Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Izin untuk Peran IAM yang Ditugaskan ke AWS Config

Peran IAM memungkinkan Anda menentukan sekumpulan izin. AWS Config mengambil peran yang Anda tetapkan untuk menulis ke bucket S3 Anda, menerbitkan ke topik SNS Anda, dan membuat Describe atau permintaan List API untuk mendapatkan detail konfigurasi untuk AWS sumber daya Anda. Untuk informasi selengkapnya tentang peran IAM, lihat Peran IAM dalam Panduan Pengguna IAM.

Saat Anda menggunakan AWS Config konsol untuk membuat atau memperbarui peran IAM, AWS Config secara otomatis melampirkan izin yang diperlukan untuk Anda. Untuk informasi selengkapnya, lihat Menyiapkan AWS Config dengan Konsol.

Membuat Kebijakan Peran IAM

Saat Anda menggunakan AWS Config konsol untuk membuat peran IAM, AWS Config secara otomatis melampirkan izin yang diperlukan ke peran untuk Anda.

Jika Anda menggunakan AWS CLI untuk mengatur AWS Config atau memperbarui peran IAM yang ada, Anda harus memperbarui kebijakan secara manual untuk mengizinkan AWS Config akses bucket S3 Anda, menerbitkan ke topik SNS Anda, dan mendapatkan detail konfigurasi tentang sumber daya Anda.

Menambahkan Kebijakan Kepercayaan IAM ke Peran Anda

Anda dapat membuat kebijakan kepercayaan IAM yang memungkinkan AWS Config untuk mengambil peran dan menggunakannya untuk melacak sumber daya Anda. Untuk informasi selengkapnya tentang kebijakan kepercayaan, lihat Persyaratan dan konsep peran di Panduan Pengguna IAM.

Berikut ini adalah contoh kebijakan kepercayaan untuk AWS Config peran:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "config.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": { 
        "StringEquals": {
          "AWS:SourceAccount": "sourceAccountID"
        }
      }
    }
  ]
}

Anda dapat menggunakan AWS:SourceAccount kondisi dalam hubungan Kepercayaan Peran IAM di atas untuk membatasi prinsipal layanan Config agar hanya berinteraksi dengan Per AWS an IAM saat melakukan operasi atas nama akun tertentu.

AWS Config juga mendukung AWS:SourceArn kondisi yang membatasi prinsipal layanan Config untuk hanya mengambil Peran IAM saat melakukan operasi atas nama akun pemilik. Saat menggunakan prinsip AWS Config layanan, AWS:SourceArn properti akan selalu disetel ke arn:aws:config:sourceRegion:sourceAccountID:* wilayah sourceRegion perekam konfigurasi yang dikelola pelanggan dan sourceAccountID merupakan ID akun yang berisi perekam konfigurasi yang dikelola pelanggan.

Misalnya, tambahkan kondisi berikut membatasi prinsipal layanan Config untuk hanya mengasumsikan Peran IAM hanya atas nama perekam konfigurasi yang dikelola pelanggan di us-east-1 wilayah di akun123456789012:"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}.

Kebijakan Peran IAM untuk Bucket S3 Anda

Kebijakan contoh berikut memberikan AWS Config izin untuk mengakses bucket S3 Anda:

JSON

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource":[
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/AWSLogs/myAccountID/*"
      ],
      "Condition":{
        "StringLike":{
          "s3:x-amz-acl":"bucket-owner-full-control"
        }
      }
    },
    {
      "Effect":"Allow",
      "Action":[
        "s3:GetBucketAcl"
      ],
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    }
  ]
}

Kebijakan Peran IAM untuk KMS Key

Kebijakan contoh berikut memberikan AWS Config izin untuk menggunakan KMS-based enkripsi pada objek baru untuk pengiriman bucket S3:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
        }
    ]
}

Kebijakan Peran IAM untuk Topik Amazon SNS

Kebijakan contoh berikut memberikan AWS Config izin untuk mengakses topik SNS Anda:

JSON

{
  "Version":"2012-10-17",
  "Statement": 
   [
     {
      "Effect":"Allow",
      "Action":"sns:Publish",
      "Resource":"arn:aws:sns:us-east-1:123456789012:MyTopic"
     }
    ]
}

Jika topik SNS Anda dienkripsi untuk petunjuk penyiapan tambahan, lihat Mengon figurasi AWS KMS Iz in di Panduan Pengembang Layanan Pemberitahuan Sederhana Amazon.

Kebijakan Peran IAM untuk Mendapatkan Detail Konfigurasi

Disarankan untuk menggunakan peran AWS Config terkait layanan:. AWSServiceRoleForConfig Service-linked peran telah ditentukan sebelumnya dan mencakup semua izin yang diperlukan AWS Config untuk memanggil yang lain Layanan AWS. Per AWS Config an terkait layanan diperlukan untuk perekam konfigurasi terkait layanan. Untuk informasi selengkapnya, lihat Menggunakan Service-Linked Peran untuk AWS Config.

Jika Anda membuat atau memperbarui peran dengan konsol, AWS Config lampirkan AWSServiceRoleForConfig untuk Anda.

Jika Anda menggunakan AWS CLI, gunakan attach-role-policy perintah dan tentukan Nama Sumber Daya Amazon (ARN) untuk AWSServiceRoleForConfig:

$ aws iam attach-role-policy --role-name myConfigRole --policy-arn arn:aws:iam::aws:policy/aws-service-role/AWSServiceRoleForConfig

Mengelola Izin untuk S3 Bucket Recording

AWS Config merekam dan mengirimkan notifikasi saat bucket S3 dibuat, diperbarui, atau dihapus.

Disarankan untuk menggunakan peran AWS Config terkait layanan:. AWSServiceRoleForConfig Service-linked peran telah ditentukan sebelumnya dan mencakup semua izin yang diperlukan AWS Config untuk memanggil yang lain Layanan AWS. Per AWS Config an terkait layanan diperlukan untuk perekam konfigurasi terkait layanan. Untuk informasi selengkapnya, lihat Menggunakan Service-Linked Peran untuk AWS Config.