice-provisioneringstjeneste opretter to S3-inddelinger for din Salesforce-organisation. En inddeling lagrer samtalens lydoptagelsesfiler. Den anden lagrer al AWS-aktivitet, der er registreret af CloudTrail-tjenesten. IAM-politikker og -roller på denne side refererer til S3-inddelinger, der er påkrævede for at downloade Lambda-funktionskode og lagkode. 

ResourceBasedAccess

ResourceBasedAccess giver jokertegnsadgang til handlingerne i forskellige tjenester. Dette afsnit viser de almindelige ressourceudtryk (regexes), der kun er påkrævede for Salesforce Voice-provisioneringstjenesten. Disse ressourcer er i din AWS-konto med id-AWS_ACCOUNT_ID.

IAMAccess

Salesforce Voice-provisioneringstjeneste opretter Lambda-funktioner. Nogle funktioner er applikationsspecifikke, f.eks. pause og genoptagelse af opkaldsoptagelser og generering af forudsigede S3-legitimationsoplysninger til afspilning af lydoptagelser. Alle disse funktioner bruger IAM-rollen og er baseret på Salesforce-infrastruktursikkerhed. Salesforce Voice tilføjer påkrævede handlinger på IAM-roller. Den IAM-rolle, som du opretter, giver kun adgang til de IAM-rolleressourcer, som Salesforce Voice kræver. De er ikke-ødelæggende IAM-tilladelser, f.eks. resetPassword og slette- og deaktiver roller.

CloudformationAccess

Afsnittet CloudformationAccess viser alle AWS CloudFormation-handlinger, som Salesforce Voice kræver. Salesforce Voice klargør to Cloudformation-stakker. En stak er i us-east-1-området og opsætter AWS-infrastruktur på kontoniveau, f.eks. IAM-roller, identitetsudbyder og CloudTrail. Den anden stak er i kontaktcenterområdet efter dit valg. Denne CloudFormation-adgang er begrænset af begrænsningerne på ressourceniveau.

ConnectAccess

Afsnittet ConnectAccess giver detaljerede Amazon Connect-tilladelser, der er nødvendige for at drive kontaktcenteret.

IAM-politikker og -roller - matrix

Under provisionering oprettes disse IAM-politikker og -roller automatisk i din AWS-konto.

ssm:GetParameter*
ssm:PutParameter
ssm:DeleteParameter*

arn:aws:ssm:*:${AWS::AccountId}:parameter/*-salesforce-*
arn:aws:ssm:*:${AWS::AccountId}:parameter/*-scrt-jwt-auth-private-key

lambda:InvokeFunction
lambda:InvokeAsync
lambda:ListFunctions
lambda:AddPermission
lambda:RemovePermission

VoiceMailTranscribeFunction
ContactLensProcessorFunction
kvsTranscriber
kvsConsumerTrigger
InvokeTelephonyIntegrationApiFunction
ContactLensProcessorFunction
ContactLensConsumerFunction
CTRDataSyncFunction
InvokeSalesforceRestApiFunction
AuthKeysSSMUtilFunction
HandleContactEventsFunction
CustomSSMFunction
RealtimeAlert
ConnectConfigurationFunction
S3BucketPolicyConfigurationFunction
S3BucketPolicyConfigurationFunction
S3BucketEventBridgeConfigurationFunction
TDGConfigurationFunction
VoiceMailAudioProcessingFunction
VoiceMailTranscribeFunction
VoiceMailPackagingFunction

kms:CreateGrant
kms:DescribeKey
kms:ListAliases
kms:RetireGrant
kms:Decrypt
Resource:
alias/aws/kinesisvideo
alias/aws/lambda
alias/aws/ssm
Action:
kms:CreateGrant
kms:DescribeKey
kms:ListAliases
kms:RetireGrant
kms:Decrypt

KMS keys tagged with resourceOwner:scv

"connect:Get*",
"connect:List*",
"connect:Search*",
"connect:Describe*",
"connect:AssociateApprovedOrigin",
"connect:AssociateInstanceStorageConfig",
"connect:AssociateLambdaFunction",
"connect:AssociatePhoneNumberContactFlow",
"connect:AssociateQueueQuickConnects",
"connect:AssociateRoutingProfileQueues",
"connect:AssociateTrafficDistributionGroupUser",
"connect:CreateContactFlow",
"connect:CreateInstance",
"connect:CreateHoursOfOperation",
"connect:CreateContactFlowModule",
"connect:CreateQueue",
"connect:CreateQuickConnect",
"connect:CreateRoutingProfile",
"connect:CreateTrafficDistributionGroup",
"connect:CreateUser",
"connect:ReplicateInstance",
"connect:StartOutboundVoiceContact",
"connect:TagResource",
"connect:UpdateTrafficDistribution",
"connect:UpdateQuickConnectName",
"connect:UpdateInstanceAttribute",
"connect:UpdateHoursOfOperation",
"connect:UpdateQueueName",
"connect:DeleteQueue",
"connect:DeleteUser",
"connect:DisassociateLambdaFunction",
"connect:DisassociateApprovedOrigin",
"connect:DisassociateQueueQuickConnects",
"connect:DisassociateTrafficDistributionGroupUser"

"ssm:Describe*",
"ssm:Get*",
"ssm:List*",
"ssm:Put*",
"lambda:*"

"kinesis:DescribeStream",
"kinesis:DescribeStreamSummary",
"kinesis:GetRecords",
"kinesis:GetShardIterator",
"kinesis:ListShards",
"kinesis:ListStreams",
"kinesis:SubscribeToShard",
"kms:Decrypt",
"logs:CreateLogGroup",
"logs:CreateLogStream",
"logs:PutLogEvents",
"lambda:InvokeFunction"

"CTRStream",
"ContactLensStream"

secretsmanager:GetSecretValue  
secretsmanager:DescribeSecret  
secretsmanager:UpdateSecret    
secretsmanager:CreateSecret 

arn:${AWS::Partition}:secretsmanager:*:${AWS::AccountId}:secret:*-salesforce-*

IAM-roller med politikker, der er oprettet af Salesforce Voice-provisioneringstjeneste

Med undtagelse af nogle få IAM-roller opretter Salesforce Voice-provisioneringstjenesten IAM-rollerne på kørselstidspunktet. Provisioneringstjenesten opretter rollerne SCVIDPLambdaRole, SCVAmazonConnectManagementRole, SCVConnectConfiguratorLambdaRole under opsætning.

{
"Action": "connect:GetFederationToken",
"Resource": [
"arn:aws:connect:*:403503132786:instance/83ccfc13-d248-4768-af7c-9970643cb520/user/${aws:userid}"
],
"Effect": "Allow",
"Sid": "ConnectSSOPolicySid"
}

{
"Action": [
"connect:SuspendContactRecording",
"connect:ResumeContactRecording"
],
"Resource": "arn:aws:connect:*:AWS ACCOUNT NUMBER :instance/AMAZON CONNECT INSTANCE ID/contact/*",
"Effect": "Allow",
"Sid": "ConnectCallRoleSid"
}

Tilladelsesgrænse

Nogle ressourcer har jokertegnsadgang og servicehandlinger. Hvis du vil opsætte en tættere adgang, skal du oprette tilladelsesgrænser.