Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Identity-based contoh kebijakan untuk Amazon Comprecept

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya Amazon Comprecept. Untuk memberikan izin kepada pengguna untuk melakukan tindakan di sumber daya yang mereka perlukan, administrator IAM dapat membuat kebijakan IAM.

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM dengan menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan IAM (konsol) di Panduan Pengguna IAM.

Untuk detail tentang tindakan dan jenis sumber daya yang ditentukan oleh Amazon Comprecept, termasuk format ARN untuk setiap jenis sumber daya, lihat Tindakan, sumber daya, dan kunci kondisi untuk Amazon Compreeham di Refer ensi O torisasi Layanan.

Praktik terbaik kebijakan

Identity-based kebijakan menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya Amazon Comprecept di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat Praktik terbaik keamanan di IAM dalam Panduan Pengguna IAM.

Menggunakan konsol Amazon Comprecept

Untuk mengakses konsol Amazon Comprecept, Anda harus memiliki seperangkat izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang sumber daya Amazon Comprecept di situs Anda Akun AWS. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna atau peran) dengan kebijakan tersebut.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau AWS API. Sebagai gantinya, izinkan akses hanya ke tindakan yang sesuai dengan operasi API yang coba mereka lakukan.

Untuk izin minimum konsol Amazon Comprecept, Anda dapat melampirkan kebijakan ComprehendReadOnly AWS terkelola ke entitas. Untuk informasi selengkapnya, lihat Menambah izin untuk pengguna dalam Panduan Pengguna IAM.

Untuk menggunakan konsol Amazon Comprecept, Anda juga memerlukan izin untuk tindakan yang ditunjukkan dalam kebijakan berikut:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
  {
      "Action": [
          "iam:ListRoles",
          "iam:GetRole",
          "s3:ListAllMyBuckets",
          "s3:ListBucket",
          "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": "*"
  }
  ]
  }

Konsol Amazon Comprecept memerlukan izin tambahan ini karena alasan berikut:

Saat Anda membuat pekerjaan batch asinkron atau pekerjaan pemodelan topik menggunakan konsol, Anda memiliki opsi untuk meminta konsol membuat peran IAM untuk pekerjaan Anda. Untuk membuat peran IAM, pengguna harus diberikan izin tambahan berikut untuk membuat peran dan kebijakan IAM, dan untuk melampirkan kebijakan ke peran:

JSON

{
  "Version":"2012-10-17",
  "Statement":
    [
      {
        "Action":
          [
          "iam:CreateRole",
          "iam:CreatePolicy",
          "iam:AttachRolePolicy"
          ],
        "Effect": "Allow",
        "Resource": "*"
      },
      {
        "Action":
          [
          "iam:PassRole"
          ],
        "Effect": "Allow",
        "Resource": "arn:aws:iam::*:role/*Comprehend*"
      }
    ]
  }

Konsol Amazon Comprecept memerlukan izin tambahan ini karena alasan berikut:

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara membuat kebijakan yang mengizinkan pengguna IAM melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Izin diperlukan untuk melakukan tindakan analisis dokumen

Kebijakan contoh berikut memberikan izin untuk menggunakan tindakan analisis dokumen Amazon Comprecept:

JSON

{
 "Version":"2012-10-17",
 "Statement": [{
    "Sid": "AllowDetectActions",
    "Effect": "Allow",
    "Action": [
              "comprehend:DetectEntities",
              "comprehend:DetectKeyPhrases",
              "comprehend:DetectDominantLanguage",
              "comprehend:DetectSentiment",
              "comprehend:DetectTargetedSentiment",
              "comprehend:DetectSyntax",
              "textract:DetectDocumentText",
              "textract:AnalyzeDocument"
           ],
    "Resource": "*"
    }
 ]
}
    

Kebijakan ini memiliki satu pernyataan yang memberikan izin untuk menggunakanDetectEntities,DetectKeyPhrases,DetectDominantLanguage,DetectTargetedSentiment,DetectSentiment, dan DetectSyntax tindakan. Pernyataan kebijakan juga memberikan izin untuk menggunakan dua metode API Amazon Textract. Amazon Comprecept memanggil metode ini untuk mengekstrak teks dari file gambar dan dokumen PDF yang dipindai. Anda dapat menghapus izin ini untuk pengguna yang tidak pernah menjalankan inferensi kustom untuk jenis file input ini.

Pengguna dengan kebijakan ini tidak akan dapat melakukan tindakan batch atau tindakan asinkron di akun Anda.

