AWS Health contoh kebijakan berbasis identitas - AWS Health
Praktik terbaik kebijakanMenggunakan konsolMengizinkan pengguna melihat izin mereka sendiriMengakses AWS Health Dashboard dan API AWS HealthSumber daya- dan syarat berbasis aksi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS Health contoh kebijakan berbasis identitas

Secara default, pengguna dan IAM role tidak memiliki izin untuk membuat atau memodifikasi AWS Health sumber daya. Mereka juga tidak dapat melakukan tugas menggunakan AWS Management Console, AWS CLI, atau AWS API. Administrator IAM harus membuat kebijakan IAM yang memberikan izin kepada pengguna dan peran untuk melakukan operasi API tertentu pada sumber daya yang diperlukan. Administrator kemudian harus melampirkan kebijakan tersebut ke pengguna IAM atau grup yang memerlukan izin tersebut.

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat Kebijakan pada Tab JSON dalam Panduan Pengguna IAM.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus AWS Health sumber daya di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

  • Mulailah dengan kebijakan AWS terkelola dan beralih ke izin hak istimewa paling sedikit — Untuk mulai memberikan izin kepada pengguna dan beban kerja Anda, gunakan kebijakan AWS terkelola yang memberikan izin untuk banyak kasus penggunaan umum. Mereka tersedia di Anda Akun AWS. Kami menyarankan Anda mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola AWS pelanggan yang khusus untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat Kebijakan yang dikelola AWS atau Kebijakan yang dikelola AWS untuk fungsi tugas dalam Panduan Pengguna IAM.

  • Menerapkan izin dengan hak akses paling rendah – Ketika Anda menetapkan izin dengan kebijakan IAM, hanya berikan izin yang diperlukan untuk melakukan tugas. Anda melakukannya dengan mendefinisikan tindakan yang dapat diambil pada sumber daya tertentu dalam kondisi tertentu, yang juga dikenal sebagai izin dengan hak akses paling rendah. Untuk informasi selengkapnya tentang cara menggunakan IAM untuk mengajukan izin, lihat Kebijakan dan izin dalam IAM dalam Panduan Pengguna IAM.

  • Gunakan kondisi dalam kebijakan IAM untuk membatasi akses lebih lanjut – Anda dapat menambahkan suatu kondisi ke kebijakan Anda untuk membatasi akses ke tindakan dan sumber daya. Sebagai contoh, Anda dapat menulis kondisi kebijakan untuk menentukan bahwa semua permintaan harus dikirim menggunakan SSL. Anda juga dapat menggunakan ketentuan untuk memberikan akses ke tindakan layanan jika digunakan melalui yang spesifik Layanan AWS, seperti AWS CloudFormation. Untuk informasi selengkapnya, lihat Elemen kebijakan JSON IAM: Kondisi dalam Panduan Pengguna IAM.

  • Gunakan IAM Access Analyzer untuk memvalidasi kebijakan IAM Anda untuk memastikan izin yang aman dan fungsional – IAM Access Analyzer memvalidasi kebijakan baru dan yang sudah ada sehingga kebijakan tersebut mematuhi bahasa kebijakan IAM (JSON) dan praktik terbaik IAM. IAM Access Analyzer menyediakan lebih dari 100 pemeriksaan kebijakan dan rekomendasi yang dapat ditindaklanjuti untuk membantu Anda membuat kebijakan yang aman dan fungsional. Untuk informasi selengkapnya, lihat Validasi kebijakan dengan IAM Access Analyzer dalam Panduan Pengguna IAM.

  • Memerlukan otentikasi multi-faktor (MFA) - Jika Anda memiliki skenario yang mengharuskan pengguna IAM atau pengguna root di Anda, Akun AWS aktifkan MFA untuk keamanan tambahan. Untuk meminta MFA ketika operasi API dipanggil, tambahkan kondisi MFA pada kebijakan Anda. Untuk informasi selengkapnya, lihat Amankan akses API dengan MFA dalam Panduan Pengguna IAM.

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat Praktik terbaik keamanan di IAM dalam Panduan Pengguna IAM.

Menggunakan konsol AWS Health

Untuk mengakses AWS Health konsol, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang AWS Health sumber daya di AWS akun Anda. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tersebut tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna IAM atau peran) dengan kebijakan tersebut.

