Administración del acceso a Amazon Q Developer con políticas de IAM

De forma predeterminada, los usuarios y los roles no tienen permiso para utilizar Amazon Q. Los administradores de IAM pueden gestionar el acceso a Amazon Q Developer y sus características mediante la concesión de permisos a las identidades de IAM.

La forma más rápida de que un administrador conceda acceso a los usuarios es mediante una política administrada de AWS. La política AmazonQFullAccess se puede asociar a las identidades de IAM para conceder el acceso total a Amazon Q Developer y sus características. Para obtener más información sobre esta política, consulte Políticas administradas de AWS para Amazon Q Developer.

Para administrar acciones específicas que las identidades de IAM pueden realizar con Amazon Q Developer, los administradores pueden crear políticas personalizadas que definan los permisos que tiene un usuario, grupo o rol. También puede utilizar políticas de control de servicios (SCP) para controlar qué características de Amazon Q están disponibles en su organización.

Para ver una lista de todos los permisos de Amazon Q que puede controlar con políticas, consulte Referencia de permisos de Amazon Q Developer.

Prácticas recomendadas sobre las políticas

Las políticas basadas en identidad determinan si alguien puede crear, acceder o eliminar los recursos de Amazon Q Developer de la cuenta. Estas acciones pueden generar costes adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadas de IAM, consulte las Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

Asignar permisos

Para dar acceso, agregue permisos a los usuarios, grupos o roles:

Administración del acceso con políticas de control de servicios (SCP)

Las políticas de control de servicios (SCP) son un tipo de política de organización que puede utilizar para administrar permisos en su organización. Puede controlar qué características de Amazon Q Developer están disponibles en su organización creando una SCP que especifique los permisos para algunas o todas las acciones de Amazon Q.

Para obtener más información sobre el uso de las SCP con el fin de controlar el acceso en su organización, consulte Creating, updating, and deleting service control policies y Attaching and detaching service control policies en la AWS Organizations User Guide.

El siguiente es un ejemplo de una SCP que deniega el acceso a Amazon Q. Esta política restringe el acceso al chat de Amazon Q, a la solución de problemas de errores de la consola y a la solución de problemas de red.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perímetros de datos para los recursos de Amazon Q

En el caso de algunas características, Amazon Q carga artefactos en los buckets de Amazon S3 propiedad del servicio de AWS. Si utiliza perímetros de datos para controlar el acceso a Amazon S3 en su entorno, es posible que necesite permitir explícitamente el acceso a estos buckets para utilizar las características de Amazon Q correspondientes.

En la siguiente tabla se muestran el ARN y la URL de cada uno de los buckets de Amazon S3 a los que Amazon Q necesita acceder, así como las características que utilizan cada bucket. Puede usar el ARN del bucket o la URL del bucket para incluir estos buckets en la lista de permitidos, en función de cómo controle el acceso a Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/