View a markdown version of this page

Mengelola izin di AWS RAM - AWS Resource Access Manager
Cara kerja izin terkelolaJenis izin terkelola

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengelola izin di AWS RAM

Di AWS RAM, ada dua jenis izin terkelola, izin ter AWS kelola dan izin yang dikelola pelanggan.

Izin terkelola menentukan bagaimana konsumen dapat bertindak atas sumber daya dalam pembagian sumber daya. Saat Anda membuat berbagi sumber daya, Anda harus menentukan izin terkelola mana yang akan digunakan untuk setiap jenis sumber daya yang disertakan dalam pembagian sumber daya. Template kebijakan dalam izin terkelola berisi semua yang diperlukan untuk kebijakan berbasis sumber daya kecuali untuk prinsip dan sumber daya. Nama Sumber Daya Amazon (ARN) sumber daya dan ARN dari prinsipal yang terkait dengan pembagian sumber daya melengkapi elemen kebijakan berbasis sumber daya. AWS RAM kemudian menulis kebijakan berbasis sumber daya yang dilampirkan ke semua sumber daya dalam pembagian sumber daya tersebut.

Setiap izin terkelola dapat memiliki satu atau lebih versi. Satu versi ditetapkan sebagai versi default untuk izin terkelola tersebut. Kadang-kadang, AWS memperbarui AWS izin terkelola untuk jenis sumber daya dengan membuat versi baru dan menetapkan versi baru tersebut sebagai default. Anda juga dapat memperbarui izin yang dikelola pelanggan dengan membuat versi baru. Izin terkelola yang sudah dilampirkan ke berbagi sumber daya tidak diperbarui secara otomatis. Kon AWS RAM sol memang menunjukkan kapan versi default baru tersedia, dan Anda dapat meninjau perubahan dalam versi default baru dibandingkan dengan yang sebelumnya.

catatan

Kami menyarankan Anda memperbarui ke versi baru izin terkel AWS ola sesegera mungkin. Pembaruan ini biasanya menambahkan dukungan untuk baru atau Layanan AWS yang diperbarui yang dapat berbagi jenis sumber daya tambahan menggunakan AWS RAM. Versi default baru juga dapat mengatasi dan memperbaiki kerentanan keamanan.

penting

Anda hanya dapat melampirkan versi default izin terkelola ke berbagi sumber daya baru.

Anda dapat mengambil daftar izin terkelola yang tersedia kapan saja. Untuk informasi selengkapnya, lihat Melihat izin terkelola.

Topik

Cara kerja izin terkelola

Untuk ikhtisar singkat, tonton video berikut yang menunjukkan bagaimana izin terkelola memungkinkan Anda menerapkan praktik terbaik akses hak istimewa terendah ke AWS sumber daya Anda.

Video ini menunjukkan cara membuat dan mengaitkan izin yang dikelola pelanggan mengikuti praktik terbaik hak istimewa terendah. Untuk informasi selengkapnya, lihat Membuat dan menggunakan izin terkelola pelanggan di AWS RAM.

Saat membuat berbagi sumber daya, Anda mengaitkan izin AWS terkelola dengan setiap jenis sumber daya yang ingin Anda bagikan. Jika izin terkelola memiliki lebih dari satu versi, pembagian sumber daya baru selalu menggunakan versi yang ditetapkan sebagai default.

Setelah Anda membuat berbagi sumber daya, gunakan AWS RAM izin terkelola untuk membuat kebijakan berbasis sumber daya yang dilampirkan ke setiap sumber daya bersama.

Template kebijakan dalam izin terkelola menentukan hal berikut:

Efek

Menunjukkan apakah Allow atau Deny izin utama untuk melakukan operasi pada sumber daya bersama. Untuk izin terkelola, efeknya selaluAllow. Untuk informasi selengkapnya, lihat Efek di Panduan Pengguna IAM.

Tindakan

Daftar operasi yang diberikan izin kepada kepala sekolah untuk dilakukan. Ini bisa berupa tindakan dalam Konsol Manajemen AWS atau operasi di AWS Command Line Interface (AWS CLI) atau AWS API. Tindakan ditentukan oleh AWS izin. Untuk informasi selengkapnya, lihat Tind akan di Panduan Pengguna IAM.

Kondisi

Kapan dan bagaimana seorang kepala sekolah dapat berinteraksi dengan sumber daya dalam pembagian sumber daya. Kondisi menambahkan lapisan keamanan ekstra ke sumber daya bersama Anda. Gunakan mereka untuk membatasi akses tindakan sensitif ke sumber daya bersama Anda. Misalnya, Anda dapat menyertakan kondisi yang mengharuskan tindakan berasal dari rentang alamat IP perusahaan tertentu, atau tindakan tersebut harus dilakukan oleh pengguna yang diautentikasi dengan otentikasi multi-faktor. Untuk informasi selengkapnya tentang kondisi, lihat kunci konteks kondisi AWS global di Panduan Pengguna IAM. Untuk informasi selengkapnya tentang kondisi khusus layanan, lihat Tindakan, sumber daya, dan kunci kondisi untuk AWS layanan di Referensi Otorisasi Layanan.

catatan

Ketentuan tersedia untuk izin yang dikelola pelanggan dan jenis sumber daya yang didukung untuk izin AWS terkelola.

