Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terapkan kontrol akses berbasis tag di Connect Customer

Anda menggunakan kontrol akses berbasis tag untuk mengonfigurasi akses granular ke sumber daya tertentu berdasarkan tag sumber daya yang ditetapkan. Anda dapat mengonfigurasi kontrol akses berbasis tag dengan menggunakan API/SDK atau situs web Connect Customer admin untuk sumber daya yang didukung.

Menerapkan kontrol akses berbasis tag menggunakan API/SDK

Untuk menggunakan tag untuk mengontrol akses ke sumber daya dalam akun AWS Anda, Anda perlu memberikan informasi tag dalam elemen kondisi kebijakan IAM. Misalnya, untuk mengontrol akses ke domain ID Suara berdasarkan tag yang telah Anda tetapkan, gunakan kunci aws:ResourceTag/key-name kondisi, bersama dengan operator tertentu seperti StringEquals untuk menentukan pasangan tag key:value mana yang harus dilampirkan ke domain, untuk mengizinkan tindakan yang diberikan untuknya.

Untuk informasi lebih rinci tentang kontrol akses berbasis tag, lihat Mengon trol akses ke sumber daya AWS menggunakan tag di Panduan Pengguna IAM.

Menerapkan kontrol akses berbasis tag menggunakan Connect Customer situs web admin

Tag sumber daya adalah label metadata khusus yang dapat Anda tambahkan ke sumber daya agar lebih mudah untuk mengidentifikasi, mengatur, dan menemukan dalam pencarian. Anda dapat menerapkan tag secara terprogram menggunakan Connect Customer SDK/APIs, dan untuk sumber daya tertentu Anda dapat menerapkan tag dari dalam konsol Connect Customer. Untuk mempelajari lebih lanjut tentang tag sumber daya, lihatMenambahkan tag ke sumber daya di Connect Customer.

Tag kontrol akses mirip dengan tag sumber daya karena menggunakan Key:value struktur yang sama. Namun, perbedaan dengan tag kontrol akses adalah bahwa ia memperkenalkan kontrol otorisasi yang membatasi akses pengguna, hanya untuk sumber daya tertentu yang berisi tag sumber daya dengan Key:value pasangan identik. Tag kontrol akses didefinisikan dalam profil keamanan, dengan terlebih dahulu memilih sumber daya (profil routing, antrean, pengguna) yang akan dikendalikan aksesnya, dan kemudian menentukan Key:value pasangan yang akan dicocokkan. Setelah profil keamanan dengan tag kontrol akses diterapkan ke pengguna, itu akan membatasi akses mereka berdasarkan kombinasi yang ditentukan dari sumber daya yang dipilih dan tag kontrol akses (s) (Key:value). Tanpa tag kontrol akses diterapkan, pengguna akan dapat melihat semua sumber daya jika diberi izin untuk melakukannya.

Untuk menggunakan tag untuk mengontrol akses ke sumber daya dalam situs web admin instans Connect Customer Anda, Anda perlu mengonfigurasi bagian kontrol akses dalam profil keamanan tertentu. Misalnya, untuk mengontrol akses ke profil perutean berdasarkan tag yang telah Anda tetapkan, Anda harus menentukan profil perutean sebagai sumber daya yang dikendalikan akses, lalu menentukan Key:value pasangan tag mana yang ingin Anda aktifkan aksesnya.

Batasan konfigurasi

Tag kontrol akses dikonfigurasi pada profil keamanan. Anda dapat mengonfigurasi hingga 4 tag kontrol akses pada satu profil keamanan. Menambahkan tag kontrol akses tambahan akan membuat profil keamanan itu lebih ketat. Misalnya, jika Anda menambahkan dua tag kontrol akses seperti Department:X danCountry:Y, mereka hanya akan dapat melihat sumber daya yang berisi kedua tag.

Pengguna dapat diberikan maksimal tujuh profil keamanan yang berisi tag kontrol akses. Ketika beberapa profil keamanan yang berisi tag kontrol akses ditetapkan ke satu pengguna, kontrol akses berbasis tag menjadi kurang membatasi. Misalnya, jika pengguna memiliki satu profil keamanan dengan tag kontrol akses sepertiCountry:USA, dan profil keamanan lain dengan tag kontrol akses sepertiCountry:Argentina, pengguna akan dapat melihat sumber daya yang ditandai dengan Country:USA atauCountry:Argentina. Pengguna dapat memiliki profil keamanan lain, selama profil keamanan tambahan tersebut tidak mengandung tag. Jika beberapa profil keamanan hadir dengan izin sumber daya yang tumpang tindih, profil keamanan tanpa kontrol akses berbasis tag akan diberlakukan di atas profil dengan kontrol akses berbasis tag.

Peran terkait layanan diperlukan untuk mengonfigurasi tag sumber daya atau tag kontrol akses. Jika instans Anda dibuat setelah Oktober 2018, instans ini akan tersedia secara default dengan instans Connect Customer Anda. Namun, jika Anda memiliki instans yang lebih lama, lihat Menggunakan peran tertaut layanan untuk Menghubungkan Pelanggan untuk petunjuk tentang cara mengaktifkan peran yang ditautkan layanan.

Praktik terbaik untuk menerapkan kontrol akses berbasis tag

Menerapkan kontrol akses berbasis tag adalah fitur konfigurasi lanjutan yang didukung oleh Connect Customer dan yang mengikuti model tanggung jawab AWS bersama. Penting untuk memastikan bahwa Anda mengonfigurasi instans dengan benar agar sesuai dengan kebutuhan otorisasi yang Anda inginkan. Untuk informasi lebih lanjut, tinjau model tanggung jawab AWS bersama.

Pastikan Anda telah mengaktifkan setidaknya izin tampilan untuk sumber daya yang Anda aktifkan kontrol akses berbasis tag. Ini akan memastikan bahwa Anda menghindari inkonsistensi izin yang mengakibatkan permintaan akses ditolak.

Tag-based kontrol akses diaktifkan pada tingkat sumber daya, yang berarti bahwa setiap sumber daya dapat dibatasi secara independen. Dalam kasus penggunaan tertentu, ini mungkin dapat diterima tetapi dianggap praktik terbaik untuk mengaktifkan kontrol akses berbasis tag ke semua sumber daya secara bersamaan. Misalnya, mengaktifkan akses ke pengguna tetapi bukan profil keamanan, akan memungkinkan pengguna untuk membuat profil keamanan dengan hak istimewa yang menggantikan pengaturan kontrol akses pengguna yang Anda inginkan.

Saat masuk ke konsol Connect Customer dengan kontrol akses berbasis tag diterapkan, pengguna tidak akan dapat mengakses log perubahan historis untuk sumber daya yang dibatasi.

Sebagai praktik terbaik, Anda harus menonaktifkan akses ke hal berikut resources/modules saat menerapkan kontrol akses berbasis tag dalam konsol Connect Customer. Jika Anda tidak menonaktifkan akses ke sumber daya ini, pengguna dengan kontrol akses berbasis tag pada sumber daya tertentu yang melihat halaman ini mungkin melihat daftar pengguna, profil keamanan, profil perutean, antrian, alur, atau modul alur yang tidak terbatas. Untuk informasi selengkapnya tentang cara mengelola izin, lihatDaftar izin profil keamanan di Connect Customer.