Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
AWS Resource Access Manager (AWS RAM) membantu Anda berbagi sumber daya dengan aman di seluruh Akun AWS, di dalam organisasi atau unit organisasi (OUs), dan dengan peran AWS Identity and Access Management (IAM) dan pengguna untuk jenis sumber daya yang didukung. Jika Anda memiliki beberapa Akun AWS, Anda dapat membuat sumber daya sekali dan menggunakannya AWS RAM untuk membuat sumber daya itu dapat digunakan oleh akun lain tersebut. Jika akun Anda dikelola oleh AWS Organizations, Anda dapat berbagi sumber daya dengan semua akun lain di organisasi atau hanya akun yang terkandung oleh satu atau beberapa unit organisasi tertentu (OUs). Anda juga dapat berbagi dengan ID akun tertentu Akun AWS , terlepas dari apakah akun tersebut merupakan bagian dari organisasi. Beberapa jenis sumber daya yang didukung juga memungkinkan Anda membagikannya dengan peran dan pengguna IAM tertentu.
Daftar Isi
Ikhtisar video
Video berikut memberikan pengantar singkat AWS RAM dan menjelaskan cara membuat pembagian sumber daya. Untuk informasi selengkapnya, lihat Membuat pembagian sumber daya di AWS RAM.
Video berikut menunjukkan cara menerapkan izin AWS terkelola ke sumber daya Anda AWS . Untuk informasi selengkapnya, lihat Mengelola izin di AWS RAM.
Video ini menunjukkan cara membuat dan mengaitkan izin terkelola pelanggan mengikuti praktik terbaik dengan hak istimewa paling sedikit. Untuk informasi lebih lanjut lihat,Membuat dan menggunakan izin terkelola pelanggan di AWS RAM.
Manfaat dari AWS RAM
Mengapa menggunakan AWS RAM? Ini menawarkan manfaat berikut:
-
Mengurangi overhead operasional Anda — Buat sumber daya sekali, lalu gunakan AWS RAM untuk berbagi sumber daya tersebut dengan akun lain. Ini menghilangkan kebutuhan untuk menyediakan sumber daya duplikat di setiap akun, yang mengurangi overhead operasional. Dalam akun yang memiliki sumber daya, AWS RAM menyederhanakan pemberian akses ke setiap peran dan pengguna di akun itu tanpa harus menggunakan kebijakan izin berbasis identitas.
-
Menyediakan keamanan dan konsistensi — Sederhanakan manajemen keamanan untuk sumber daya bersama Anda dengan menggunakan satu set kebijakan dan izin. Jika Anda malah membuat sumber daya duplikat di semua akun terpisah Anda, Anda akan memiliki tugas untuk menerapkan kebijakan dan izin yang identik, dan kemudian harus menjaganya tetap identik di semua akun tersebut. Sebagai gantinya, semua pengguna berbagi AWS RAM sumber daya dikelola oleh satu set kebijakan dan izin. AWS RAM menawarkan pengalaman yang konsisten untuk berbagi berbagai jenis AWS sumber daya.
-
Menyediakan visibilitas dan auditabilitas — Lihat detail penggunaan untuk sumber daya bersama Anda melalui integrasi dengan AWS RAM Amazon CloudWatch dan. AWS CloudTrail AWS RAM memberikan visibilitas komprehensif ke sumber daya dan akun bersama.
Bagaimana dengan akses lintas akun dengan kebijakan berbasis sumber daya?
Anda dapat berbagi beberapa jenis AWS sumber daya dengan yang lain Akun AWS dengan melampirkan kebijakan berbasis sumber daya yang mengidentifikasi AWS Identity and Access Management (IAM) prinsipal (peran dan pengguna IAM) di luar Anda. Akun AWS Namun, berbagi sumber daya dengan melampirkan kebijakan tidak mengambil keuntungan dari manfaat tambahan yang AWS RAM disediakan. Dengan menggunakan AWS RAM Anda mendapatkan fitur-fitur berikut:
-
Anda dapat berbagi dengan organisasi atau unit organisasi (OU) tanpa harus menghitung semua. Akun AWS IDs
-
Pengguna dapat melihat sumber daya yang dibagikan dengan mereka secara langsung di Layanan AWS konsol asal dan operasi API seolah-olah sumber daya tersebut langsung ada di akun pengguna. Misalnya, jika Anda menggunakan AWS RAM untuk berbagi subnet VPC Amazon dengan akun lain, pengguna di akun tersebut dapat melihat subnet di konsol VPC Amazon dan dalam hasil operasi API VPC Amazon yang dilakukan di akun tersebut. Sumber daya yang dibagikan dengan melampirkan kebijakan berbasis sumber daya tidak terlihat seperti ini; sebagai gantinya, Anda harus menemukan dan secara eksplisit merujuk ke sumber daya dengan Nama Sumber Daya Amazon (ARN) -nya.
-
Pemilik sumber daya dapat melihat kepala sekolah mana yang memiliki akses ke setiap sumber daya individu yang telah mereka bagikan.
