Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Contoh kebijakan berbasis identitas Penjelajah Sumber Daya AWS

Secara default,AWS Identity and Access Management IAM), seperti peran, grup, pengguna, tidak memiliki izin untuk membuat atau memodifikasi sumber daya Resource Explorer. Mereka juga tidak dapat melakukan tugas menggunakanAWS Management Console,AWS Command Line Interface (AWS CLI), atauAWS API. Administrator IAM harus membuat kebijakan IAM yang memberi izin kepada prinsipal untuk melakukan operasi API tertentu pada sumber daya yang diperlukan. Kemudian, administrator harus menetapkan kebijakan tersebut ke prinsipal IAM yang memerlukan izin tersebut.

Untuk menyediakan akses, tambahkan izin ke pengguna, grup, atau peran Anda:

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat Kebijakan pada Tab JSON dalam Panduan Pengguna IAM.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya Resource Explorer di akun Anda. Tindakan ini membuat Akun AWS Anda terkena biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat praktik terbaik keamanan di IAM dalam Panduan Pengguna IAM.

Menggunakan konsol Resource Explorer

Agar prinsipal dapat mencari diPenjelajah Sumber Daya AWS konsol tersebut, mereka harus memiliki satu set izin minimum. Jika Anda tidak membuat kebijakan berbasis identitas dengan izin minimum yang diperlukan, konsol Resource Explorer tidak akan berfungsi sebagaimana dimaksudkan untuk prinsipal di akun.

Anda dapat menggunakan kebijakanAWS terkelola bernamaAWSResourceExplorerReadOnlyAccess untuk memberikan kemampuan menggunakan konsol Resource Explorer untuk mencari menggunakan tampilan apa pun di akun. Untuk memberikan izin untuk mencari hanya dengan satu tampilan, lihatMemberikan akses ke tampilan Resource Explorer untuk pencarian, dan contoh dalam dua bagian berikut.

Anda tidak perlu memberikan izin konsol minimum untuk prinsipal yang melakukan panggilan hanya keAWS CLI atauAWS API. Sebagai gantinya, Anda dapat memilih untuk memberikan akses hanya ke tindakan yang cocok dengan operasi API yang perlu dilakukan oleh prinsipal.

Memberikan akses ke tampilan berdasarkan tag

Dalam contoh ini, Anda ingin memberi akses ke tampilan Resource Explorer pada prinsipal di akun tersebut.Akun AWS Untuk melakukan ini, Anda menetapkan kebijakan berbasis identitas IAM ke prinsipal yang ingin Anda cari di Resource Explorer. Contoh berikut kebijakan IAM memberikan akses ke setiap permintaan di manaSearch-Group tag yang dilampirkan ke prinsipal panggilan sama persis dengan nilai untuk tag yang sama yang dilampirkan ke tampilan yang digunakan dalam permintaan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "resource-explorer-2:GetView",
                "resource-explorer-2:Search"
            ],
            "Resource": "arn:aws:resource-explorer-2:*:*:view/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Search-Group": "${aws:PrincipalTag/Search-Group}"}
            }
        }
    ]
}

Anda dapat menetapkan kebijakan ini ke prinsipal IAM di akun Anda. Jika prinsipal dengan tagSearch-Group=A mencoba mencari menggunakan tampilan Resource Explorer, tampilan juga harus ditandaiSearch-Group=A. Jika tidak, maka kepala sekolah ditolak aksesnya. Kunci tanda syarat Search-Group sama dengan kedua Search-group dan search-group karena nama kunci syarat tidak terpengaruh huruf besar/kecil. Untuk informasi lebih lanjut, lihat Elemen Kebijakan IAM JSON: Persyaratan dalam Panduan Pengguna IAM.

Memberikan akses untuk membuat tampilan berdasarkan tag

Dalam contoh ini, Anda ingin mengizinkan hanya prinsipal yang ditandai sama dengan indeks untuk dapat membuat tampilan diWilayah AWS yang berisi indeks. Untuk melakukan ini, buat izin berbasis identitas untuk memungkinkan prinsipal mencari dengan tampilan.

Sekarang Anda siap untuk membuat izin untuk membuat tampilan. Anda dapat menambahkan pernyataan dalam contoh ini ke kebijakan izin yang sama yang Anda gunakan untuk memberikanSearch izin kepada prinsipal yang sesuai. Tindakan diperbolehkan atau ditolak berdasarkan tag yang dilampirkan pada prinsipal yang memanggil operasi dan indeks bahwa pandangan harus dikaitkan dengan. Contoh berikut kebijakan IAM menolak permintaan apa pun untuk membuat tampilan saat nilaiAllow-Create-View tag yang dilampirkan pada prinsipal pemanggil tidak sama persis dengan nilai tag yang sama yang dilampirkan ke indeks di Wilayah tempat tampilan dibuat.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "resource-explorer-2:CreateView",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {"aws:ResourceTag/Allow-Create-View": "${aws:PrincipalTag/Allow-Create-View}"}
            }
        }
    ]
}

Izinkan para prinsipal untuk melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda dapat membuat kebijakan yang mengizinkan para pengguna IAM untuk melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan pada konsol atau secara terprogram menggunakan API AWS CLI atau AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}