Gérez l'accès à Amazon Q Developer à l'aide de politiques

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à utiliser Amazon Q. IAM Les administrateurs peuvent gérer l'accès à Amazon Q Developer et à ses fonctionnalités en accordant des autorisations aux IAM identités.

Le moyen le plus rapide pour un administrateur d'accorder l'accès aux utilisateurs est d'utiliser une politique AWS gérée. La AmazonQFullAccess politique peut être attachée aux IAM identités pour accorder un accès complet à Amazon Q Developer et à ses fonctionnalités. Pour de plus amples informations sur cette stratégie, consultez AWS politiques gérées pour Amazon Q Developer.

Pour gérer les actions spécifiques que les IAM identités peuvent effectuer avec Amazon Q Developer, les administrateurs peuvent créer des politiques personnalisées qui définissent les autorisations d'un utilisateur, d'un groupe ou d'un rôle. Vous pouvez également utiliser les politiques de contrôle des services (SCPs) pour contrôler les fonctionnalités Amazon Q disponibles dans votre organisation.

Pour obtenir la liste de toutes les autorisations Amazon Q que vous pouvez contrôler à l'aide de politiques, consultez leRéférence des autorisations des développeurs Amazon Q.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Q Developer dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

Attribution des autorisations

Pour activer l’accès, ajoutez des autorisations à vos utilisateurs, groupes ou rôles :

Gérez l'accès avec des politiques de contrôle des services (SCPs)

Les politiques de contrôle des services (SCPs) sont un type de politique d'organisation que vous pouvez utiliser pour gérer les autorisations au sein de votre organisation. Vous pouvez contrôler les fonctionnalités Amazon Q Developer disponibles dans votre organisation en créant un identifiant SCP qui spécifie les autorisations pour certaines ou toutes les actions Amazon Q.

Pour plus d'informations sur l'utilisation SCPs pour contrôler l'accès dans votre organisation, voir Création, mise à jour et suppression de politiques de contrôle des services et Joindre et détacher des politiques de contrôle des services dans le Guide de l'AWS Organizations utilisateur.

Voici un exemple de refus d'accès à Amazon Q. Cette politique restreint l'accès au chat Amazon Q, à la résolution des erreurs de console et à la résolution des problèmes réseau. SCP

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Périmètres de données pour les ressources Amazon Q

Pour certaines fonctionnalités, Amazon Q télécharge des artefacts dans des compartiments Amazon AWS S3 appartenant au service. Si vous utilisez des périmètres de données pour contrôler l'accès à Amazon S3 dans votre environnement, vous devrez peut-être autoriser explicitement l'accès à ces compartiments pour utiliser les fonctionnalités Amazon Q correspondantes.

Le tableau suivant répertorie le ARN et URL de chacun des compartiments Amazon S3 auxquels Amazon Q doit accéder, ainsi que les fonctionnalités qui utilisent chaque compartiment. Vous pouvez utiliser le compartiment ARN ou le compartiment URL pour autoriser la mise en liste de ces compartiments, en fonction de la manière dont vous contrôlez l'accès à Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/