Kebijakan berbasis identitas dengan Billing AWS - AWS Penagihan
Praktik terbaik kebijakanMenggunakan konsolMengizinkan pengguna melihat izin mereka sendiriMenggunakan IAM kebijakan untuk Penagihan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kebijakan berbasis identitas dengan Billing AWS

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya Penagihan. Mereka juga tidak dapat melakukan tugas dengan menggunakan AWS Management Console, AWS Command Line Interface (AWS CLI), atau AWS API. Untuk memberikan izin kepada pengguna untuk melakukan tindakan pada sumber daya yang mereka butuhkan, IAM administrator dapat membuat IAM kebijakan. Administrator kemudian dapat menambahkan IAM kebijakan ke peran, dan pengguna dapat mengambil peran.

Untuk mempelajari cara membuat kebijakan IAM berbasis identitas menggunakan contoh dokumen kebijakan ini, lihat Membuat JSON IAM kebijakan (konsol) di Panduan Pengguna. IAM

Untuk detail tentang tindakan dan jenis sumber daya yang ditentukan oleh Penagihan, termasuk format ARNs untuk setiap jenis sumber daya, lihat Kunci tindakan, sumber daya, dan kondisi untuk AWS Penagihan di Referensi Otorisasi Layanan.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus Sumber daya Penagihan di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

  • Mulailah dengan kebijakan AWS terkelola dan beralih ke izin hak istimewa paling sedikit — Untuk mulai memberikan izin kepada pengguna dan beban kerja Anda, gunakan kebijakan AWS terkelola yang memberikan izin untuk banyak kasus penggunaan umum. Mereka tersedia di Anda Akun AWS. Kami menyarankan Anda mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola AWS pelanggan yang khusus untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat kebijakan AWSAWS terkelola atau kebijakan terkelola untuk fungsi pekerjaan di Panduan IAM Pengguna.

  • Menerapkan izin hak istimewa paling sedikit — Saat Anda menetapkan izin dengan IAM kebijakan, berikan hanya izin yang diperlukan untuk melakukan tugas. Anda melakukannya dengan mendefinisikan tindakan yang dapat diambil pada sumber daya tertentu dalam kondisi tertentu, yang juga dikenal sebagai izin dengan hak akses paling rendah. Untuk informasi selengkapnya tentang penggunaan IAM untuk menerapkan izin, lihat Kebijakan dan izin IAM di IAM Panduan Pengguna.

  • Gunakan ketentuan dalam IAM kebijakan untuk membatasi akses lebih lanjut — Anda dapat menambahkan kondisi ke kebijakan Anda untuk membatasi akses ke tindakan dan sumber daya. Misalnya, Anda dapat menulis kondisi kebijakan untuk menentukan bahwa semua permintaan harus dikirim menggunakanSSL. Anda juga dapat menggunakan ketentuan untuk memberikan akses ke tindakan layanan jika digunakan melalui yang spesifik Layanan AWS, seperti AWS CloudFormation. Untuk informasi selengkapnya, lihat elemen IAM JSON kebijakan: Kondisi dalam Panduan IAM Pengguna.

  • Gunakan IAM Access Analyzer untuk memvalidasi IAM kebijakan Anda guna memastikan izin yang aman dan fungsional — IAM Access Analyzer memvalidasi kebijakan baru dan yang sudah ada sehingga kebijakan mematuhi bahasa IAM kebijakan () JSON dan praktik terbaik. IAM IAMAccess Analyzer menyediakan lebih dari 100 pemeriksaan kebijakan dan rekomendasi yang dapat ditindaklanjuti untuk membantu Anda membuat kebijakan yang aman dan fungsional. Untuk informasi selengkapnya, lihat Memvalidasi kebijakan dengan IAM Access Analyzer di IAMPanduan Pengguna.

  • Memerlukan otentikasi multi-faktor (MFA) - Jika Anda memiliki skenario yang mengharuskan IAM pengguna atau pengguna root di Anda Akun AWS, aktifkan MFA untuk keamanan tambahan. Untuk meminta MFA kapan API operasi dipanggil, tambahkan MFA kondisi ke kebijakan Anda. Untuk informasi selengkapnya, lihat APIAkses aman dengan MFA di Panduan IAM Pengguna.

Untuk informasi selengkapnya tentang praktik terbaik diIAM, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Menggunakan konsol Penagihan

Untuk mengakses konsol AWS Penagihan, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang sumber daya Penagihan di Anda. Akun AWS Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna atau peran) dengan kebijakan tersebut.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau. AWS API Sebagai gantinya, izinkan akses hanya ke tindakan yang cocok dengan API operasi yang mereka coba lakukan.

