Permissões de Email

Gerenciamento de identidades, envio, diagnóstico e acesso a mensagens recebidas têm ações IAM separadas. A tabela inclui a permissão adicional no tópico necessária ao salvar uma regra de email recebido.

Ações

A referência dos endpoints descreve campos e respostas. Esta tabela relaciona cada chamada à ação IAM.

Chamada	Ação necessária
`GET /v1/identities/{identity_id}/receiving`	`email:GetReceivingConfiguration`
`PATCH /v1/identities/{identity_id}/receiving`	`email:UpdateReceivingConfiguration`
`GET /v1/received-messages`	`email:ListReceivedMessages`
`GET /v1/received-messages/{message_id}`	`email:DescribeReceivedMessage`
`GET /v1/received-messages/{message_id}/content`	`email:GetReceivedMessageContent`
`GET /v1/identities`	`email:ListIdentities`
`POST /v1/identities`	`email:CreateIdentity`
`GET /v1/identities/{identity_id}`	`email:DescribeIdentity`
`DELETE /v1/identities/{identity_id}`	`email:DeleteIdentity`
`PATCH /v1/identities/{identity_id}`	`email:UpdateIdentity`
`POST /v1/identities/{identity_id}/verify`	`email:VerifyIdentity`
`POST /v1/identities/{identity_id}/dkim/rotate`	`email:RotateDKIM`
`DELETE /v1/identities/{identity_id}/dkim/rotate`	`email:RotateDKIM`
`POST /v1/identities/{identity_id}/dkim/rotate/finalize`	`email:RotateDKIM`
`PATCH /v1/identities/{identity_id}/mail-from-domain`	`email:SetMailFromDomain`
`POST /v1/identities/{identity_id}/mail-from-domain/verify`	`email:VerifyMailFromDomain`
`PATCH /v1/identities/{identity_id}/bimi`	`email:SetBIMI`
`POST /v1/identities/{identity_id}/bimi/verify`	`email:VerifyBIMI`
`GET /v1/sent-messages`	`email:ListMessages`
`POST /v1/sent-messages`	`email:SendMessage`
`GET /v1/sent-messages/{message_id}`	`email:DescribeMessage`
`GET /v1/sent-messages/{message_id}/engagement`	`email:GetMessageEngagement`
`GET /v1/rejections`	`email:ListRejections`
`GET /v1/suppressions`	`email:ListSuppressions`
`POST /v1/suppressions`	`email:CreateSuppression`
`GET /v1/templates`	`email:ListTemplates`
`POST /v1/templates`	`email:CreateTemplate`
`GET /v1/templates/{template_id}`	`email:DescribeTemplate`
`PATCH /v1/templates/{template_id}`	`email:UpdateTemplate`
`DELETE /v1/templates/{template_id}`	`email:DeleteTemplate`
`GET /v1/configuration-sets`	`email:ListConfigurationSets`
`POST /v1/configuration-sets`	`email:CreateConfigurationSet`
`GET /v1/configuration-sets/{configuration_set_id}`	`email:DescribeConfigurationSet`
`PATCH /v1/configuration-sets/{configuration_set_id}`	`email:UpdateConfigurationSet`
`DELETE /v1/configuration-sets/{configuration_set_id}`	`email:DeleteConfigurationSet`
`POST /v1/configuration-sets/{configuration_set_id}/suppression-overrides`	`email:UpdateConfigurationSet`
`DELETE /v1/configuration-sets/{configuration_set_id}/suppression-overrides/{address}`	`email:UpdateConfigurationSet`
`GET /v1/ip-pools`	`email:ListIPPools`
`POST /v1/ip-pools`	`email:CreateIPPool`
`GET /v1/ip-pools/{ip_pool_id}`	`email:DescribeIPPool`
`PATCH /v1/ip-pools/{ip_pool_id}`	`email:UpdateIPPool`
`DELETE /v1/ip-pools/{ip_pool_id}`	`email:DeleteIPPool`
`GET /v1/dedicated-ips`	`email:ListDedicatedIPs`
`POST /v1/dedicated-ips`	`email:RequestDedicatedIP`
`GET /v1/dedicated-ips/{dedicated_ip_id}`	`email:DescribeDedicatedIP`
`PATCH /v1/dedicated-ips/{dedicated_ip_id}`	`email:UpdateDedicatedIP`
`DELETE /v1/dedicated-ips/{dedicated_ip_id}`	`email:ReleaseDedicatedIP`
`GET /v1/identities/{identity_id}/recipient-rules`	`email:ListRecipientRules`
`POST /v1/identities/{identity_id}/recipient-rules`	`notifications:Publish`
`GET /v1/identities/{identity_id}/recipient-rules/{rule_id}`	`email:DescribeRecipientRule`
`PATCH /v1/identities/{identity_id}/recipient-rules/{rule_id}`	`email:UpdateRecipientRule`
`DELETE /v1/identities/{identity_id}/recipient-rules/{rule_id}`	`email:DeleteRecipientRule`
`GET /v1/sent-messages/{message_id}/content`	`email:GetSentMessageContent`
`GET /v1/sent-messages/{message_id}/raw`	`email:GetSentMessageContent`
`GET /v1/sent-messages/{message_id}/attachments/{attachment_id}`	`email:GetSentMessageContent`
`GET /v1/received-messages/{message_id}/raw`	`email:GetReceivedMessageContent`
`GET /v1/received-messages/{message_id}/attachments/{attachment_id}`	`email:GetReceivedMessageContent`
`POST /v1/sent-messages/batch`	`email:SendMessage`
`GET /v1/suppressions/{suppression_id}`	`email:DescribeSuppression`
`PATCH /v1/suppressions/{suppression_id}`	`email:UpdateSuppression`
`DELETE /v1/suppressions/{suppression_id}`	`email:DeleteSuppression`
`GET /v1/identities/{identity_id}/dmarc-reports`	`email:ListDMARCReports`