Untuk informasi tentang kondisi yang dikecualikan dari penggunaan dengan izin yang dikelola pelanggan, lihatPertimbangan untuk menggunakan izin terkelola pelanggan di AWS RAM.

Jenis izin terkelola

Saat Anda membuat berbagi sumber daya, Anda memilih izin terkelola untuk mengaitkan dengan setiap jenis sumber daya yang Anda sertakan dalam pembagian sumber daya. AWS izin terkelola ditentukan oleh layanan pemilik AWS sumber daya dan dikelola oleh. AWS RAM Anda membuat dan memelihara izin yang dikelola pelanggan Anda sendiri.

  • AWS izin terkelola — Ada satu izin terkelola default yang tersedia untuk setiap jenis sumber daya yang AWS RAM mendukung. Izin terkelola default adalah izin yang digunakan untuk jenis sumber daya kecuali Anda secara eksplisit memilih salah satu izin terkelola tambahan. Izin terkelola default dimaksudkan untuk mendukung skenario pelanggan yang paling umum untuk berbagi sumber daya dari jenis yang ditentukan. Izin terkelola default memungkinkan prinsipal untuk melakukan tindakan tertentu yang ditentukan oleh layanan untuk jenis sumber daya. Misalnya, untuk jenis ec2:Subnet sumber daya Amazon VPC, izin terkelola default memungkinkan kepala sekolah untuk melakukan tindakan berikut:

    • ec2:RunInstances

    • ec2:CreateNetworkInterface

    • ec2:DescribeSubnets

    Nama-nama izin AWS terkelola default menggunakan format berikut:AWSRAMDefaultPermissionShareableResourceType. Misalnya, untuk jenis ec2:Subnet sumber daya, nama izin terkel AWS ola default adalahAWSRAMDefaultPermissionSubnet.

    catatan

    Izin terkelola default terpisah dari versi default izin terkelola. Semua izin terkelola, baik default atau salah satu izin terkelola tambahan yang didukung oleh beberapa jenis sumber daya, adalah izin terpisah dan lengkap dengan efek dan tindakan berbeda yang mendukung skenario berbagi yang berbeda, seperti akses baca-tulis versus akses baca-saja. Izin terkelola apa pun, baik yang dikelola pelanggan AWS atau dikelola dapat memiliki beberapa versi, salah satunya adalah versi default untuk izin tersebut.

    Misalnya, saat Anda berbagi jenis sumber daya yang mendukung akses penuh (ReaddanWrite) izin terkelola dan izin terkelola baca-saja, Anda dapat membuat satu berbagi sumber daya untuk administrator dengan izin terkelola akses penuh. Anda kemudian dapat membuat berbagi sumber daya terpisah untuk pengembang lain menggunakan izin terkelola baca-saja untuk mengikuti praktik pemberian hak istimewa paling sedikit.

    catatan

    Semua AWS layanan yang bekerja dengan AWS RAM mendukung setidaknya satu izin terkelola default. Anda dapat melihat izin yang tersedia untuk masing-masing Layanan AWS di halaman pust aka izin terkelola. Halaman ini memberikan rincian tentang setiap izin terkelola yang tersedia, termasuk pembagian sumber daya apa pun yang saat ini terkait dengan izin dan apakah berbagi dengan prinsipal eksternal diperbolehkan, jika berlaku. Untuk informasi selengkapnya, lihat Melihat izin terkelola.

    Untuk layanan yang tidak mendukung izin terkelola tambahan, saat Anda membuat berbagi sumber daya, AWS RAM secara otomatis menerapkan izin default yang ditentukan untuk jenis sumber daya yang Anda pilih. Jika didukung, Anda juga akan memiliki opsi untuk memilih Buat izin yang dikelola pelanggan di halaman Izin ter kelola Asosiasi.

  • Izin yang dikelola pelanggan — Izin yang dikelola pelanggan adalah izin terkelola yang Anda buat dan pertahankan dengan menentukan secara tepat tindakan mana yang dapat dilakukan dalam kondisi apa dengan sumber daya yang digunakan bersama AWS RAM. Misalnya, Anda ingin membatasi akses baca untuk kumpulan Amazon VPC IP Address Manager (IPAM), yang membantu Anda mengelola alamat IP dalam skala besar. Anda dapat membuat izin yang dikelola pelanggan bagi pengembang untuk menetapkan alamat IP, tetapi tidak melihat rentang alamat IP yang ditetapkan oleh akun pengembang lain. Anda dapat mengikuti praktik terbaik hak istimewa terkecil, hanya memberikan izin yang diperlukan untuk melakukan tugas pada sumber daya bersama.