Anda dapat menemukan detail akses seperti izin yang diperlukan untuk mengaktifkan konsol AWS Penagihan, akses administrator, dan akses hanya-baca di bagian ini. AWS kebijakan terkelola

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Menggunakan kebijakan berbasis identitas untuk Penagihan

catatan

Tindakan AWS Identity and Access Management (IAM) berikut telah mencapai akhir dukungan standar pada Juli 2023:

  • aws-portalnamespace

  • purchase-orders:ViewPurchaseOrders

  • purchase-orders:ModifyPurchaseOrders

Jika Anda menggunakan AWS Organizations, Anda dapat menggunakan skrip migrasi kebijakan massal atau migrator kebijakan massal untuk memperbarui kebijakan dari akun pembayar Anda. Anda juga dapat menggunakan referensi pemetaan tindakan lama ke granular untuk memverifikasi IAM tindakan yang perlu ditambahkan.

Jika Anda memiliki Akun AWS, atau merupakan bagian dari yang AWS Organizations dibuat pada atau setelah 6 Maret 2023, 11:00 AM (PDT), tindakan halus sudah berlaku di organisasi Anda.

penting

Selain IAM kebijakan, Anda harus memberikan IAM akses ke konsol Billing and Cost Management di halaman konsol Pengaturan Akun.

Untuk informasi selengkapnya, lihat topik berikut.

Gunakan bagian ini untuk melihat bagaimana administrator akun kebijakan berbasis identitas dapat melampirkan kebijakan izin ke IAM identitas (peran dan grup) dan memberikan izin untuk melakukan operasi pada sumber daya Penagihan.

Untuk informasi selengkapnya tentang Akun AWS dan pengguna, lihat Apa ituIAM? dalam IAMUser Guide.

Untuk informasi tentang cara memperbarui kebijakan terkelola pelanggan, lihat Mengedit kebijakan terkelola pelanggan (konsol) di Panduan IAM Pengguna.

AWS Tindakan konsol penagihan

Tabel ini merangkum izin yang memberikan akses ke informasi dan alat konsol penagihan Anda. Untuk contoh kebijakan yang menggunakan izin ini, lihat AWS Contoh kebijakan penagihan.

Untuk daftar kebijakan tindakan untuk konsol Manajemen AWS Biaya, lihat kebijakan tindakan Manajemen AWS Biaya di Panduan Pengguna Manajemen AWS Biaya.

Nama izin Deskripsi
aws-portal:ViewBilling

Memberikan izin untuk melihat halaman konsol Billing and Cost Management.
aws-portal:ModifyBilling

Memberikan izin untuk memodifikasi halaman konsol Billing and Cost Management berikut:

Untuk memungkinkan IAM pengguna memodifikasi halaman konsol ini, Anda harus mengizinkan keduanya ModifyBilling danViewBilling. Untuk contoh kebijakan, lihat Memungkinkan IAM pengguna untuk mengubah informasi penagihan.
aws-portal:ViewAccount

Memberikan izin untuk melihat Pengaturan Akun.
aws-portal:ModifyAccount

Memberikan izin untuk mengubah Pengaturan Akun.

Untuk memungkinkan IAM pengguna mengubah pengaturan akun, Anda harus mengizinkan keduanya ModifyAccount danViewAccount.

Untuk contoh kebijakan yang secara eksplisit menolak akses IAM pengguna ke halaman konsol Setelan Akun, lihat. Menolak akses ke pengaturan akun, namun mengizinkan akses penuh ke semua informasi penagihan dan penggunaan lainnya

aws-portal:ViewPaymentMethods

Memberikan izin untuk melihat Metode Pembayaran.
aws-portal:ModifyPaymentMethods

Memberikan izin untuk memodifikasi Metode Pembayaran.

Untuk mengizinkan pengguna memodifikasi metode pembayaran, Anda harus mengizinkan ModifyPaymentMethods dan ViewPaymentMethods.
billing:ListBillingViews

Memberikan izin untuk mendapatkan informasi penagihan untuk grup penagihan pro forma. Ini dibuat menggunakan Konduktor AWS Penagihan pada halaman Tagihan, atau Laporan AWS Biaya dan Penggunaan.

Untuk informasi selengkapnya tentang melihat detail grup penagihan, lihat Melihat detail grup penagihan Anda di Panduan Pengguna Konduktor AWS Penagihan.
sustainability:GetCarbonFootprintSummary

Memberikan izin untuk melihat alat dan data jejak karbon AWS pelanggan. Ini dapat diakses dari halaman Laporan AWS Biaya dan Penggunaan pada konsol Billing and Cost Management.