Regras de recebimento exigem duas permissões

Salvar uma regra de destinatário exige email:CreateRecipientRule na identidade e notifications:Publish no tópico de destino. O tópico deve pertencer à mesma conta. Uma negação explícita na política do recurso também bloqueia a regra.

Metadados e conteúdo são separados

email:DescribeReceivedMessage lê metadados de mensagens recebidas. email:GetReceivedMessageContent lê o conteúdo e baixa anexos. Conceda a ação de conteúdo somente a quem precisa acessar o email em si. URLs de rastreamento de aberturas e cliques são usadas pelos clientes de email e navegadores dos destinatários. Elas não são operações de gerenciamento.

Telemetry

Os gráficos de Email usam telemetry:ReadMetrics. Essa permissão é separada de email:DescribeIdentity e das ações de diagnóstico de Email. Consulte Métricas de Email para nomes e escopo das métricas.

Exemplo de política

Esta política concede somente as leituras de coleções listadas. Não permite enviar mensagens ou gerenciar recursos.

{
  "version": "2024-01-01",
  "statements": [
    {
      "effect": "allow",
      "actions": [
        "email:ListIdentities",
        "email:ListTemplates"
      ],
      "resources": [
        "*"
      ]
    }
  ]
}

Consulte Políticas IAM para a avaliação de políticas e Email para uma visão geral do serviço.

Buckets de anexos

Selecionar um bucket de recebimento exige storage:PutObject e storage:GetObject nos objetos email/{identity_id}/*. Isso cria uma delegação delimitada para processar emails; políticas atuais da identidade, limites de permissões, políticas do bucket e restrições da sessão continuam valendo. Falhas de acesso ao bucket adiam a entrega recebida. Enviar um objeto existente exige storage:GetObject nele. Enviar anexos MIME brutos para attachments_bucket exige ambas as operações em email/{identity_id}/sent/*. Buckets de clientes devem estar na mesma conta e região. Permissões de conteúdo de mensagens não concedem acesso geral a outros objetos do bucket. Conteúdo de template exige email:SendMessage na identidade e email:SendTemplatedMessage no template, tanto para envios individuais quanto em lote. Negações explícitas se aplicam aos dois recursos. Atualizar uma regra de destinatário exige email:UpdateRecipientRule e permissão de publicação no tópico de destino.

Primeiros passos

Produtos

Plataforma

Ajuda

Permissões de Email

Ações

Regras de recebimento exigem duas permissões

Metadados e conteúdo são separados

Telemetry

Exemplo de política

Buckets de anexos

​Ações

​Regras de recebimento exigem duas permissões

​Metadados e conteúdo são separados

​Telemetry

​Exemplo de política

​Buckets de anexos

Ações

Regras de recebimento exigem duas permissões

Metadados e conteúdo são separados

Telemetry

Exemplo de política

Buckets de anexos