AWS Health contoh kebijakan berbasis identitas - AWS Health
Praktik terbaik kebijakanMenggunakan konsol tersebutMengizinkan pengguna melihat izin mereka sendiriMengakses AWS Health Dashboard dan AWS Health APISumber daya- dan syarat berbasis aksi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS Health contoh kebijakan berbasis identitas

Secara default, IAM pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi AWS Health sumber daya. Mereka juga tidak dapat melakukan tugas menggunakan AWS Management Console, AWS CLI, atau AWS API. IAMAdministrator harus membuat IAM kebijakan yang memberikan izin kepada pengguna dan peran untuk melakukan API operasi tertentu pada sumber daya tertentu yang mereka butuhkan. Administrator kemudian harus melampirkan kebijakan tersebut ke IAM pengguna atau grup yang memerlukan izin tersebut.

Untuk mempelajari cara membuat kebijakan IAM berbasis identitas menggunakan contoh dokumen kebijakan ini, lihat Membuat JSON Kebijakan di JSON Tab di Panduan Pengguna. IAM

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus AWS Health sumber daya di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

  • Mulailah dengan kebijakan AWS terkelola dan beralih ke izin hak istimewa paling sedikit — Untuk mulai memberikan izin kepada pengguna dan beban kerja Anda, gunakan kebijakan AWS terkelola yang memberikan izin untuk banyak kasus penggunaan umum. Mereka tersedia di Anda Akun AWS. Kami menyarankan Anda mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola AWS pelanggan yang khusus untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat kebijakan AWSAWS terkelola atau kebijakan terkelola untuk fungsi pekerjaan di Panduan IAM Pengguna.

  • Menerapkan izin hak istimewa paling sedikit — Saat Anda menetapkan izin dengan IAM kebijakan, berikan hanya izin yang diperlukan untuk melakukan tugas. Anda melakukannya dengan mendefinisikan tindakan yang dapat diambil pada sumber daya tertentu dalam kondisi tertentu, yang juga dikenal sebagai izin dengan hak akses paling rendah. Untuk informasi selengkapnya tentang penggunaan IAM untuk menerapkan izin, lihat Kebijakan dan izin IAM di IAM Panduan Pengguna.

  • Gunakan ketentuan dalam IAM kebijakan untuk membatasi akses lebih lanjut — Anda dapat menambahkan kondisi ke kebijakan Anda untuk membatasi akses ke tindakan dan sumber daya. Misalnya, Anda dapat menulis kondisi kebijakan untuk menentukan bahwa semua permintaan harus dikirim menggunakanSSL. Anda juga dapat menggunakan ketentuan untuk memberikan akses ke tindakan layanan jika digunakan melalui yang spesifik Layanan AWS, seperti AWS CloudFormation. Untuk informasi selengkapnya, lihat elemen IAM JSON kebijakan: Kondisi dalam Panduan IAM Pengguna.

  • Gunakan IAM Access Analyzer untuk memvalidasi IAM kebijakan Anda guna memastikan izin yang aman dan fungsional — IAM Access Analyzer memvalidasi kebijakan baru dan yang sudah ada sehingga kebijakan mematuhi bahasa IAM kebijakan () JSON dan praktik terbaik. IAM IAMAccess Analyzer menyediakan lebih dari 100 pemeriksaan kebijakan dan rekomendasi yang dapat ditindaklanjuti untuk membantu Anda membuat kebijakan yang aman dan fungsional. Untuk informasi selengkapnya, lihat Validasi kebijakan IAM Access Analyzer di IAMPanduan Pengguna.

  • Memerlukan otentikasi multi-faktor (MFA) - Jika Anda memiliki skenario yang mengharuskan IAM pengguna atau pengguna root di Anda Akun AWS, aktifkan MFA untuk keamanan tambahan. Untuk meminta MFA kapan API operasi dipanggil, tambahkan MFA kondisi ke kebijakan Anda. Untuk informasi selengkapnya, lihat Mengonfigurasi API akses MFA yang dilindungi di IAMPanduan Pengguna.

Untuk informasi selengkapnya tentang praktik terbaik diIAM, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Menggunakan konsol AWS Health

Untuk mengakses AWS Health konsol, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang AWS Health sumber daya di AWS akun Anda. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana dimaksud untuk entitas (IAMpengguna atau peran) dengan kebijakan tersebut.

Untuk memastikan bahwa entitas tersebut masih dapat menggunakan AWS Health konsol, Anda dapat melampirkan kebijakan AWS terkelola berikut, AWSHealthFullAccess.

AWSHealthFullAccessKebijakan ini memberikan entitas akses penuh ke hal-hal berikut:

  • Mengaktifkan atau menonaktifkan fitur tampilan AWS Health organisasi untuk semua akun di AWS organisasi

  • AWS Health Dashboard Di AWS Health konsol

  • AWS Health APIoperasi dan pemberitahuan

  • Melihat informasi tentang akun yang merupakan bagian dari AWS organisasi Anda

  • Lihat unit organisasi (OU) dari akun manajemen

contoh : AWSHealthFullAccess
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"         
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",    
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "health.amazonaws.com"
                }
            }
        }
    ]
}
catatan

Anda juga dapat menggunakan kebijakan Health_OrganizationsServiceRolePolicy AWS terkelola, sehingga AWS Health dapat melihat peristiwa untuk akun lain di organisasi Anda. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk AWS Health.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau. AWS API Sebagai gantinya, izinkan akses hanya ke tindakan yang cocok dengan API operasi yang Anda coba lakukan.

Untuk informasi selengkapnya, lihat Menambahkan Izin ke Pengguna di Panduan IAM Pengguna.

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Mengakses AWS Health Dashboard dan AWS Health API

AWS Health Dashboard Ini tersedia untuk semua AWS akun. Ini hanya AWS Health API tersedia untuk akun dengan paket Business, Enterprise On-Ramp, atau Enterprise Support. Untuk informasi selengkapnya, lihat AWS Support.

Anda dapat menggunakan IAM untuk membuat entitas (pengguna, grup, atau peran), dan kemudian memberikan izin entitas tersebut untuk mengakses AWS Health Dashboard dan. AWS Health API

Secara default, IAM pengguna tidak memiliki akses ke AWS Health Dashboard atau file AWS Health API. Anda memberi pengguna akses ke AWS Health informasi akun Anda dengan melampirkan IAM kebijakan ke satu pengguna, grup pengguna, atau peran. Untuk informasi selengkapnya, lihat Identitas (Pengguna, Grup, dan Peran) dan Tinjauan IAM Kebijakan.

Setelah Anda membuat IAM pengguna, Anda dapat memberikan kata sandi individual kepada pengguna tersebut. Kemudian, mereka dapat masuk ke akun Anda dan melihat AWS Health informasi dengan menggunakan halaman login khusus akun. Untuk informasi lebih lanjut, lihat Cara Pengguna Masuk ke Akun Anda.

catatan

IAMPengguna dengan izin untuk melihat AWS Health Dashboard memiliki akses hanya-baca ke informasi kesehatan di semua AWS layanan di akun, yang dapat mencakup, namun tidak terbatas pada, AWS sumber daya IDs seperti EC2 instans Amazon, alamat IP EC2 instansIDs, dan pemberitahuan keamanan umum.

Misalnya, jika IAM kebijakan hanya memberikan akses ke AWS Health Dashboard dan AWS Health API, maka pengguna atau peran yang berlaku kebijakan tersebut dapat mengakses semua informasi yang diposting tentang AWS layanan dan sumber daya terkait, meskipun IAM kebijakan lain tidak mengizinkan akses tersebut.

Anda dapat menggunakan dua kelompok APIs untuk AWS Health.

Untuk informasi selengkapnya tentang API operasi yang tersedia, lihat AWS Health APIReferensi.

Tindakan individu

Anda dapat mengatur Action elemen IAM kebijakan kehealth:Describe*. Ini memungkinkan akses ke AWS Health Dashboard dan AWS Health. AWS Health mendukung kontrol akses ke acara berdasarkan eventTypeCode dan layanan.

