Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Syarat dan konsep untukAWS RAM

Konsep-konsep berikut membantu menjelaskan bagaimana Anda dapat menggunakanAWS Resource Access Manager(AWS RAM) untuk berbagi sumber daya Anda.

Berbagi sumber daya

Anda berbagi sumber daya menggunakanAWS RAMdengan membuatberbagi sumber daya. Pembagian sumber daya memiliki tiga elemen berikut:

Setelah Anda menggunakanAWS RAMuntuk membuat pembagian sumber daya, prinsipal yang ditentukan dalam pembagian sumber daya dapat diberikan akses ke sumber daya berbagi.

Berbagi akun

Theberbagi akunberisi sumber daya yang dibagikan dan di manaAWS RAMadministrator membuatAWSberbagi sumber daya dengan menggunakanAWS RAM.

SebuahAWS RAMadministrator adalah prinsipal IAM yang memiliki izin untuk membuat dan mengonfigurasi pembagian sumber daya diAkun AWS. KarenaAWS RAMbekerja dengan melampirkan kebijakan berbasis sumber daya ke sumber daya dalam pembagian sumber,AWS RAMadministrator juga harus memiliki izin untuk memanggilPutResourcePolicyoperasi diLayanan AWSuntuk setiap jenis sumber daya yang termasuk dalam sumber daya.

Mengkonsumsi prinsipal

Theakun konsumsiadalahAkun AWSyang mana sumber daya dibagikan. Pembagian sumber daya dapat menentukan seluruh akun sebagai prinsipal, atau untuk beberapa jenis sumber daya, peran individu, atau pengguna dalam akun. Untuk informasi tentang jenis sumber daya yang mendukung jenis berbagi ini, lihatSumber daya yang dapat dibagikan AWSdan melihatDapat berbagi dengan peran & pengguna IAMkolom.

AWS RAMjuga mendukung prinsip layanan sebagai konsumen pembagian sumber daya. Untuk informasi tentang jenis sumber daya yang mendukung jenis berbagi ini, lihatSumber daya yang dapat dibagikan AWSdan melihatDapat berbagi dengan kepala sekolah layanankolom.

Prinsipal dalam akun konsumsi hanya dapat melakukan tindakan yang diizinkan olehkedua-duanyadari izin berikut:

AWS RAMmendukung tipe utama IAM berikut sebagai konsumen pembagian sumber daya:

Kebijakan berbasis sumber daya

Kebijakan berbasis sumber daya adalah dokumen teks yang menerapkan bahasa kebijakan IAM. Tidak seperti kebijakan berbasis identitas yang Anda lampirkan ke prinsipal, seperti peran IAM atau pengguna, Anda lampirkan kebijakan berbasis sumber daya ke sumber daya.AWS RAMkebijakan berbasis sumber daya penulis atas nama Anda berdasarkan informasi yang Anda berikan untuk pembagian sumber daya Anda. Anda harus menentukanPrincipalelemen kebijakan yang menentukan siapa yang dapat mengakses sumber daya. Untuk informasi selengkapnya, lihatKebijakan berbasis identitas dan kebijakan berbasis sumber dayadiPanduan Pengguna IAM.

Kebijakan berbasis sumber daya yang dihasilkan olehAWS RAMdievaluasi bersama dengan semua jenis kebijakan IAM lainnya. Ini termasuk kebijakan berbasis identitas IAM yang dilampirkan pada prinsipal yang mencoba mengakses sumber daya, dan kebijakan kontrol layanan (SCP) untukAWS Organizationsyang mungkin berlaku untukAkun AWS. Kebijakan berbasis sumber daya yang dihasilkan olehAWS RAMberpartisipasi dalam logika evaluasi kebijakan yang sama seperti semua kebijakan IAM lainnya. Untuk detail lengkap evaluasi kebijakan dan cara menentukan izin yang dihasilkan, lihatLogika evaluasi kebijakandiPanduan Pengguna IAM.

AWS RAMmemberikan pengalaman berbagi sumber daya yang sederhana dan aman dengan menyediakan easy-to-use kebijakan berbasis sumber daya.

Untuk tipe sumber daya yang mendukung kebijakan berbasis sumber daya,AWS RAMsecara otomatis membangun dan mengelola kebijakan berbasis sumber daya untuk Anda. Untuk sumber daya tertentu,AWS RAMmembangun kebijakan berbasis sumber daya dengan menggabungkan informasi dari semua pembagian sumber daya yang mencakup sumber daya tersebut. Misalnya, pertimbangkan Amazon SageMaker pipeline yang Anda bagikan dengan menggunakanAWS RAMdan termasuk dalam dua pembagian sumber daya yang berbeda. Anda dapat menggunakan satu pembagian sumber daya untuk menyediakan akses hanya-baca ke seluruh organisasi Anda. Anda kemudian dapat menggunakan pembagian sumber daya lainnya hanya untuk memberikan SageMaker izin eksekusi untuk satu akun.AWS RAMsecara otomatis menggabungkan dua set izin yang berbeda ke dalam kebijakan sumber daya tunggal dengan beberapa pernyataan. Ini kemudian melampirkan kebijakan berbasis sumber daya ke sumber daya pipa. Anda dapat melihat kebijakan sumber daya dasar ini dengan memanggilGetResourcePolicyoperasi.Layanan AWSkemudian gunakan kebijakan berbasis sumber daya tersebut untuk memberi wewenang kepada prinsipal mana pun yang mencoba melakukan tindakan pada sumber daya bersama.

