Zugriff auf Amazon Q Developer mit Richtlinien verwalten

Standardmäßig sind Benutzer und Rollen nicht berechtigt, Amazon Q zu verwenden. IAM-Administratoren können den Zugriff auf Amazon Q Developer und seine Funktionen verwalten, indem sie Berechtigungen für IAM-Identitäten gewähren.

Am schnellsten kann ein Administrator Benutzern Zugriff gewähren, indem er eine verwaltete Richtlinie verwendet. AWS Die AmazonQFullAccess Richtlinie kann an IAM-Identitäten angehängt werden, um vollen Zugriff auf Amazon Q Developer und seine Funktionen zu gewähren. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS verwaltete Richtlinien für Amazon Q Developer.

Um bestimmte Aktionen zu verwalten, die IAM-Identitäten mit Amazon Q Developer ausführen können, können Administratoren benutzerdefinierte Richtlinien erstellen, die definieren, welche Berechtigungen ein Benutzer, eine Gruppe oder eine Rolle hat. Sie können auch Richtlinien zur Servicesteuerung (SCPs) verwenden, um zu kontrollieren, welche Amazon Q-Funktionen in Ihrer Organisation verfügbar sind.

Eine Liste aller Amazon Q-Berechtigungen, die Sie mit Richtlinien kontrollieren können, finden Sie unterReferenz zu Amazon Q-Entwicklerberechtigungen.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Amazon Q Developer-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder diese löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Zuweisen von Berechtigungen

Um Zugriff zu gewähren, fügen Sie Ihren Benutzern, Gruppen oder Rollen Berechtigungen hinzu:

Verwalten Sie den Zugriff mit Richtlinien zur Dienststeuerung (SCPs)

Dienststeuerungsrichtlinien (SCPs) sind eine Art von Organisationsrichtlinie, mit der Sie Berechtigungen in Ihrer Organisation verwalten können. Sie können kontrollieren, welche Amazon Q Developer-Funktionen in Ihrer Organisation verfügbar sind, indem Sie einen SCP erstellen, der Berechtigungen für einige oder alle Amazon Q-Aktionen festlegt.

Weitere Informationen zur Verwendung SCPs zur Zugriffskontrolle in Ihrer Organisation finden Sie unter Servicesteuerungsrichtlinien erstellen, aktualisieren und löschen und Servicesteuerungsrichtlinien anhängen und trennen im AWS Organizations Benutzerhandbuch.

Im Folgenden finden Sie ein Beispiel für einen SCP, der den Zugriff auf Amazon Q verweigert. Diese Richtlinie schränkt den Zugriff auf den Amazon Q-Chat, die Behebung von Konsolenfehlern und die Fehlerbehebung im Netzwerk ein.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Datenperimeter für Amazon Q-Ressourcen

Für einige Funktionen lädt Amazon Q Artefakte in AWS serviceeigene Amazon S3 S3-Buckets hoch. Wenn Sie Datenperimeter verwenden, um den Zugriff auf Amazon S3 in Ihrer Umgebung zu kontrollieren, müssen Sie möglicherweise den Zugriff auf diese Buckets explizit zulassen, um die entsprechenden Amazon Q-Funktionen nutzen zu können.

In der folgenden Tabelle sind der ARN und die URL der einzelnen Amazon S3 S3-Buckets aufgeführt, auf die Amazon Q Zugriff benötigt, sowie die Funktionen, die die einzelnen Buckets verwenden. Sie können den Bucket-ARN oder die Bucket-URL verwenden, um diese Buckets auf eine Zulassungsliste zu setzen, je nachdem, wie Sie den Zugriff auf Amazon S3 kontrollieren.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/

arn:aws:s3:::amazonq-test-generation-us-east-1-74b667808f2

https://amazonq-test-generation-us-east-1-74b667808f2.s3.us-east-1.amazonaws.com/