Gestione el acceso a Amazon Q Developer con políticas

De forma predeterminada, los usuarios y los roles no tienen permiso para usar Amazon Q. IAM Los administradores pueden gestionar el acceso a Amazon Q Developer y sus funciones concediendo permisos a IAM las identidades.

La forma más rápida de que un administrador conceda acceso a los usuarios es mediante una política AWS gestionada. La AmazonQFullAccess política se puede adjuntar a IAM las identidades para garantizar el acceso total a Amazon Q Developer y sus funciones. Para obtener más información sobre esta política, consulte AWS políticas gestionadas para Amazon Q Developer.

Para gestionar las acciones específicas que IAM las identidades pueden realizar con Amazon Q Developer, los administradores pueden crear políticas personalizadas que definan los permisos que tiene un usuario, grupo o rol. También puedes usar las políticas de control de servicios (SCPs) para controlar qué funciones de Amazon Q están disponibles en tu organización.

Para ver una lista de todos los permisos de Amazon Q que puedes controlar con políticas, consulta laReferencia de permisos para desarrolladores de Amazon Q.

Prácticas recomendadas sobre las políticas

Las políticas basadas en la identidad determinan si alguien puede crear, acceder o eliminar los recursos de Amazon Q Developer de su cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadasIAM, consulte las prácticas recomendadas de seguridad IAM en la Guía del IAM usuario.

Asignar permisos

Para dar acceso, agregue permisos a los usuarios, grupos o roles:

Gestione el acceso con políticas de control de servicios (SCPs)

Las políticas de control de servicios (SCPs) son un tipo de política organizacional que puede usar para administrar los permisos en su organización. Puede controlar qué funciones de Amazon Q Developer están disponibles en su organización creando una SCP que especifique los permisos para algunas o todas las acciones de Amazon Q.

Para obtener más información sobre cómo SCPs controlar el acceso en su organización, consulte Crear, actualizar y eliminar políticas de control de servicios y Adjuntar y separar políticas de control de servicios en la Guía del AWS Organizations usuario.

El siguiente es un ejemplo de una política SCP que deniega el acceso a Amazon Q. Esta política restringe el acceso al chat de Amazon Q, la solución de problemas de consola y la solución de problemas de red.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perímetros de datos para los recursos de Amazon Q

En el caso de algunas funciones, Amazon Q carga los artefactos en los buckets de Amazon AWS S3 propiedad del servicio. Si utiliza perímetros de datos para controlar el acceso a Amazon S3 en su entorno, es posible que necesite permitir explícitamente el acceso a estos depósitos para utilizar las funciones de Amazon Q correspondientes.

En la siguiente tabla se enumeran ARN URL los depósitos de Amazon S3 a los que Amazon Q necesita acceder y las funciones que utilizan cada uno de ellos. Puede usar el bucket ARN o el bucket URL para incluir estos buckets en una lista de permitidos, en función de cómo controle el acceso a Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/