Kebijakan tidak menentukan Principal elemen karena Anda tidak menentukan kepala sekolah yang mendapatkan izin dalam kebijakan berbasis identitas. Saat Anda melampirkan kebijakan kepada pengguna, pengguna adalah penanggung jawab implisit. Saat Anda melampirkan kebijakan izin pada IAM role, prinsipal yang diidentifikasi dalam kebijakan kepercayaan peran tersebut mendapatkan izin.

Untuk tabel yang menunjukkan semua tindakan Amazon Compredeh API dan sumber daya yang diterapkan, lihat Tindakan, sumber daya, dan kunci kondisi untuk Amazon Compreeham di Referensi Otorisasi Layanan.

Izin diperlukan untuk menggunakan enkripsi KMS

Untuk sepenuhnya menggunakan Amazon Key Management Service (KMS) untuk enkripsi data dan pekerjaan dalam pekerjaan asinkron, Anda perlu memberikan izin untuk tindakan yang ditunjukkan dalam kebijakan berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:CreateGrant"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDatakey"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": [
                        "s3.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Saat Anda membuat pekerjaan asikron dengan Amazon Comprecept, Anda menggunakan data input yang disimpan di Amazon S3. Dengan S3, Anda memiliki opsi untuk mengenkripsi data yang disimpan, yang dienkripsi oleh S3, bukan oleh Amazon Compree. Kami dapat mendekripsi dan membaca data input terenkripsi tersebut jika Anda memberikan kms:Decrypt izin untuk kunci yang digunakan untuk dienkripsi data input asli ke peran akses data yang digunakan oleh pekerjaan Amazon Comprecept.

Anda juga memiliki opsi untuk menggunakan kunci yang dikelola pelanggan (CMK) KMS untuk mengenkripsi hasil keluaran di S3, serta volume penyimpanan yang digunakan selama pemrosesan pekerjaan. Ketika Anda melakukan ini, Anda dapat menggunakan kunci KMS yang sama untuk kedua jenis enkripsi, tetapi ini tidak perlu. Bidang terpisah tersedia saat membuat pekerjaan untuk menentukan kunci untuk enkripsi keluaran dan enkripsi volume dan Anda bahkan dapat menggunakan kunci KMS dari akun yang berbeda.

Saat menggunakan enkripsi KMS, kms:CreateGrant izin diperlukan untuk enkripsi volume dan kms:GenerateDataKey izin diperlukan untuk enkripsi data keluaran. Untuk membaca input terenkripsi (seperti ketika data input sudah dienkripsi oleh Amazon S3), kms:Decrypt izin diperlukan. Peran IAM perlu memberikan izin ini sesuai kebutuhan. Namun, jika kunci berasal dari akun yang berbeda dari yang saat ini digunakan, kebijakan kunci KMS untuk kunci kms tersebut juga harus memberikan izin ini ke peran akses data untuk pekerjaan tersebut.

AWS kebijakan terkelola (yang telah ditentukan sebelumnya) untuk Amazon Comprefait

AWS mengatasi banyak kasus penggunaan umum dengan menyediakan kebijakan IAM mandiri yang dibuat dan dikelola oleh AWS. Kebijakan AWS terkelola ini memberikan izin yang diperlukan untuk kasus penggunaan umum sehingga Anda dapat menghindari keharusan menyelidiki izin apa yang diperlukan. Untuk informasi selengkapnya, lihat Kebijakan terkelola AWS dalam Panduan Pengguna IAM.

Kebijakan ter AWS kelola berikut, yang dapat Anda lampirkan ke pengguna di akun Anda, khusus untuk Amazon Compreceph:

Anda perlu menerapkan kebijakan tambahan berikut untuk setiap pengguna yang akan menggunakan Amazon Comprecept:

JSON

{
    "Version":"2012-10-17",
    "Statement":
      [
        {
          "Action":
            [
              "iam:PassRole"
            ],
          "Effect": "Allow",
          "Resource": "arn:aws:iam::*:role/*Comprehend*"
        }
      ]
  }

Anda dapat meninjau kebijakan izin terkelola dengan masuk ke konsol IAM dan mencari kebijakan tertentu di sana.

Kebijakan ini berfungsi saat Anda menggunakan AWS SDK atau AWS CLI.

Anda juga dapat membuat kebijakan IAM kustom Anda sendiri untuk mengizinkan izin untuk tindakan dan sumber daya Amazon Comprecept. Anda dapat melampirkan kebijakan khusus ini ke pengguna, grup, atau peran yang memerlukan izin tersebut.