Untuk memastikan bahwa entitas tersebut masih dapat menggunakan AWS Health konsol, Anda dapat melampirkan kebijakan AWS terkelola berikut, AWSHealthFullAccess.

AWSHealthFullAccessKebijakan ini memberikan entitas akses penuh ke hal-hal berikut:

  • Mengaktifkan atau menonaktifkan fitur tampilan AWS Health organisasi untuk semua akun di AWS organisasi

  • AWS Health Dashboard Di AWS Health konsol

  • AWS Health Operasi dan notifikasi API

  • Melihat informasi tentang akun yang merupakan bagian dari AWS organisasi Anda

  • Lihat unit organisasi (OU) dari akun manajemen

contoh : AWSHealthFullAccess
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"         
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",    
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "health.amazonaws.com"
                }
            }
        }
    ]
}
catatan

Anda juga dapat menggunakan kebijakan Health_OrganizationsServiceRolePolicy AWS terkelola, sehingga AWS Health dapat melihat peristiwa untuk akun lain di organisasi Anda. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk AWS Health.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau AWS API. Sebagai alternatif, hanya izinkan akses ke tindakan yang cocok dengan operasi API yang sedang Anda coba lakukan.

Untuk informasi selengkapnya, lihat Menambahkan izin ke pengguna dalam Panduan Pengguna IAM.

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara membuat kebijakan yang mengizinkan pengguna IAM melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau menggunakan API atau secara terprogram. AWS CLI AWS 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Mengakses AWS Health Dashboard dan API AWS Health

AWS Health Dashboard Ini tersedia untuk semua AWS akun. AWS Health API hanya tersedia untuk akun dengan paket Business, Enterprise On-Ramp, atau Enterprise Support. Untuk informasi selengkapnya, lihat Dukungan.

Anda dapat menggunakan IAM untuk membuat entitas (pengguna, grup, atau peran), dan kemudian memberikan izin entitas tersebut untuk mengakses AWS Health Dashboard dan API. AWS Health

Secara default, pengguna IAM tidak memiliki akses ke AWS Health Dashboard atau AWS Health API. Anda memberi pengguna akses ke AWS Health informasi akun Anda dengan melampirkan kebijakan IAM ke satu pengguna, sekelompok pengguna, atau peran. Untuk informasi lebih lanjut, lihat Identitas (Pengguna, Grup, dan Peran) dan Gambaran Umum Kebijakan IAM.

Setelah Anda membuat pengguna IAM, Anda dapat memberikan pengguna tersebut kata sandi individu. Kemudian, mereka dapat masuk ke akun Anda dan melihat AWS Health informasi dengan menggunakan halaman login khusus akun. Untuk informasi lebih lanjut, lihat Cara Pengguna Masuk ke Akun Anda.

catatan

Pengguna IAM dengan izin untuk melihat AWS Health Dashboard memiliki akses hanya-baca ke informasi kesehatan di semua AWS layanan di akun, yang dapat mencakup, namun tidak terbatas pada, sumber daya AWS IDs seperti EC2 instans Amazon, alamat IP EC2 instans IDs, dan pemberitahuan keamanan umum.

Misalnya, jika kebijakan IAM hanya memberikan akses ke AWS Health Dashboard dan AWS Health API, pengguna atau peran yang diterapkan kebijakan tersebut dapat mengakses semua informasi yang diposting tentang AWS layanan dan sumber daya terkait, meskipun kebijakan IAM lainnya tidak mengizinkan akses tersebut.

Anda dapat menggunakan dua kelompok APIs untuk AWS Health.

Untuk informasi selengkapnya tentang pengoperasian API yang tersedia, lihat Referensi API AWS Health.

Tindakan individu

Anda dapat mengatur elemen Action kebijakan IAM untuk health:Describe*. Ini memungkinkan akses ke AWS Health Dashboard dan AWS Health. AWS Health mendukung kontrol akses ke acara berdasarkan eventTypeCode dan layanan.