Meskipun Anda dapat membuat kebijakan berbasis sumber daya secara manual dan melampirkannya ke sumber daya Anda dengan meneleponPutResourcePolicy, kami sarankan Anda menggunakanAWS RAMkarena memberikan keuntungan sebagai berikut:

Dengan menggunakanAWS RAM, Anda bahkan dapat membagikan beberapa jenis sumber daya yang belum mendukung kebijakan berbasis sumber daya. Untuk jenis sumber daya seperti itu,AWS RAMsecara otomatis menghasilkan kebijakan berbasis sumber daya sebagai representasi dari izin aktual. Pengguna dapat melihat representasi ini dengan memanggilGetResourcePolicy. Ini termasuk jenis sumber daya berikut:

Contoh dariAWS RAMkebijakan berbasis sumber daya yang dihasilkan

Jika Anda berbagi sumber daya gambar EC2 Image Builder dengan seorang individuakun,AWS RAMmenghasilkan kebijakan yang terlihat seperti contoh berikut dan melampirkannya ke sumber daya gambar apa pun yang disertakan dalam pembagian sumber daya.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Jika Anda berbagi sumber daya gambar EC2 Image Builder denganPeran IAM atau penggunadalam yang berbedaAkun AWS,AWS RAMmenghasilkan kebijakan yang terlihat seperti contoh berikut dan melampirkannya ke sumber daya gambar apa pun yang disertakan dalam pembagian sumber daya.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Jika Anda berbagi sumber daya gambar EC2 Image Builder dengan semua akun di organisasi atau dengan akun OU,AWS RAMmenghasilkan kebijakan yang terlihat seperti contoh berikut dan melampirkannya ke sumber daya gambar apa pun yang disertakan dalam pembagian sumber daya.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implikasi penggunaan"Principal": "*"dalam kebijakan berbasis sumber daya

Saat Anda memasukkan"Principal": "*"dalam kebijakan berbasis sumber daya, kebijakan memberikan akses ke semua prinsipal IAM di akun yang berisi sumber daya, tunduk pada batasan apa pun yang diberlakukan olehConditionelemen, jika ada. EksplisitDenypernyataan dalam kebijakan apa pun yang berlaku untuk prinsipal panggilan mengesampingkan izin yang diberikan oleh kebijakan ini. Namun, sebuahimplisit Deny(yang berarti kurangnyaeksplisit Allow) dalam setiap kebijakan identitas yang berlaku, kebijakan batas izin, atau kebijakan sesitidakmenghasilkanDenykepada kepala sekolah yang diberikan akses ke suatu tindakan oleh kebijakan berbasis sumber daya tersebut.

Jika perilaku ini tidak diinginkan untuk skenario Anda, maka Anda dapat membatasi perilaku ini dengan menambahkaneksplisit Denypernyataan terhadap kebijakan identitas, batas izin, atau kebijakan sesi yang memengaruhi peran dan pengguna yang relevan.

Izin terkelola

Izin terkelola menentukan tindakan apa yang dapat dilakukan oleh prinsipal dalam kondisi apa pada jenis sumber daya yang didukung dalam pembagian sumber daya. Saat membuat pembagian sumber daya, Anda harus menentukan izin terkelola mana yang akan digunakan untuk setiap jenis sumber daya yang disertakan dalam pembagian sumber daya. Izin terkelola mencantumkan kumpulanactionsdankondisibahwa kepala sekolah dapat melakukan dengan sumber daya yang dibagikan menggunakanAWS RAM.

Anda hanya dapat melampirkan satu perizinan untuk setiap jenis sumber daya dalam pembagian sumber. Anda tidak dapat membuat pembagian sumber daya di mana beberapa sumber daya dari jenis tertentu menggunakan satu izin terkelola dan sumber daya lain dari jenis yang sama menggunakan izin terkelola yang berbeda. Untuk melakukan itu, Anda perlu membuat dua pembagian sumber daya yang berbeda dan membagi sumber daya di antara mereka, memberikan setiap set izin terkelola yang berbeda. Ada dua jenis izin terkelola:

AWS RAMmengambil izin terkelola sebagai masukan untuk membuatkebijakan berbasis sumber dayauntuk sumber daya yang Anda bagikan.

Versi izin terkelola

Setiap perubahan pada izin terkelola direpresentasikan sebagai versi baru dari izin terkelola tersebut. Versi baru adalah default untuk semua pembagian sumber daya baru. Setiap izin terkelola selalu memiliki satu versi yang ditetapkan sebagai versi default. Ketika Anda atauAWSmembuat versi izin terkelola baru, Anda harus secara eksplisit memperbarui izin terkelola untuk setiap pembagian sumber daya yang ada. Anda dapat mengevaluasi perubahan sebelum menerapkannya ke bagian sumber daya Anda di langkah ini. Semua pembagian sumber daya baru akan secara otomatis menggunakan versi baru dari izin terkelola untuk jenis sumber daya yang sesuai.

Saat membuat atau memperbarui pembagian sumber daya, Anda hanya dapat melampirkan versi default dari izin terkelola yang ditentukan. Untuk informasi selengkapnya, lihat Memperbarui izinAWS terkelola ke versi yang lebih baru.