Role-based izin diperlukan untuk operasi asinkron

Untuk menggunakan operasi asinkron Amazon Comprecept, Anda harus memberikan akses Amazon Comprecept ke bucket Amazon S3 yang berisi koleksi dokumen Anda. Anda melakukan ini dengan membuat peran akses data di akun Anda dengan kebijakan kepercayaan untuk mempercayai prinsipal layanan Amazon Comprecept. Untuk informasi selengkapnya tentang membuat peran, lihat Membuat peran untuk mendelegasikan izin ke AWS layanan di Panduan Pengguna Manajemen AWS Identitas dan Akses.

Berikut ini menunjukkan contoh kebijakan kepercayaan untuk peran yang Anda buat. Untuk membantu pencegahan wakil yang membingungkan, Anda membatasi ruang lingkup izin dengan menggunakan satu atau beberapa kunci konteks kondisi global. Tetapkan aws:SourceAccount nilai ke ID akun Anda. Jika Anda menggunakan ArnEquals kondisi tersebut, atur aws:SourceArn nilainya ke ARN pekerjaan. Gunakan wildcard untuk nomor pekerjaan di ARN, karena Amazon Comprecept menghasilkan nomor ini sebagai bagian dari penciptaan pekerjaan.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "comprehend.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          },
          "ArnEquals": {
            "aws:SourceArn": "arn:aws:comprehend:us-west-2:111122223333:pii-entities-detection-job/*"
          }
        }
      }
    ]
 }

Setelah Anda membuat peran, buat kebijakan akses untuk peran tersebut. Ini harus memberikan Amazon S3 GetObject dan ListBucket izin ke bucket Amazon S3 yang berisi data input Anda, dan PutObject izin Amazon S3 ke bucket data keluaran Amazon S3 Anda.

Izin untuk mengizinkan semua tindakan Amazon Comprecept

Setelah mendaftar AWS, Anda membuat pengguna administrator untuk mengelola akun Anda, termasuk membuat pengguna dan mengelola izin mereka.

Anda dapat memilih untuk membuat pengguna yang memiliki izin untuk semua tindakan Amazon Comprecept (anggap pengguna ini sebagai administrator khusus layanan) untuk bekerja dengan Amazon Compredeh. Anda dapat melampirkan kebijakan izin berikut ke pengguna ini.

JSON

{
  "Version":"2012-10-17",
  "Statement":
    [
      {
        "Sid": "AllowAllComprehendActions",
        "Effect": "Allow",
        "Action":
        [
            "comprehend:*",
            "iam:ListRoles",
            "iam:GetRole",
            "s3:ListAllMyBuckets",
            "s3:ListBucket",
            "s3:GetBucketLocation",
            "iam:CreateRole",
            "iam:CreatePolicy",
            "iam:AttachRolePolicy",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:GenerateDatakey"
      ],
      "Resource": "*"
    },
    {
      "Action":
        [
          "iam:PassRole"
        ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/*Comprehend*"
    }
  ]
}

Izin ini dapat dimodifikasi sehubungan dengan enkripsi dengan cara berikut:

Izin untuk mengizinkan tindakan pemodelan topik

Kebijakan izin berikut memberikan izin kepada pengguna untuk melakukan operasi pemodelan topik Amazon Comprecept.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowTopicModelingActions",
            "Effect": "Allow",
            "Action": [
                "comprehend:DescribeTopicsDetectionJob",
                "comprehend:ListTopicsDetectionJobs",
                "comprehend:StartTopicsDetectionJob"
            ],
            "Resource": "*"
        }
    ]
}

Izin diperlukan untuk pekerjaan analisis asinkron kustom

Jika Anda menggunakan StartEntitiesDetectionJob API StartDocumentClassificationJob dan, Anda perlu memperbarui kebijakan IAM Anda kecuali saat ini Anda menggunakan wildcard sebagai sumber daya. Jika Anda menggunakan model yang StartEntitiesDetectionJob telah dilatih sebelumnya, ini tidak memengaruhi Anda dan Anda tidak perlu membuat perubahan apa pun.

Kebijakan contoh berikut berisi referensi yang sudah ketinggalan zaman.

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer"
    ],
    "Effect": "Allow"
}

Ini adalah kebijakan yang diperbarui yang perlu Anda gunakan untuk menjalankan StartDocumentClassificationJob dan dengan sukses. StartEntitiesDetectionJob

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:document-classification-job/*",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer",
        "arn:aws:comprehend:us-east-1:123456789012:entities-detection-job/*"
    ],
    "Effect": "Allow"
}