Роли Amazon Connect IAM и политики инициализации для Service Cloud Voice

Роль AWS IAM

Чтобы включить надежную взаимосвязь с организацией Salesforce Management AWS, создайте роль управления идентификацией и доступом (IAM) во время настройки. Используя эту роль, Salesforce настраивает артефакты в экземпляре Amazon Connect, необходимые для Service Cloud Voice. Эти ресурсы являются неразрушающими полномочиями IAM, например resetPassword и удаление и деактивация ролей.

Чтобы определить доступ, добавьте политики к роли IAM. Требования к этой роли основаны на следующих принципах.

• Следуя принципу наименьших прав, мы предоставили этой роли минимальный уровень полномочий, необходимый для выполнения ее работы.
• Мы заложили достаточную гибкость в эту роль, чтобы добавить новые функции и улучшения в будущем.
• Чтобы уменьшить влияние, все полномочия и ограничения включены в одну политику роли IAM: SCVProvisioningPolicy.json.
• Эта роль содержит только полномочие на службы, необходимые Service Cloud Voice. 
• Чтобы уменьшить риск безопасности, связанный со службой инициализации Service Cloud Voice, добавьте границу полномочий IAM.

См. Настройка роли управления идентификацией и доступом AWS (IAM) для Voice.

Роль AWS IAM для GovCloud

Если вы работаете в общедоступном домене в США и используете регион AWS GovCloud, используйте файл SCVGovProvisioningPolicy.json, доступный на GitHub. Значение кода организации MPA продукта GOV должно быть 383319876315.

Если вы работаете в общедоступном домене в США, но используете коммерческую организацию AWS, используйте общий файл SCVProvisioningPolicy.json.

Доступ к специальным символам

Раздел «WildcardAccess» содержит все ресурсы с действиями службы специальных символов и доступом к ресурсам специальных символов. Политики ds (служба каталога) и журналов (журналы облачного наблюдения) требуют доступа к специальным символам для инициализации и действий среды выполнения.

Лямбда-служба также использует специальные действия.

Доступ к событиям

Раздел «EventAccess» определяет пользователей, имеющих доступ к событиям. Только лямбда-функции в разделе Resource имеют доступ к событиям.

LambdaEventSourceAccess

Раздел «LambdaEventSourceAccess» содержит лямбда-функции, которые могут действовать на событие, запущенное ресурсами AWS. Вы можете соотнести только указанные лямбда-функции с источниками событий. Например, можно соотнести источник события CTRStream с CTRDataSyncFunction, а источник события S3 с VoiceMailAudioProcessingFunction.

Лямбда-доступ

Раздел «LambdaAccess» устанавливает ограничения доступа на основе ресурсов к лямбда-функциям. Чтобы предотвратить нежелательный доступ к заданным пользователем лямбда-функциям, Salesforce инициализирует и работает только с указанными лямбда-функциями.

S3Write

Раздел S3Write определяет политику действий, связанных с S3. Служба инициализации Service Cloud Voice создает два сегмента S3 для организации Salesforce. Одна область сохраняет файлы аудиозаписи разговора. Второй сохраняет все действия AWS, собранные службой CloudTrail. Матрица политик и ролей IAM на этой странице ссылается на сегменты S3, необходимые для загрузки кода лямбда-функции и кода слоя. 

ResourceBasedAccess

Раздел ResourceBasedAccess предоставляет специальный доступ к действиям разных служб. Данный раздел содержит регулярные выражения (регексы) ресурса, обязательные только для службы инициализации Service Cloud Voice. Эти ресурсы находятся в организации AWS с AWS_ACCOUNT_ID кода.

IAMAccess

Служба инициализации Service Cloud Voice создает лямбда-функции. Некоторые функции характерны для приложения, например, приостановка и возобновление записей вызовов и создание предварительно подписанных регистрационных данных S3 для воспроизведения аудиозаписей. Все эти функции используют роль IAM и основаны на безопасности инфраструктуры Salesforce. Service Cloud Voice добавляет обязательные действия для ролей IAM. Созданная роль IAM предоставляет доступ только к тем ресурсам роли IAM, которые требуются Service Cloud Voice. Это неразрушающие полномочия IAM, например resetPassword и удаление и деактивация ролей.

CloudformationAccess

Раздел CloudformationAccess содержит все действия AWS CloudFormation, необходимые Service Cloud Voice. Service Cloud Voice инициализирует два стека Cloudformation. Один ярус находится в регионе us-east-1 и настраивает инфраструктуру уровня организации AWS, например, «Роли IAM», «Поставщик удостоверений» и CloudTrail. Другой ярус находится в выбранной области контактного центра. Этот доступ CloudFormation ограничен ограничениями на уровне ресурса.

ConnectAccess

Раздел ConnectAccess предоставляет точные полномочия Amazon Connect, необходимые для работы контактного центра.