Untuk contoh kebijakan, lihat Memungkinkan IAM pengguna untuk melihat informasi penagihan dan laporan jejak karbon.

cur:DescribeReportDefinitions

Memberikan izin untuk melihat Laporan AWS Biaya dan Penggunaan.

AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing API and Cost Management. Jika Anda membuat laporan menggunakan konsol Billing and Cost Management, sebaiknya Anda memperbarui izin untuk penggunaIAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol.

Untuk contoh kebijakan, lihat Memungkinkan IAM pengguna mengakses halaman konsol laporan.

cur:PutReportDefinition

Memberikan izin untuk membuat Laporan AWS Biaya dan Penggunaan.

AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing API and Cost Management. Jika Anda membuat laporan menggunakan konsol Billing and Cost Management, sebaiknya Anda memperbarui izin untuk penggunaIAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol.

Untuk contoh kebijakan, lihat Memungkinkan IAM pengguna mengakses halaman konsol laporan.

cur:DeleteReportDefinition

Memberikan izin untuk menghapus Laporan AWS Biaya dan Penggunaan.

AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing API and Cost Management. Jika Anda membuat laporan menggunakan konsol Billing and Cost Management, sebaiknya Anda memperbarui izin untuk penggunaIAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol.

Untuk contoh kebijakan, lihat Membuat, melihat, mengedit, atau menghapus Laporan Biaya dan Penggunaan AWS.

cur:ModifyReportDefinition

Memberikan izin untuk memodifikasi Laporan AWS Biaya dan Penggunaan.

AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing API and Cost Management. Jika Anda membuat laporan menggunakan konsol Billing and Cost Management, sebaiknya Anda memperbarui izin untuk penggunaIAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol.

Untuk contoh kebijakan, lihat Membuat, melihat, mengedit, atau menghapus Laporan Biaya dan Penggunaan AWS.

ce:CreateCostCategoryDefinition

Memberikan izin untuk membuat kategori biaya.

Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
ce:DeleteCostCategoryDefinition

Memberikan izin untuk menghapus kategori biaya.

Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
ce:DescribeCostCategoryDefinition

Memberikan izin untuk melihat kategori biaya.

Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
ce:ListCostCategoryDefinitions

Memberikan izin untuk mencantumkan kategori biaya.

Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
ce:UpdateCostCategoryDefinition

Memberikan izin untuk memperbarui kategori biaya.

Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
aws-portal:ViewUsage

Memberikan izin untuk melihat Laporan AWS penggunaan.

Untuk memungkinkan IAM pengguna melihat laporan penggunaan, Anda harus mengizinkan keduanya ViewUsage danViewBilling.

Untuk contoh kebijakan, lihat Memungkinkan IAM pengguna mengakses halaman konsol laporan.

payments:AcceptFinancingApplicationTerms

Memungkinkan IAM pengguna untuk menyetujui persyaratan yang diberikan oleh pemberi pinjaman pembiayaan. Pengguna diminta untuk memberikan rincian rekening bank mereka untuk pembayaran, dan menandatangani dokumen hukum yang disediakan oleh pemberi pinjaman.
payments:CreateFinancingApplication

Memungkinkan IAM pengguna untuk mengajukan pinjaman keuangan baru, dan referensi opsi pembiayaan yang dipilih.
payments:GetFinancingApplication

Memungkinkan IAM pengguna untuk mengambil rincian aplikasi pembiayaan. Misalnya, status, batasan, ketentuan, dan informasi pemberi pinjaman.
payments:GetFinancingLine

Memungkinkan IAM pengguna untuk mengambil rincian pinjaman pembiayaan. Misalnya, status dan saldo.
payments:GetFinancingLineWithdrawal

Memungkinkan IAM pengguna untuk mengambil rincian penarikan. Misalnya saldo dan pembayaran kembali.
payments:GetFinancingOption

Memungkinkan IAM pengguna untuk mengambil rincian opsi pembiayaan tertentu.
payments:ListFinancingApplications

Memungkinkan IAM pengguna untuk mengambil pengenal untuk semua aplikasi pembiayaan, di semua pemberi pinjaman.
payments:ListFinancingLines

Memungkinkan IAM pengguna untuk mengambil pengenal untuk semua pinjaman pembiayaan, di semua pemberi pinjaman.
payments:ListFinancingLineWithdrawals

Memungkinkan IAM pengguna untuk mengambil semua penarikan yang ada untuk pinjaman tertentu.
payments:ListTagsForResource

Izinkan atau tolak izin IAM pengguna untuk melihat tag untuk metode pembayaran.
payments:TagResource

