Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Denegar de forma predeterminada

Descripción general de

¿Qué es la denegación predeterminada?

Sin la opción Denegar de forma predeterminada, cualquier nueva funcionalidad que Amazon Quick envíe estará disponible automáticamente para todos los usuarios una vez lanzada. Los administradores deben restringir manualmente cada nueva capacidad después de cada lanzamiento. Este enfoque reactivo puede exponer los entornos regulados a capacidades no aprobadas antes de que los administradores tengan tiempo de evaluarlas.

Si la opción Denegar de forma predeterminada está habilitada, las nuevas capacidades de una categoría restringida se deniegan automáticamente el día del lanzamiento sin que el administrador intervenga. A continuación, los administradores pueden evaluar cada nueva capacidad y permitirla de forma explícita cuando esté lista. Al restringir una categoría, también se restringen las capacidades que ya existen en ella, por lo que se permiten las que los usuarios necesitan.

Cómo funciona la restricción de categorías

Al restringir una categoría de capacidad en un perfil de permisos personalizado, Quick restringe todas las capacidades de esa categoría para los usuarios asignados. Esto incluye las funciones que Quick lance en el futuro. Para mantener disponibles capacidades específicas, permítalas de forma explícita en el perfil.

Los perfiles existentes no se modifican

La restricción de una categoría solo afecta al perfil en el que la configuras. Los perfiles de permisos personalizados existentes no heredan la restricción. Para usarla, cree un perfil nuevo con la categoría restringida o edite un perfil existente. Si lo habilitas en un perfil existente, todas las funciones de esa categoría quedarán restringidas, incluidas las capacidades que el perfil permitía anteriormente. Permita las que sus usuarios necesitan.

¿Cuándo usar esta función

Deny by Default está diseñada para organizaciones que requieren una aprobación explícita antes de que las nuevas capacidades lleguen a los usuarios. Los casos de uso comunes incluyen:

Conceptos clave

En la siguiente tabla se describen los términos y conceptos clave de Deny by Default.

Requisitos previos

Antes de configurar la denegación predeterminada, compruebe que se cumplen los siguientes requisitos previos.

Cómo se evalúan las capacidades

Las siguientes reglas describen cómo funciona la evaluación de capacidades cuando la opción Denegar de forma predeterminada está habilitada. Las reglas se evalúan en orden.

Quick evalúa estas reglas cada vez que un usuario accede a una capacidad, en función de la categoría a la que pertenezca la capacidad en ese momento. Por eso, una categoría restringida también incluye las capacidades que se agregan más adelante.

Esto significa que cuando Quick lanza una nueva capacidad en una categoría restringida, esa capacidad se deniega automáticamente a todos los usuarios cuyo perfil DENY_BY_DEFAULT esté habilitado para esa categoría. No se requiere ninguna acción del administrador. La restricción entra en vigor el día en que se lanza la capacidad.

Categorías compatibles

En la siguiente tabla se describen las categorías admitidas para Denegar de forma predeterminada.

Configurar la denegación de forma predeterminada (consola rápida)

La denegación se configura de forma predeterminada como parte de la creación o edición de un perfil de permisos personalizado. La configuración se controla mediante la sección Restringir capacidades de la página de configuración del perfil.

Para eliminar la opción Denegar de forma predeterminada de un perfil, edítelo y desactive la opción de cambiar de categoría en la sección Restringir capacidades. Las capacidades denegadas anteriormente pasan a estar disponibles para los usuarios asignados al perfil.

Configurar la denegación de forma predeterminada (AWS CLI)

Puede utilizarla AWS Command Line Interface para crear y gestionar perfiles de permisos personalizados con la opción Denegar de forma predeterminada habilitada.

En el siguiente ejemplo, se crea un perfil de permisos personalizado con la AI categoría establecida enDENY_BY_DEFAULT, con la ChatAgent capacidad permitida de forma explícita.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

En el siguiente ejemplo, se actualiza la configuración de denegación predeterminada en un perfil existente.

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW", "Flow": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

El siguiente ejemplo describe un perfil con la opción Denegar de forma predeterminada habilitada.

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME

Para eliminar la opción Deny by Default de un perfil por completo mediante la CLI, omita la --governance marca en la llamada de actualización.

Ejemplos

Ejemplo 1: Convertir un perfil existente en Deny de forma predeterminada

En este ejemplo se muestra cómo convertir un perfil que permite de forma predeterminada que deniega de forma explícita determinadas capacidades de la IA en un perfil de denegación de forma predeterminada.

Escenario: Tienes un perfil de permisos personalizado que deniega explícitamente las capacidades de Flow, Automate y Flow. ChatAgent Todas las demás capacidades están disponibles de forma predeterminada.