Menjelaskan akses

Pernyataan kebijakan ini memberikan akses ke AWS Health Dashboard dan operasi Describe* AWS Health API apa pun. Misalnya, pengguna IAM dengan kebijakan ini dapat mengakses AWS Health Dashboard dalam AWS Management Console dan memanggil operasi AWS Health DescribeEvents API.

contoh : Mendeskripsikan akses
{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  }]
}

Menolak akses

Pernyataan kebijakan ini menolak akses ke AWS Health Dashboard dan AWS Health API. Pengguna IAM dengan kebijakan ini tidak dapat melihat di AWS Health Dashboard dalam AWS Management Console dan tidak dapat memanggil operasi AWS Health API mana pun.

contoh : Tolak akses
{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Deny",
    "Action": [
      "health:*"
    ],
    "Resource": "*"
  }]
}

Tampilan organisasi

Jika Anda ingin mengaktifkan tampilan organisasi AWS Health, Anda harus mengizinkan akses ke AWS Health dan AWS Organizations tindakan.

Unsur Action kebijakan IAM harus mencakup izin berikut:

  • iam:CreateServiceLinkedRole

  • organizations:EnableAWSServiceAccess

  • organizations:DescribeAccount

  • organizations:DisableAWSServiceAccess

  • organizations:ListAccounts

  • organizations:ListDelegatedAdministrators

  • organizations:ListParents

Untuk memahami izin persis yang diperlukan untuk masing-masing APIs, lihat Tindakan yang Ditentukan oleh AWS Health APIs dan Pemberitahuan di Panduan Pengguna IAM.

catatan

Anda harus menggunakan kredensi dari akun manajemen untuk organisasi untuk mengakses untuk. AWS Health APIs AWS Organizations Untuk informasi selengkapnya, lihat Menggabungkan AWS Health peristiwa di seluruh akun.

Izinkan akses ke tampilan organisasi AWS Health

Pernyataan kebijakan ini memberikan akses ke semua AWS Health dan AWS Organizations tindakan yang Anda perlukan untuk fitur tampilan organisasi.

contoh : Izinkan akses tampilan AWS Health organisasi
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",  
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}

Menolak akses ke tampilan organisasi AWS Health

Pernyataan kebijakan ini menolak akses ke AWS Organizations tindakan tetapi memungkinkan akses ke AWS Health tindakan untuk akun individu.

contoh : Tolak akses tampilan AWS Health organisasi
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "health:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}
catatan

Jika pengguna atau grup yang ingin Anda berikan izin sudah memiliki kebijakan IAM, Anda dapat menambahkan pernyataan kebijakan AWS Health-specific ke kebijakan tersebut.

Sumber daya- dan syarat berbasis aksi

AWS Health mendukung kondisi IAM untuk operasi DescribeAffectedEntitiesdan DescribeEventDetailsAPI. Anda dapat menggunakan kondisi berbasis sumber daya dan tindakan untuk membatasi peristiwa yang dikirimkan AWS Health API ke pengguna, grup, atau peran.

Untuk melakukannya, perbarui blok kebijakan IAM Condition atau mengatur elemen Resource. Anda dapat menggunakan Ketentuan String untuk membatasi akses berdasarkan bidang AWS Health peristiwa tertentu.

Anda dapat menggunakan bidang berikut saat menentukan AWS Health peristiwa dalam kebijakan Anda:

  • eventTypeCode

  • service

Catatan
contoh : Syarat berbasis tindakan

Pernyataan kebijakan ini memberikan akses ke AWS Health Dashboard dan operasi AWS Health Describe* API, tetapi menolak akses ke AWS Health peristiwa apa pun yang berhubungan dengan Amazon. EC2

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "health:service": "EC2"
                }
            }
        }
    ]
}
contoh : Syarat berbasis sumber daya

Kebijakan berikut memiliki efek yang sama, tetapi menggunakan elemen Resource sebagai gantinya.

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  },
  {
    "Effect": "Deny",
    "Action": [
      "health:DescribeEventDetails",
      "health:DescribeAffectedEntities"
    ],
    "Resource": "arn:aws:health:*::event/EC2/*/*"
  }]
}
contoh : eventTypeCode kondisi

Pernyataan kebijakan ini memberikan akses ke AWS Health Dashboard dan operasi AWS Health Describe* API, tetapi menolak akses ke AWS Health peristiwa apa pun dengan eventTypeCode yang cocok. AWS_EC2_*

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "health:eventTypeCode": "AWS_EC2_*"
                }
            }
        }
    ]
}
penting

Jika Anda memanggil DescribeAffectedEntitiesdan DescribeEventDetailsoperasi dan tidak memiliki izin untuk mengakses AWS Health acara, AccessDeniedException kesalahan akan muncul. Untuk informasi selengkapnya, lihat Memecahkan masalah AWS Health identitas dan akses.