Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Refuser par défaut

Présentation de

Qu'est-ce que Deny by Default ?

Sans l'option Refuser par défaut, toute nouvelle fonctionnalité proposée par Amazon Quick est automatiquement disponible pour tous les utilisateurs dès sa sortie. Les administrateurs doivent restreindre manuellement chaque nouvelle fonctionnalité après chaque version. Cette approche réactive peut exposer les environnements réglementés à des fonctionnalités non approuvées avant que les administrateurs n'aient le temps de les évaluer.

Lorsque l'option Refuser par défaut est activée, les nouvelles fonctionnalités d'une catégorie restreinte sont automatiquement refusées le jour du lancement sans intervention de l'administrateur. Les administrateurs peuvent ensuite évaluer chaque nouvelle fonctionnalité et l'autoriser explicitement lorsqu'elle est prête. Restreindre une catégorie restreint également les fonctionnalités qui y existent déjà. Vous autorisez donc celles dont vos utilisateurs ont besoin.

Comment fonctionne la restriction de catégorie

Lorsque vous limitez une catégorie de fonctionnalités dans un profil d'autorisations personnalisé, Quick restreint toutes les fonctionnalités de cette catégorie aux utilisateurs assignés. Cela inclut les fonctionnalités que Quick lancera ultérieurement. Pour que certaines fonctionnalités restent disponibles, autorisez-les explicitement dans le profil.

Les profils existants ne sont pas modifiés

La restriction d'une catégorie affecte uniquement le profil dans lequel vous la configurez. Les profils d'autorisations personnalisés existants n'héritent pas de cette restriction. Pour l'utiliser, créez un nouveau profil avec la catégorie restreinte ou modifiez un profil existant. Si vous l'activez sur un profil existant, toutes les fonctionnalités de cette catégorie sont restreintes, y compris les fonctionnalités précédemment autorisées par le profil. Autorisez ceux dont vos utilisateurs ont besoin.

Quand utiliser cette fonctionnalité

Deny by Default est conçu pour les organisations qui ont besoin d'une approbation explicite avant que de nouvelles fonctionnalités ne soient mises à la disposition des utilisateurs. Cas d’utilisation courants :

Concepts clés

Le tableau suivant décrit les principaux termes et concepts relatifs à Refuser par défaut.

Conditions préalables

Avant de configurer Refuser par défaut, vérifiez que les conditions préalables suivantes sont remplies.

Comment les capacités sont évaluées

Les règles suivantes décrivent le fonctionnement de l'évaluation des capacités lorsque l'option Refuser par défaut est activée. Les règles sont évaluées dans l'ordre.

Quick évalue ces règles chaque fois qu'un utilisateur accède à une fonctionnalité, en fonction de l'appartenance à la catégorie de la fonctionnalité à ce moment-là. C'est pourquoi une catégorie restreinte couvre également les fonctionnalités qui seront ajoutées ultérieurement.

Cela signifie que lorsque Quick lance une nouvelle fonctionnalité dans une catégorie restreinte, cette fonctionnalité est automatiquement refusée pour tous les utilisateurs dont le profil est DENY_BY_DEFAULT activé pour cette catégorie. Aucune action de l'administrateur n'est requise. La restriction prend effet le jour du lancement de la capacité.

Catégories prises en charge

Le tableau suivant décrit les catégories prises en charge pour Refuser par défaut.

Configuration du refus par défaut (console rapide)

Vous configurez Refuser par défaut dans le cadre de la création ou de la modification d'un profil d'autorisations personnalisé. Le paramètre est contrôlé par la section Restreindre les fonctionnalités de la page de configuration du profil.

Pour supprimer l'option Refuser par défaut d'un profil, modifiez le profil et désactivez le bouton de catégorie dans la section Restreindre les fonctionnalités. Les fonctionnalités précédemment refusées sont mises à la disposition des utilisateurs associés au profil.

Configuration du refus par défaut (AWS CLI)

Vous pouvez utiliser le AWS Command Line Interface pour créer et gérer des profils d'autorisations personnalisés avec l'option Refuser par défaut activée.

L'exemple suivant crée un profil d'autorisations personnalisé avec la AI catégorie définie surDENY_BY_DEFAULT, avec la ChatAgent fonctionnalité explicitement autorisée.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

L'exemple suivant met à jour les paramètres Refuser par défaut d'un profil existant.

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW", "Flow": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

L'exemple suivant décrit un profil avec l'option Refuser par défaut activée.

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME

Pour supprimer Deny by Default d'un profil entièrement à l'aide de l'interface de ligne de commande, omettez l'--governanceindicateur lors de l'appel de mise à jour.

Exemples

Exemple 1 : conversion d'un profil existant en profil refusé par défaut

Cet exemple montre comment convertir un profil d'autorisation par défaut existant qui refuse explicitement certaines fonctionnalités d'IA en un profil Refusé par défaut.

Scénario : vous disposez d'un profil d'autorisations personnalisé qui refuse explicitement Flow, Automate et ChatAgent les fonctionnalités. Toutes les autres fonctionnalités sont disponibles par défaut.