Izinkan atau tolak izin IAM pengguna untuk menambahkan tag untuk metode pembayaran.
payments:UntagResource

Izinkan atau tolak izin IAM pengguna untuk menghapus tag dari metode pembayaran.
payments:UpdateFinancingApplication

Memungkinkan IAM pengguna untuk mengubah aplikasi pembiayaan dan mengirimkan informasi tambahan yang diminta oleh pemberi pinjaman.
payments:ListPaymentInstruments

Izinkan atau tolak izin IAM pengguna untuk mencantumkan metode pembayaran terdaftar mereka.
payments:UpdatePaymentInstrument

Izinkan atau tolak izin IAM pengguna untuk memperbarui metode pembayaran mereka.
pricing:DescribeServices

Memberikan izin untuk melihat produk AWS layanan dan harga melalui Layanan API Daftar AWS Harga.

Untuk memungkinkan IAM pengguna menggunakan Layanan Daftar AWS HargaAPI, Anda harus mengizinkanDescribeServices,GetAttributeValues, danGetProducts.

Untuk contoh kebijakan, lihat Temukan produk dan harga.
pricing:GetAttributeValues

Memberikan izin untuk melihat produk AWS layanan dan harga melalui Layanan API Daftar AWS Harga.

Untuk memungkinkan IAM pengguna menggunakan Layanan Daftar AWS HargaAPI, Anda harus mengizinkanDescribeServices,GetAttributeValues, danGetProducts.

Untuk contoh kebijakan, lihat Temukan produk dan harga.
pricing:GetProducts

Memberikan izin untuk melihat produk AWS layanan dan harga melalui Layanan API Daftar AWS Harga.

Untuk memungkinkan IAM pengguna menggunakan Layanan Daftar AWS HargaAPI, Anda harus mengizinkanDescribeServices,GetAttributeValues, danGetProducts.

Untuk contoh kebijakan, lihat Temukan produk dan harga.
purchase-orders:ViewPurchaseOrders

Memberikan izin untuk melihat Pesanan Pembelian.

Untuk contoh kebijakan, lihat Melihat dan mengelola pesanan pembelian.
purchase-orders:ModifyPurchaseOrders

Memberikan izin untuk memodifikasi Pesanan Pembelian.

Untuk contoh kebijakan, lihat Melihat dan mengelola pesanan pembelian.
tax:GetExemptions

Memberikan izin untuk akses hanya-baca untuk melihat pengecualian dan jenis pembebasan berdasarkan konsol pajak.

Untuk contoh kebijakan, lihat Izinkan IAM pengguna untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
tax:UpdateExemptions

Memberikan izin untuk mengunggah pengecualian ke konsol pembebasan pajak AS.

Untuk contoh kebijakan, lihat Izinkan IAM pengguna untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
support:CreateCase

Memberikan izin untuk mengajukan kasus dukungan, diperlukan untuk mengunggah pembebasan dari konsol pembebasan pajak.

Untuk contoh kebijakan, lihat Izinkan IAM pengguna untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
support:AddAttachmentsToSet

Memberikan izin untuk melampirkan dokumen untuk mendukung kasus yang diperlukan untuk mengunggah sertifikat pembebasan ke konsol pembebasan pajak.

Untuk contoh kebijakan, lihat Izinkan IAM pengguna untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
customer-verification:GetCustomerVerificationEligibility

(Hanya untuk pelanggan dengan tagihan atau alamat kontak India)

Memberikan izin untuk mengambil kelayakan verifikasi pelanggan.
customer-verification:GetCustomerVerificationDetails

(Hanya untuk pelanggan dengan tagihan atau alamat kontak India)

Memberikan izin untuk mengambil data verifikasi pelanggan.
customer-verification:CreateCustomerVerificationDetails

(Hanya untuk pelanggan dengan tagihan atau alamat kontak India)

Memberikan izin untuk membuat data verifikasi pelanggan.
customer-verification:UpdateCustomerVerificationDetails

(Hanya untuk pelanggan dengan tagihan atau alamat kontak India)

Memberikan izin untuk memperbarui data verifikasi pelanggan.
mapcredit:ListAssociatedPrograms

Memberikan izin untuk melihat yang terkait Migration Acceleration Program perjanjian dan dasbor untuk akun pembayar.
mapcredit:ListQuarterSpend

Memberikan izin untuk melihat Migration Acceleration Program pembelanjaan yang memenuhi syarat untuk akun pembayar.
mapcredit:ListQuarterCredits

Memberikan izin untuk melihat Migration Acceleration Program kredit untuk akun pembayar.