Матрица политик и ролей IAM

Во время инициализации эти политики и роли IAM создаются автоматически в организации AWS.

ssm:GetParameter*
ssm:PutParameter
ssm:DeleteParameter*

arn:aws:ssm:*:${AWS::AccountId}:parameter/*-salesforce-*
arn:aws:ssm:*:${AWS::AccountId}:parameter/*-scrt-jwt-auth-private-key

lambda:InvokeFunction
lambda:InvokeAsync
lambda:ListFunctions
lambda:AddPermission
lambda:RemovePermission

VoiceMailTranscribeFunction
ContactLensProcessorFunction
kvsTranscriber
kvsConsumerTrigger
InvokeTelephonyIntegrationApiFunction
ContactLensProcessorFunction
ContactLensConsumerFunction
CTRDataSyncFunction
InvokeSalesforceRestApiFunction
AuthKeysSSMUtilFunction
HandleContactEventsFunction
CustomSSMFunction
RealtimeAlert
ConnectConfigurationFunction
S3BucketPolicyConfigurationFunction
S3BucketPolicyConfigurationFunction
S3BucketEventBridgeConfigurationFunction
TDGConfigurationFunction
VoiceMailAudioProcessingFunction
VoiceMailTranscribeFunction
VoiceMailPackagingFunction

kms:CreateGrant
kms:DescribeKey
kms:ListAliases
kms:RetireGrant
kms:Decrypt
Resource:
alias/aws/kinesisvideo
alias/aws/lambda
alias/aws/ssm
Action:
kms:CreateGrant
kms:DescribeKey
kms:ListAliases
kms:RetireGrant
kms:Decrypt

KMS keys tagged with resourceOwner:scv

"connect:Get*",
"connect:List*",
"connect:Search*",
"connect:Describe*",
"connect:AssociateApprovedOrigin",
"connect:AssociateInstanceStorageConfig",
"connect:AssociateLambdaFunction",
"connect:AssociatePhoneNumberContactFlow",
"connect:AssociateQueueQuickConnects",
"connect:AssociateRoutingProfileQueues",
"connect:AssociateTrafficDistributionGroupUser",
"connect:CreateContactFlow",
"connect:CreateInstance",
"connect:CreateHoursOfOperation",
"connect:CreateContactFlowModule",
"connect:CreateQueue",
"connect:CreateQuickConnect",
"connect:CreateRoutingProfile",
"connect:CreateTrafficDistributionGroup",
"connect:CreateUser",
"connect:ReplicateInstance",
"connect:StartOutboundVoiceContact",
"connect:TagResource",
"connect:UpdateTrafficDistribution",
"connect:UpdateQuickConnectName",
"connect:UpdateInstanceAttribute",
"connect:UpdateHoursOfOperation",
"connect:UpdateQueueName",
"connect:DeleteQueue",
"connect:DeleteUser",
"connect:DisassociateLambdaFunction",
"connect:DisassociateApprovedOrigin",
"connect:DisassociateQueueQuickConnects",
"connect:DisassociateTrafficDistributionGroupUser"

"ssm:Describe*",
"ssm:Get*",
"ssm:List*",
"ssm:Put*",
"lambda:*"

"kinesis:DescribeStream",
"kinesis:DescribeStreamSummary",
"kinesis:GetRecords",
"kinesis:GetShardIterator",
"kinesis:ListShards",
"kinesis:ListStreams",
"kinesis:SubscribeToShard",
"kms:Decrypt",
"logs:CreateLogGroup",
"logs:CreateLogStream",
"logs:PutLogEvents",
"lambda:InvokeFunction"

"CTRStream",
"ContactLensStream"

secretsmanager:GetSecretValue  
secretsmanager:DescribeSecret  
secretsmanager:UpdateSecret    
secretsmanager:CreateSecret 

arn:${AWS::Partition}:secretsmanager:*:${AWS::AccountId}:secret:*-salesforce-*

Роли IAM с политиками, созданными службой инициализации Service Cloud Voice

За исключением нескольких ролей IAM, служба инициализации Service Cloud Voice создает роли IAM во время выполнения. Служба инициализации создает роли SCVIDPLambdaRole, SCVAmazonConnectManagementRole, SCVConnectConfiguratorLambdaRole во время настройки.

{
"Action": "connect:GetFederationToken",
"Resource": [
"arn:aws:connect:*:403503132786:instance/83ccfc13-d248-4768-af7c-9970643cb520/user/${aws:userid}"
],
"Effect": "Allow",
"Sid": "ConnectSSOPolicySid"
}

{
"Action": [
"connect:SuspendContactRecording",
"connect:ResumeContactRecording"
],
"Resource": "arn:aws:connect:*:AWS ACCOUNT NUMBER :instance/AMAZON CONNECT INSTANCE ID/contact/*",
"Effect": "Allow",
"Sid": "ConnectCallRoleSid"
}

Граница полномочий

Некоторые ресурсы имеют специальный доступ и действия обслуживания. Чтобы настроить более жесткий доступ, создайте границы полномочий.