Permisos de Email

La administración de identidades, el envío, el diagnóstico y el acceso a mensajes recibidos tienen acciones IAM separadas. La tabla incluye el permiso adicional sobre el tema necesario al guardar una regla de correo entrante.

Acciones

La referencia de endpoints describe campos y respuestas. Esta tabla relaciona cada llamada con su acción IAM.

Llamada	Acción necesaria
`GET /v1/identities/{identity_id}/receiving`	`email:GetReceivingConfiguration`
`PATCH /v1/identities/{identity_id}/receiving`	`email:UpdateReceivingConfiguration`
`GET /v1/received-messages`	`email:ListReceivedMessages`
`GET /v1/received-messages/{message_id}`	`email:DescribeReceivedMessage`
`GET /v1/received-messages/{message_id}/content`	`email:GetReceivedMessageContent`
`GET /v1/identities`	`email:ListIdentities`
`POST /v1/identities`	`email:CreateIdentity`
`GET /v1/identities/{identity_id}`	`email:DescribeIdentity`
`DELETE /v1/identities/{identity_id}`	`email:DeleteIdentity`
`PATCH /v1/identities/{identity_id}`	`email:UpdateIdentity`
`POST /v1/identities/{identity_id}/verify`	`email:VerifyIdentity`
`POST /v1/identities/{identity_id}/dkim/rotate`	`email:RotateDKIM`
`DELETE /v1/identities/{identity_id}/dkim/rotate`	`email:RotateDKIM`
`POST /v1/identities/{identity_id}/dkim/rotate/finalize`	`email:RotateDKIM`
`PATCH /v1/identities/{identity_id}/mail-from-domain`	`email:SetMailFromDomain`
`POST /v1/identities/{identity_id}/mail-from-domain/verify`	`email:VerifyMailFromDomain`
`PATCH /v1/identities/{identity_id}/bimi`	`email:SetBIMI`
`POST /v1/identities/{identity_id}/bimi/verify`	`email:VerifyBIMI`
`GET /v1/sent-messages`	`email:ListMessages`
`POST /v1/sent-messages`	`email:SendMessage`
`GET /v1/sent-messages/{message_id}`	`email:DescribeMessage`
`GET /v1/sent-messages/{message_id}/engagement`	`email:GetMessageEngagement`
`GET /v1/rejections`	`email:ListRejections`
`GET /v1/suppressions`	`email:ListSuppressions`
`POST /v1/suppressions`	`email:CreateSuppression`
`GET /v1/templates`	`email:ListTemplates`
`POST /v1/templates`	`email:CreateTemplate`
`GET /v1/templates/{template_id}`	`email:DescribeTemplate`
`PATCH /v1/templates/{template_id}`	`email:UpdateTemplate`
`DELETE /v1/templates/{template_id}`	`email:DeleteTemplate`
`GET /v1/configuration-sets`	`email:ListConfigurationSets`
`POST /v1/configuration-sets`	`email:CreateConfigurationSet`
`GET /v1/configuration-sets/{configuration_set_id}`	`email:DescribeConfigurationSet`
`PATCH /v1/configuration-sets/{configuration_set_id}`	`email:UpdateConfigurationSet`
`DELETE /v1/configuration-sets/{configuration_set_id}`	`email:DeleteConfigurationSet`
`POST /v1/configuration-sets/{configuration_set_id}/suppression-overrides`	`email:UpdateConfigurationSet`
`DELETE /v1/configuration-sets/{configuration_set_id}/suppression-overrides/{address}`	`email:UpdateConfigurationSet`
`GET /v1/ip-pools`	`email:ListIPPools`
`POST /v1/ip-pools`	`email:CreateIPPool`
`GET /v1/ip-pools/{ip_pool_id}`	`email:DescribeIPPool`
`PATCH /v1/ip-pools/{ip_pool_id}`	`email:UpdateIPPool`
`DELETE /v1/ip-pools/{ip_pool_id}`	`email:DeleteIPPool`
`GET /v1/dedicated-ips`	`email:ListDedicatedIPs`
`POST /v1/dedicated-ips`	`email:RequestDedicatedIP`
`GET /v1/dedicated-ips/{dedicated_ip_id}`	`email:DescribeDedicatedIP`
`PATCH /v1/dedicated-ips/{dedicated_ip_id}`	`email:UpdateDedicatedIP`
`DELETE /v1/dedicated-ips/{dedicated_ip_id}`	`email:ReleaseDedicatedIP`
`GET /v1/identities/{identity_id}/recipient-rules`	`email:ListRecipientRules`
`POST /v1/identities/{identity_id}/recipient-rules`	`notifications:Publish`
`GET /v1/identities/{identity_id}/recipient-rules/{rule_id}`	`email:DescribeRecipientRule`
`PATCH /v1/identities/{identity_id}/recipient-rules/{rule_id}`	`email:UpdateRecipientRule`
`DELETE /v1/identities/{identity_id}/recipient-rules/{rule_id}`	`email:DeleteRecipientRule`
`GET /v1/sent-messages/{message_id}/content`	`email:GetSentMessageContent`
`GET /v1/sent-messages/{message_id}/raw`	`email:GetSentMessageContent`
`GET /v1/sent-messages/{message_id}/attachments/{attachment_id}`	`email:GetSentMessageContent`
`GET /v1/received-messages/{message_id}/raw`	`email:GetReceivedMessageContent`
`GET /v1/received-messages/{message_id}/attachments/{attachment_id}`	`email:GetReceivedMessageContent`
`POST /v1/sent-messages/batch`	`email:SendMessage`
`GET /v1/suppressions/{suppression_id}`	`email:DescribeSuppression`
`PATCH /v1/suppressions/{suppression_id}`	`email:UpdateSuppression`
`DELETE /v1/suppressions/{suppression_id}`	`email:DeleteSuppression`
`GET /v1/identities/{identity_id}/dmarc-reports`	`email:ListDMARCReports`