Ejecute el siguiente comando para ver la configuración actual de su perfil:

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

El comando devuelve un resultado similar al siguiente:

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Flow": "DENY",
            "Automate": "DENY",
            "ChatAgent": "DENY"
        }
    }
}

El problema: cuando Quick lanza una nueva función de IA, está disponible automáticamente para los usuarios con este perfil, ya que el perfil solo bloquea las capacidades enumeradas de forma explícita. Las nuevas capacidades no aparecen en la lista, por lo que están permitidas de forma predeterminada.

La solución: convertir el perfil en Denegar de forma predeterminada. Cuando se convierte, se invierte la lógica. En lugar de enumerar las capacidades que se van a denegar, se enumeran las que se deben permitir. Se deniega todo lo que no esté permitido de forma explícita.

En primer lugar, determine qué capacidades de IA quiere permitir. En este caso, lo que quieres es que los usuarios conserven el acceso a Research KnowledgeBase, Topic y Space.

Ejecute el siguiente comando para actualizar el perfil con la opción Denegar de forma predeterminada:

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

Resultado: ahora, cuando Quick lanza una nueva función de IA, se deniega automáticamente a los usuarios con este perfil. Solo están disponibles Investigación KnowledgeBase, Tema y Espacio. Se deniegan las capacidades de flujo ChatAgent, automatización y cualquier capacidad futura de IA.

Ejemplo 2: configurar la opción Deny de forma predeterminada para una cuenta nueva

En este ejemplo se muestra cómo bloquear todas las funciones de IA desde el primer día en una nueva cuenta Quick.

Escenario: Estás incorporando una cuenta nueva y quieres restringir todas las capacidades de la IA hasta que tu equipo evalúe cada una de ellas de forma individual.

Ejecuta el siguiente comando para crear un perfil que deniegue todas las capacidades de la IA de forma predeterminada sin ningún permiso explícito:

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

Ejecute el siguiente comando para asignar el perfil a nivel de cuenta para que se aplique a todos los usuarios:

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount"

Resultado: se deniegan todas las capacidades de IA a todos los usuarios de la cuenta. A medida que evalúas y apruebas las capacidades individuales, puedes actualizar el perfil para añadirlas a la lista de permitidos.

Ejemplo 3: Permitir una nueva capacidad específica después del lanzamiento

En este ejemplo se muestra cómo aprobar una nueva capacidad que Quick ha lanzado después de habilitar Deny de forma predeterminada.

Escenario: Quick lanza una nueva capacidad de IA denominadaNewAIFeature. Tu equipo la evalúa y decide aprobarla para los usuarios.

En primer lugar, describe el perfil actual para obtener el estado actual:

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

El comando devuelve el siguiente resultado:

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Research": "ALLOW",
            "Topic": "ALLOW",
            "KnowledgeBase": "ALLOW",
            "Space": "ALLOW"
        },
        "Governance": {
            "DefaultCategoryEffects": {
                "AI": "DENY_BY_DEFAULT"
            }
        }
    }
}

Actualice el perfil para incluir la nueva capacidad en la lista de permitidos. Debe incluir todas las capacidades existentes más la nueva, ya que la actualización realiza un reemplazo total:

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW", "NewAIFeature": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

Resultado: la nueva capacidad ahora está disponible para los usuarios con este perfil. Todas las demás capacidades de IA que no figuran en la lista siguen siendo denegadas.

Ejemplo 4: Multi-level prioridad con Deny de forma predeterminada

En este ejemplo se muestra cómo la opción Deny by Default interactúa con la jerarquía de precedencia cuando los perfiles se asignan en varios niveles.

Escenario: quieres que la mayoría de los usuarios estén bloqueados con Deny by Default for AI, pero quieres que los autores tengan acceso a más funciones. Un científico de datos específico necesita tener acceso total a todas las capacidades de la IA.

Account-level (el más restrictivo): cree un perfil que deniegue toda la IA de forma predeterminada sin ningún permiso. Asígnelo a nivel de cuenta.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI"

Role-level (Autor): Cree un perfil con la opción Denegar de forma predeterminada, pero con más funciones para los usuarios avanzados. Asígnelo al rol de autor.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Author-LimitedAI" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-role-custom-permission \
--role AUTHOR \
--aws-account-id AWSACCOUNTID \
--namespace default \
--custom-permissions-name "Author-LimitedAI"

User-level (científico de datos): cree un perfil en el que se permita de forma predeterminada sin restricciones. Asígnelo al usuario específico.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DataScientist-FullAccess"

aws quicksight update-user-custom-permission \
--aws-account-id AWSACCOUNTID \
--namespace default \
--user-name DATA_SCIENTIST_USERNAME \
--custom-permissions-name "DataScientist-FullAccess"

Resultado:

Resolución de problemas

Un usuario puede seguir accediendo a una función que esperaba que se le denegara

Compruebe lo siguiente: