Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Syarat dan konsep untuk AWS RAM

Konsep berikut membantu menjelaskan bagaimana Anda dapat menggunakan AWS Resource Access Manager (AWS RAM) untuk berbagi sumber daya Anda.

Berbagi sumber daya

Anda berbagi sumber daya menggunakan AWS RAM dengan membuat pembagian sumber daya. Pembagian sumber daya memiliki tiga elemen berikut:

Setelah Anda menggunakan AWS RAM untuk membuat pembagian sumber daya, prinsipal yang ditentukan dalam pembagian sumber daya dapat diberikan akses ke sumber daya berbagi.

Berbagi akun

Akun berbagi berisi sumber daya yang dibagikan dan di mana AWS RAM administrator membuat pembagian AWS sumber daya dengan menggunakan AWS RAM.

AWS RAM Administrator adalah prinsipal IAM yang memiliki izin untuk membuat dan mengonfigurasi pembagian sumber daya di file. Akun AWS Karena AWS RAM berfungsi dengan melampirkan kebijakan berbasis sumber daya ke sumber daya dalam pembagian sumber daya, AWS RAM administrator juga harus memiliki izin untuk memanggil PutResourcePolicy operasi Layanan AWS untuk setiap jenis sumber daya yang disertakan dalam pembagian sumber daya.

Prinsip konsumsi

Akun konsumsi adalah tempat Akun AWS sumber daya dibagikan. Pembagian sumber daya dapat menentukan seluruh akun sebagai prinsipal, atau untuk beberapa jenis sumber daya, peran individu, atau pengguna dalam akun. Untuk informasi tentang jenis sumber daya yang mendukung jenis berbagi ini, lihat Sumber daya yang dapat dibagikan AWS dan lihat kolom Dapat berbagi dengan peran & pengguna IAM.

AWS RAM juga mendukung prinsip layanan sebagai konsumen pembagian sumber daya. Untuk informasi tentang jenis sumber daya yang mendukung jenis berbagi ini, lihat Sumber daya yang dapat dibagikan AWS dan lihat kolom Dapat berbagi dengan prinsipal layanan.

Prinsipal di akun konsumsi hanya dapat melakukan tindakan yang diizinkan oleh kedua izin berikut:

AWS RAM mendukung tipe utama IAM berikut sebagai konsumen pembagian sumber daya:

Kebijakan berbasis sumber daya

Kebijakan berbasis sumber daya adalah dokumen teks JSON yang menerapkan bahasa kebijakan IAM. Tidak seperti kebijakan berbasis identitas yang Anda lampirkan ke prinsipal, seperti peran IAM atau pengguna, Anda melampirkan kebijakan berbasis sumber daya ke sumber daya. AWS RAM kebijakan berbasis sumber daya penulis atas nama Anda berdasarkan informasi yang Anda berikan untuk pembagian sumber daya Anda. Anda harus menentukan elemen Principal kebijakan yang menentukan siapa yang dapat mengakses sumber daya. Untuk informasi selengkapnya, lihat Kebijakan berbasis identitas dan kebijakan berbasis sumber daya di Panduan Pengguna IAM.

Kebijakan berbasis sumber daya yang dihasilkan oleh AWS RAM dievaluasi bersama dengan semua jenis kebijakan IAM lainnya. Ini termasuk kebijakan berbasis identitas IAM yang dilampirkan pada prinsipal yang mencoba mengakses sumber daya, dan kebijakan kontrol layanan () SCPs untuk itu mungkin berlaku untuk. AWS Organizations Akun AWS Kebijakan berbasis sumber daya yang dihasilkan dengan AWS RAM berpartisipasi dalam logika evaluasi kebijakan yang sama seperti semua kebijakan IAM lainnya. Untuk detail lengkap tentang evaluasi kebijakan dan cara menentukan izin yang dihasilkan, lihat Logika evaluasi kebijakan di Panduan Pengguna IAM.

AWS RAM memberikan pengalaman berbagi sumber daya yang sederhana dan aman dengan menyediakan kebijakan berbasis sumber daya easy-to-use abstraksi.

Untuk jenis sumber daya yang mendukung kebijakan berbasis sumber daya, AWS RAM secara otomatis membuat dan mengelola kebijakan berbasis sumber daya untuk Anda. Untuk sumber daya tertentu, AWS RAM buat kebijakan berbasis sumber daya dengan menggabungkan informasi dari semua pembagian sumber daya yang mencakup sumber daya tersebut. Misalnya, pertimbangkan saluran Amazon SageMaker AI yang Anda bagikan dengan menggunakan AWS RAM dan sertakan dalam dua pembagian sumber daya yang berbeda. Anda dapat menggunakan satu pembagian sumber daya untuk menyediakan akses hanya-baca ke seluruh organisasi Anda. Anda kemudian dapat menggunakan pembagian sumber daya lainnya untuk hanya memberikan izin eksekusi SageMaker AI ke satu akun. AWS RAM secara otomatis menggabungkan dua set izin yang berbeda ke dalam kebijakan sumber daya tunggal dengan beberapa pernyataan. Kemudian melampirkan kebijakan berbasis sumber daya gabungan ke sumber daya pipa. Anda dapat melihat kebijakan sumber daya dasar ini dengan memanggil GetResourcePolicyoperasi. Layanan AWS kemudian gunakan kebijakan berbasis sumber daya tersebut untuk memberi wewenang kepada prinsipal mana pun yang mencoba melakukan tindakan pada sumber daya bersama.

Meskipun Anda dapat secara manual membuat kebijakan berbasis sumber daya dan melampirkannya ke sumber daya Anda dengan meneleponPutResourcePolicy, kami sarankan Anda menggunakannya AWS RAM karena memberikan keuntungan berikut:

Dengan menggunakan AWS RAM, Anda bahkan dapat membagikan beberapa jenis sumber daya yang belum mendukung kebijakan berbasis sumber daya. Untuk jenis sumber daya tersebut, AWS RAM secara otomatis membuat kebijakan berbasis sumber daya sebagai representasi dari izin yang sebenarnya. Pengguna dapat melihat representasi ini dengan memanggil GetResourcePolicy. Ini termasuk jenis sumber daya berikut:

Contoh kebijakan berbasis sumber daya yang AWS RAM dihasilkan

Jika Anda membagikan sumber daya EC2 gambar Image Builder dengan akun individual AWS RAM , buat kebijakan yang terlihat seperti contoh berikut dan lampirkan ke sumber daya gambar apa pun yang disertakan dalam pembagian sumber daya.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Jika Anda berbagi sumber daya EC2 gambar Image Builder dengan peran IAM atau pengguna lain Akun AWS, buat AWS RAM kebijakan yang terlihat seperti contoh berikut dan lampirkan ke sumber daya gambar apa pun yang disertakan dalam pembagian sumber daya.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Jika Anda membagikan sumber daya gambar Image Builder dengan semua akun di organisasi atau dengan akun OU, buat AWS RAM kebijakan yang terlihat seperti contoh berikut dan lampirkan ke sumber daya gambar apa pun yang disertakan dalam pembagian sumber daya. EC2

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implikasi penggunaan "Principal": "*" dalam kebijakan berbasis sumber daya

Saat Anda memasukkan "Principal": "*" dalam kebijakan berbasis sumber daya, kebijakan tersebut memberikan akses ke semua prinsip IAM di akun yang berisi sumber daya, tunduk pada batasan apa pun yang diberlakukan oleh elemen, jika ada. Condition DenyPernyataan eksplisit dalam kebijakan apa pun yang berlaku untuk prinsipal panggilan akan mengesampingkan izin yang diberikan oleh kebijakan ini. Namun, implisit Deny (artinya kurangnya eksplisitAllow) dalam kebijakan identitas yang berlaku, kebijakan batas izin, atau kebijakan sesi tidak mengakibatkan kepada prinsipal yang diberikan akses Deny ke tindakan oleh kebijakan berbasis sumber daya tersebut.

Jika perilaku ini tidak diinginkan untuk skenario Anda, maka Anda dapat membatasi perilaku ini dengan menambahkan Deny pernyataan eksplisit ke kebijakan identitas, batas izin, atau kebijakan sesi yang memengaruhi peran dan pengguna yang relevan.

Izin terkelola

Izin terkelola menentukan tindakan apa yang dapat dilakukan oleh prinsipal dalam kondisi apa pada jenis sumber daya yang didukung dalam pembagian sumber daya. Saat membuat pembagian sumber daya, Anda harus menentukan izin terkelola mana yang akan digunakan untuk setiap jenis sumber daya yang disertakan dalam pembagian sumber daya. Izin terkelola mencantumkan kumpulan actions dan kondisi yang dapat dilakukan oleh prinsipal dengan sumber daya yang digunakan bersama. AWS RAM

Anda hanya dapat melampirkan satu izin terkelola untuk setiap jenis sumber daya dalam pembagian sumber daya. Anda tidak dapat membuat pembagian sumber daya di mana beberapa sumber daya dari jenis tertentu menggunakan satu izin terkelola dan sumber daya lain dari jenis yang sama menggunakan izin terkelola yang berbeda. Untuk melakukan itu, Anda perlu membuat dua pembagian sumber daya yang berbeda dan membagi sumber daya di antara mereka, memberikan setiap set izin terkelola yang berbeda. Ada dua jenis izin terkelola:

AWS RAM mengambil izin terkelola sebagai masukan untuk membuat kebijakan berbasis sumber daya untuk sumber daya yang Anda bagikan.

Versi izin terkelola

Setiap perubahan pada izin terkelola direpresentasikan sebagai versi baru dari izin terkelola tersebut. Versi baru adalah default untuk semua pembagian sumber daya baru. Setiap izin terkelola selalu memiliki satu versi yang ditetapkan sebagai versi default. Saat Anda atau AWS membuat versi izin terkelola baru, Anda harus secara eksplisit memperbarui izin terkelola untuk setiap pembagian sumber daya yang ada. Anda dapat mengevaluasi perubahan sebelum menerapkannya ke bagian sumber daya Anda di langkah ini. Semua pembagian sumber daya baru akan secara otomatis menggunakan versi baru dari izin terkelola untuk jenis sumber daya yang sesuai.

Saat membuat atau memperbarui pembagian sumber daya, Anda hanya dapat melampirkan versi default dari izin terkelola yang ditentukan. Untuk informasi selengkapnya, lihat Memperbarui izin AWS terkelola ke versi yang lebih baru.