Las reglas de recepción requieren dos permisos

Guardar una regla de destinatario requiere email:CreateRecipientRule sobre la identidad y notifications:Publish sobre el tema de destino. El tema debe pertenecer a la misma cuenta. Una denegación explícita en su política de recursos también bloquea la regla.

Los metadatos y el contenido están separados

email:DescribeReceivedMessage lee metadatos de mensajes recibidos. email:GetReceivedMessageContent lee el contenido y descarga adjuntos. Conceda la acción de contenido solo a quienes necesiten acceder al correo en sí. Las URL de seguimiento de aperturas y clics son usadas por los clientes de correo y navegadores de los destinatarios. No son operaciones de administración.

Telemetry

Los gráficos de Email usan telemetry:ReadMetrics. Este permiso es independiente de email:DescribeIdentity y de las acciones de diagnóstico de Email. Consulte Métricas de Email para los nombres y el alcance de las métricas.

Ejemplo de política

Esta política concede solo las lecturas de colecciones indicadas. No permite enviar mensajes ni administrar recursos.

{
  "version": "2024-01-01",
  "statements": [
    {
      "effect": "allow",
      "actions": [
        "email:ListIdentities",
        "email:ListTemplates"
      ],
      "resources": [
        "*"
      ]
    }
  ]
}

Consulte Políticas IAM para la evaluación de políticas y Email para una descripción del servicio.

Buckets de adjuntos

Seleccionar un bucket de recepción requiere storage:PutObject y storage:GetObject sobre sus objetos email/{identity_id}/*. Esto crea una delegación delimitada para procesar correos; siguen aplicándose las políticas actuales de identidad, los límites de permisos, las políticas del bucket y las restricciones de sesión. Los fallos de acceso al bucket aplazan la entrega entrante. Enviar un objeto existente requiere storage:GetObject sobre él. Enviar adjuntos MIME sin procesar a attachments_bucket requiere ambas operaciones bajo email/{identity_id}/sent/*. Los buckets de clientes deben estar en la misma cuenta y región. Los permisos de contenido de mensajes no conceden acceso general a otros objetos del bucket. El contenido de plantilla requiere email:SendMessage sobre la identidad y email:SendTemplatedMessage sobre la plantilla, tanto para envíos individuales como por lotes. Las denegaciones explícitas se aplican a ambos recursos. Actualizar una regla de destinatario requiere email:UpdateRecipientRule y permiso de publicación sobre su tema de destino.

Primeros pasos

Productos

Plataforma

Ayuda

Permisos de Email

Acciones

Las reglas de recepción requieren dos permisos

Los metadatos y el contenido están separados

Telemetry

Ejemplo de política

Buckets de adjuntos

​Acciones

​Las reglas de recepción requieren dos permisos

​Los metadatos y el contenido están separados

​Telemetry

​Ejemplo de política

​Buckets de adjuntos

Acciones

Las reglas de recepción requieren dos permisos

Los metadatos y el contenido están separados

Telemetry

Ejemplo de política

Buckets de adjuntos