-
Jika Anda berbagi sumber daya dengan akun yang bukan bagian dari organisasi Anda, maka AWS RAM mulailah proses undangan. Penerima harus menerima undangan sebelum kepala sekolah dapat mengakses sumber daya bersama. Setelah Anda mengaktifkan kemampuan untuk berbagi dalam organisasi Anda, berbagi dengan akun di organisasi tidak memerlukan undangan.
Jika Anda memiliki sumber daya yang telah Anda bagikan menggunakan kebijakan izin berbasis sumber daya, Anda dapat mempromosikan sumber daya tersebut ke sumber daya yang AWS RAM dikelola sepenuhnya dengan melakukan salah satu hal berikut:
-
Gunakan PromoteResourceShareCreatedFromPolicyOperasi API.
-
Gunakan ekuivalen operasi API, yaitu AWS Command Line Interface (AWS CLI) promote-resource-share-created-from-policyperintah.
Cara kerja berbagi sumber daya
Ketika Anda berbagi sumber daya di akun pemilik dengan yang lain Akun AWS, akun konsumsi, Anda memberikan akses untuk prinsipal di akun konsumsi ke sumber daya bersama. Kebijakan dan izin apa pun yang berlaku untuk peran dan pengguna di akun konsumsi juga berlaku untuk sumber daya bersama. Sumber daya dalam berbagi terlihat seperti sumber daya asli di tempat Akun AWS Anda membagikannya.
Anda dapat berbagi sumber daya global dan Regional. Untuk informasi selengkapnya, lihat Berbagi sumber daya regional dibandingkan dengan sumber daya global.
Berbagi sumber daya Anda
Dengan AWS RAM, Anda berbagi sumber daya yang Anda miliki dengan membuat pembagian sumber daya. Untuk membuat pembagian sumber daya, Anda menentukan yang berikut ini:
-
Wilayah AWS Di mana Anda ingin membuat berbagi sumber daya. Di konsol, Anda memilih dari menu tarik-turun Wilayah di sudut kanan atas konsol. Di AWS CLI, Anda menggunakan
--regionparameter.-
Pembagian sumber daya hanya dapat berisi sumber daya Regional yang Wilayah AWS sama dengan pembagian sumber daya.
-
Pembagian sumber daya dapat berisi sumber daya global hanya jika pembagian sumber daya berada di Wilayah asal yang ditunjuk untuk sumber daya global, US East (Virginia N.),
us-east-1.
-
-
Nama untuk pembagian sumber daya.
-
Daftar sumber daya yang ingin Anda berikan akses sebagai bagian dari pembagian sumber daya ini.
-
Prinsipal tempat Anda memberikan akses ke pembagian sumber daya. Prinsipal dapat berupa individu Akun AWS, akun dalam organisasi atau unit organisasi (OU) di AWS Organizations, atau peran individu AWS Identity and Access Management (IAM) atau pengguna.
catatan
Tidak semua jenis sumber daya dapat dibagikan dengan peran dan pengguna IAM. Untuk informasi tentang sumber daya yang dapat Anda bagikan dengan prinsipal ini, lihat. Sumber daya yang dapat dibagikan AWS
-
Izin terkelola untuk mengaitkan dengan setiap jenis sumber daya yang Anda sertakan dalam pembagian sumber daya. Izin terkelola menentukan apa yang dapat dilakukan oleh prinsipal di akun lain dengan sumber daya dalam pembagian sumber daya.
Perilaku izin tergantung pada jenis kepala sekolah:
-
Jika prinsipal berada di akun yang berbeda dari akun yang memiliki sumber daya, maka izin yang dilampirkan pada pembagian sumber daya adalah izin maksimum yang tersedia untuk diberikan kepada peran dan pengguna di akun tersebut. Administrator akun tersebut kemudian harus memberikan peran individu dan akses pengguna ke sumber daya bersama dengan kebijakan berbasis identitas IAM. Izin yang diberikan dalam kebijakan tersebut tidak dapat melebihi yang ditentukan dalam izin yang dilampirkan pada pembagian sumber daya.
-
Akun pemilik sumber daya mempertahankan kepemilikan penuh atas sumber daya yang dibagikannya.
Menggunakan sumber daya bersama
Ketika pemilik sumber daya membagikannya dengan akun Anda, Anda dapat mengakses sumber daya bersama seperti yang Anda lakukan jika akun Anda memilikinya. Anda dapat mengakses sumber daya dengan menggunakan konsol, AWS CLI perintah, dan operasi API layanan yang relevan. Operasi API yang diizinkan dilakukan oleh prinsipal di akun Anda bervariasi tergantung pada jenis sumber daya dan ditentukan oleh AWS RAM izin yang dilampirkan pada pembagian sumber daya. Semua kebijakan IAM dan kebijakan kontrol layanan yang dikonfigurasi di akun Anda juga terus berlaku, yang memungkinkan Anda memanfaatkan investasi yang ada dalam kontrol keamanan dan tata kelola.
Saat Anda mengakses sumber daya bersama menggunakan layanan sumber daya tersebut, Anda memiliki kemampuan dan batasan yang sama dengan Akun AWS yang memiliki sumber daya tersebut.
-
Jika sumber dayanya Regional, maka Anda dapat mengaksesnya Wilayah AWS hanya dari yang ada di akun yang dimiliki.
-
Jika sumber daya bersifat global, maka Anda dapat mengaksesnya dari apa pun Wilayah AWS yang didukung oleh konsol layanan dan alat sumber daya. Anda dapat melihat dan mengelola pembagian sumber daya dan sumber daya globalnya di AWS RAM konsol dan alat hanya di Wilayah asal yang ditunjuk, AS Timur (Virginia Utara),
us-east-1.
Mengakses AWS RAM
Anda dapat bekerja AWS RAM dengan salah satu cara berikut:
- AWS RAM konsol
-
AWS RAM menyediakan antarmuka pengguna berbasis web, AWS RAM konsol. Jika Anda telah mendaftar Akun AWS, Anda dapat mengakses AWS RAM konsol dengan masuk ke AWS Management Console
dan memilih AWS RAM dari beranda konsol. Anda juga dapat menavigasi di browser Anda langsung ke AWS RAM konsol
. Jika Anda belum masuk, Anda diminta untuk melakukannya sebelum konsol muncul. - AWS CLI dan Alat untuk Windows PowerShell
-
Ini AWS CLI dan AWS Tools for PowerShell menyediakan akses langsung ke operasi API AWS RAM publik. AWS mendukung alat-alat ini pada Windows, macOS, dan Linux. Untuk informasi selengkapnya tentang memulai, lihat Panduan AWS Command Line Interface Pengguna, atau Panduan AWS Tools for Windows PowerShell Pengguna. Untuk informasi selengkapnya tentang perintah AWS RAM, lihat Referensi AWS CLI Perintah atau Referensi AWS Tools for Windows PowerShell Cmdlet.
- AWS SDKs
-
AWS menyediakan perintah API untuk serangkaian bahasa pemrograman yang luas. Untuk informasi selengkapnya tentang memulai, lihat Panduan Referensi Alat AWS SDKs dan Alat.
- API Kueri
-
Jika Anda tidak menggunakan salah satu bahasa pemrograman yang didukung, maka AWS RAM HTTPS Query API memberi Anda akses terprogram ke AWS RAM dan AWS. Dengan AWS RAM API, Anda dapat mengeluarkan permintaan HTTPS langsung ke layanan. Saat Anda menggunakan AWS RAM API, Anda harus menyertakan kode untuk menandatangani permintaan secara digital menggunakan kredensi Anda. Untuk informasi lebih lanjut, lihat Referensi API AWS RAM.
Harga untuk AWS RAM
Tidak ada biaya tambahan untuk menggunakan AWS RAM atau untuk membuat pembagian sumber daya dan berbagi sumber daya Anda di seluruh akun. Biaya penggunaan sumber daya bervariasi tergantung pada jenis sumber daya. Untuk informasi selengkapnya tentang cara AWS menagih sumber daya yang dapat dibagikan, lihat dokumentasi untuk layanan yang dimiliki sumber daya.
Kepatuhan dan standar internasional
PCI DSS
AWS RAM mendukung pemrosesan, penyimpanan, dan transmisi data kartu kredit oleh pedagang atau penyedia layanan, dan telah divalidasi sesuai dengan Standar Keamanan Data Industri Kartu Pembayaran (PCI) Data Security Standard (DSS).
Untuk informasi tentang DSS PCI selengkapnya, termasuk cara meminta salinan AWS
PCI Compliance Package, lihat DSS PCI Level 1
FedRAMP
AWS RAM diberi wewenang sebagai FedRAMP Moderate sebagai Wilayah AWS berikut: US East (Virginia N.), US East (Ohio), US West (California N.), dan US West (Oregon).
AWS RAM diberi wewenang sebagai FedRAMP High sebagai Wilayah AWS berikut AWS GovCloud : (AS-Barat) dan (AS-Timur) AWS GovCloud .
Federal Risk and Authorization Management Program (FedRAMP) adalah program pemerintah AS yang memberikan pendekatan standar untuk penilaian keamanan, otorisasi, dan pemantauan berkelanjutan untuk produk dan layanan cloud.
Untuk informasi selengkapnya tentang kepatuhan FedRAMP, lihat FedRAMP.
SOC dan ISO
AWS RAM dapat digunakan untuk beban kerja yang tunduk pada kepatuhan Service Organization Control (SOC) dan standar Organisasi Internasional untuk Standardisasi (ISO) ISO 9001, ISO 27001, ISO 27017, ISO 27018, dan ISO 27701. Pelanggan di bidang keuangan, perawatan kesehatan, dan sektor teregulasi lainnya dapat memperoleh wawasan tentang proses dan kontrol keamanan yang melindungi data pelanggan yang dapat ditemukan dalam laporan SOC, dan AWS sertifikat ISO dan CSA STAR di. AWS Artifact
Untuk informasi selengkapnya tentang kepatuhan SOC, lihat SOC
Untuk informasi selengkapnya tentang kepatuhan ISO, lihat ISO 9001