Exécutez la commande suivante pour afficher la configuration actuelle de votre profil :

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

La commande renvoie un résultat semblable à ce qui suit :

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Flow": "DENY",
            "Automate": "DENY",
            "ChatAgent": "DENY"
        }
    }
}

Le problème : lorsque Quick lance une nouvelle fonctionnalité d'IA, celle-ci est automatiquement disponible pour les utilisateurs possédant ce profil, car le profil bloque uniquement les fonctionnalités explicitement répertoriées. Les nouvelles fonctionnalités ne sont pas répertoriées, elles sont donc autorisées par défaut.

La solution : convertissez le profil en profil Refuser par défaut. Lorsque vous convertissez, vous inversez la logique. Au lieu de répertorier les fonctionnalités à refuser, vous listez les fonctionnalités à autoriser. Tout ce qui n'est pas explicitement autorisé est refusé.

Tout d'abord, déterminez les fonctionnalités d'IA que vous souhaitez autoriser. Dans ce cas, vous souhaitez que les utilisateurs conservent l'accès à la recherche, au sujet et à l'espace. KnowledgeBase

Exécutez la commande suivante pour mettre à jour le profil avec Deny by Default :

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

Résultat : Désormais, lorsque Quick lance une nouvelle fonctionnalité d'IA, elle est automatiquement refusée aux utilisateurs possédant ce profil. Seuls la recherche KnowledgeBase, le sujet et l'espace sont disponibles. Flow ChatAgent, Automate et toutes les fonctionnalités d'IA futures sont refusées.

Exemple 2 : Configuration de l'option Refuser par défaut pour un nouveau compte

Cet exemple montre comment verrouiller toutes les fonctionnalités de l'IA dès le premier jour pour un nouveau compte Quick.

Scénario : vous créez un nouveau compte et souhaitez restreindre toutes les fonctionnalités de l'IA jusqu'à ce que votre équipe les évalue individuellement.

Exécutez la commande suivante pour créer un profil qui refuse toutes les fonctionnalités d'IA par défaut sans autorisation explicite :

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

Exécutez la commande suivante pour attribuer le profil au niveau du compte afin qu'il s'applique à tous les utilisateurs :

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount"

Résultat : toutes les fonctionnalités d'IA sont refusées pour chaque utilisateur du compte. Au fur et à mesure que vous évaluez et approuvez les fonctionnalités individuelles, vous pouvez mettre à jour le profil pour les ajouter à la liste des personnes autorisées.

Exemple 3 : Autoriser une nouvelle fonctionnalité spécifique après le lancement

Cet exemple montre comment approuver une nouvelle fonctionnalité que Quick a lancée après avoir activé Refuser par défaut.

Scénario : Quick lance une nouvelle fonctionnalité d'IA appeléeNewAIFeature. Votre équipe l'évalue et décide de l'approuver pour les utilisateurs.

Décrivez d'abord le profil actuel pour obtenir l'état actuel :

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

La commande renvoie le résultat suivant :

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Research": "ALLOW",
            "Topic": "ALLOW",
            "KnowledgeBase": "ALLOW",
            "Space": "ALLOW"
        },
        "Governance": {
            "DefaultCategoryEffects": {
                "AI": "DENY_BY_DEFAULT"
            }
        }
    }
}

Mettez à jour le profil pour inclure la nouvelle fonctionnalité dans la liste des autorisations. Vous devez inclure toutes les fonctionnalités existantes ainsi que la nouvelle, car la mise à jour effectue un remplacement complet :

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW", "NewAIFeature": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

Résultat : la nouvelle fonctionnalité est désormais disponible pour les utilisateurs possédant ce profil. Toutes les autres capacités d'IA non répertoriées restent refusées.

Exemple 4 : Multi-level priorité avec Refuser par défaut

Cet exemple montre comment Deny by Default interagit avec la hiérarchie de priorité lorsque des profils sont attribués à plusieurs niveaux.

Scénario : vous souhaitez que la plupart des utilisateurs soient verrouillés avec Refuser par défaut pour l'IA, mais vous souhaitez que les auteurs aient accès à davantage de fonctionnalités. Un data scientist spécifique a besoin d'un accès complet à toutes les fonctionnalités de l'IA.

Account-level (le plus restrictif) : créez un profil qui refuse toute IA par défaut sans aucune autorisation. Attribuez-le au niveau du compte.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI"

Role-level (Auteur) : créez un profil avec Refuser par défaut, mais avec davantage de fonctionnalités pour les utilisateurs expérimentés. Attribuez-le au rôle d'auteur.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Author-LimitedAI" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-role-custom-permission \
--role AUTHOR \
--aws-account-id AWSACCOUNTID \
--namespace default \
--custom-permissions-name "Author-LimitedAI"

User-level (data scientist) : créez un profil autorisé par défaut sans aucune restriction. Attribuez-le à un utilisateur spécifique.

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DataScientist-FullAccess"

aws quicksight update-user-custom-permission \
--aws-account-id AWSACCOUNTID \
--namespace default \
--user-name DATA_SCIENTIST_USERNAME \
--custom-permissions-name "DataScientist-FullAccess"

Résultat :

Résolution des problèmes

Un utilisateur peut toujours accéder à une fonctionnalité qui m'attendait à être refusée

Vérifiez les paramètres suivants :