Menjelaskan akses

Pernyataan kebijakan ini memberikan akses ke AWS Health Dashboard dan setiap Describe* AWS Health API operasi. Misalnya, IAM pengguna dengan kebijakan ini dapat mengakses AWS Health Dashboard dalam AWS Management Console dan memanggil AWS Health DescribeEvents API operasi.

contoh : Mendeskripsikan akses
{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  }]
}

Menolak akses

Pernyataan kebijakan ini menolak akses ke AWS Health Dashboard AWS Health API dan IAMPengguna dengan kebijakan ini tidak dapat melihat bagian AWS Health Dashboard dalam AWS Management Console dan tidak dapat memanggil AWS Health API operasi apa pun.

contoh : Tolak akses
{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Deny",
    "Action": [
      "health:*"
    ],
    "Resource": "*"
  }]
}

Tampilan organisasi

Jika Anda ingin mengaktifkan tampilan organisasi AWS Health, Anda harus mengizinkan akses ke AWS Health dan AWS Organizations tindakan.

ActionElemen IAM kebijakan harus menyertakan izin berikut:

  • iam:CreateServiceLinkedRole

  • organizations:EnableAWSServiceAccess

  • organizations:DescribeAccount

  • organizations:DisableAWSServiceAccess

  • organizations:ListAccounts

  • organizations:ListDelegatedAdministrators

  • organizations:ListParents

Untuk memahami izin persis yang diperlukan untuk masing-masingAPIs, lihat Tindakan yang Ditentukan oleh AWS Health APIs dan Pemberitahuan di Panduan IAM Pengguna.

catatan

Anda harus menggunakan kredensi dari akun manajemen untuk organisasi untuk mengakses untuk. AWS Health APIs AWS Organizations Untuk informasi selengkapnya, lihat Menggabungkan AWS Health peristiwa di seluruh akun.

Izinkan akses ke tampilan organisasi AWS Health

Pernyataan kebijakan ini memberikan akses ke semua AWS Health AWS Organizations tindakan yang Anda perlukan untuk fitur tampilan organisasi.

contoh : Izinkan akses tampilan AWS Health organisasi
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",  
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}

Menolak akses ke tampilan organisasi AWS Health

Pernyataan kebijakan ini menolak akses ke AWS Organizations tindakan tetapi memungkinkan akses ke AWS Health tindakan untuk akun individu.

contoh : Tolak akses tampilan AWS Health organisasi
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "health:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}
catatan

Jika pengguna atau grup yang ingin Anda berikan izin sudah memiliki IAM kebijakan, Anda dapat menambahkan pernyataan kebijakan AWS Health-specific ke kebijakan tersebut.

Sumber daya- dan syarat berbasis aksi

AWS Health mendukung IAMkondisi untuk DescribeAffectedEntitiesdan DescribeEventDetailsAPIoperasi. Anda dapat menggunakan kondisi berbasis sumber daya dan tindakan untuk membatasi peristiwa yang AWS Health API dikirim ke pengguna, grup, atau peran.

Untuk melakukannya, perbarui Condition blok IAM kebijakan atau atur Resource elemen. Anda dapat menggunakan Ketentuan String untuk membatasi akses berdasarkan bidang AWS Health peristiwa tertentu.

Anda dapat menggunakan bidang berikut saat menentukan AWS Health peristiwa dalam kebijakan Anda:

  • eventTypeCode

  • service

Catatan
contoh : Syarat berbasis tindakan

Pernyataan kebijakan ini memberikan akses ke AWS Health Dashboard dan AWS Health Describe* API operasi, tetapi menolak akses ke AWS Health peristiwa apa pun yang berhubungan dengan Amazon. EC2

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "health:service": "EC2"
                }
            }
        }
    ]
}
contoh : Syarat berbasis sumber daya

Kebijakan berikut memiliki efek yang sama, tetapi menggunakan elemen Resource sebagai gantinya.

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  },
  {
    "Effect": "Deny",
    "Action": [
      "health:DescribeEventDetails",
      "health:DescribeAffectedEntities"
    ],
    "Resource": "arn:aws:health:*::event/EC2/*/*"
  }]
}
contoh : eventTypeCode kondisi

Pernyataan kebijakan ini memberikan akses ke AWS Health Dashboard dan AWS Health Describe* API operasi, tetapi menolak akses ke AWS Health acara apa pun dengan eventTypeCode yang cocok. AWS_EC2_*

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "health:eventTypeCode": "AWS_EC2_*"
                }
            }
        }
    ]
}
penting

Jika Anda memanggil DescribeAffectedEntitiesdan DescribeEventDetailsoperasi dan tidak memiliki izin untuk mengakses AWS Health acara, AccessDeniedException kesalahan akan muncul. Untuk informasi selengkapnya, lihat Memecahkan masalah AWS Health identitas dan akses.