Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS kebijakan terkelola untuk Pusat Identitas IAM

Untuk membuat kebijakan yang dikelola pelanggan IAM yang memberi tim Anda hanya izin yang mereka butuhkan membutuhkan waktu dan keahlian. Untuk memulai dengan cepat, Anda dapat menggunakan kebijakan ter AWS kelola. Kebijakan ini mencakup kasus penggunaan umum dan tersedia di Akun AWS Anda. Untuk informasi lebih lanjut tentang kebijakan yang dikelola AWS , lihat kebijakan yang dikelola AWS di Panduan Pengguna IAM.

AWS layanan memelihara dan memperbarui kebijakan AWS terkelola. Anda tidak dapat mengubah izin dalam kebijakan ter AWS kelola. Layanan terkadang menambahkan izin tambahan ke kebijakan yang dikelola AWS untuk mendukung fitur-fitur baru. Jenis pembaruan ini akan memengaruhi semua identitas (pengguna, grup, dan peran) di mana kebijakan tersebut dilampirkan. Layanan kemungkinan besar akan memperbarui kebijakan yang dikelola AWS saat ada fitur baru yang diluncurkan atau saat ada operasi baru yang tersedia. Layanan tidak menghapus izin dari kebijakan ter AWS kelola, sehingga pembaruan kebijakan tidak akan merusak izin yang ada.

Selain itu, AWS mendukung kebijakan terkelola untuk fungsi pekerjaan yang mencakup beberapa layanan. Misalnya, kebijakan terkel ReadOnlyAccess AWS ola menyediakan akses baca-saja ke semua AWS layanan dan sumber daya. Saat layanan meluncurkan fitur baru, AWS menambahkan izin baca-saja untuk operasi dan sumber daya baru. Untuk melihat daftar dan deskripsi dari kebijakan fungsi tugas, lihat kebijakan yang dikelola AWS untuk fungsi tugas di Panduan Pengguna IAM.

Tindakan baru yang memungkinkan Anda untuk membuat daftar dan menghapus sesi pengguna tersedia di bawah namespace identitystore-auth baru. Izin tambahan apa pun untuk tindakan di namespace ini akan diperbarui di halaman ini. Saat membuat kebijakan IAM kustom Anda, hindari menggunakan * after identitystore-auth karena ini berlaku untuk semua tindakan yang ada di namespace saat ini atau di masa mendatang.

AWS kebijakan yang dikelola: AWSSSOMasterAccountAdministrator

AWSSSOMasterAccountAdministratorKebijakan ini memberikan tindakan administratif yang diperlukan kepada kepala sekolah. Kebijakan ini ditujukan untuk kepala sekolah yang melakukan peran pekerjaan sebagai AWS IAM Identity Center administrator. Seiring waktu daftar tindakan yang disediakan akan diperbarui agar sesuai dengan fungsionalitas Pusat Identitas IAM yang ada dan tindakan yang diperlukan sebagai administrator.

Anda dapat melampirkan kebijakan AWSSSOMasterAccountAdministrator ke identitas IAM Anda. Saat melampirkan AWSSSOMasterAccountAdministrator kebijakan ke identitas, Anda memberikan AWS IAM Identity Center izin administratif. Kepala sekolah dengan kebijakan ini dapat mengakses Pusat Identitas IAM dalam akun AWS Organizations manajemen dan semua akun anggota. Prinsip ini dapat sepenuhnya mengelola semua operasi Pusat Identitas IAM, termasuk kemampuan untuk membuat instance Pusat Identitas IAM, pengguna, kumpulan izin, dan penugasan. Kepala sekolah juga dapat membuat instance penugasan tersebut di seluruh akun anggota AWS organisasi dan membuat koneksi antara direktori terkelola dan AWS Directory Service Pusat Identitas IAM. Saat fitur administratif baru dirilis, administrator akun akan diberikan izin ini secara otomatis.

Kebijakan ini juga mencakup AWS Key Management Service izin yang diperlukan untuk instans Pusat Identitas IAM yang menggunakan kunci yang dikelola pelanggan untuk enkripsi.

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

Untuk melihat izin kebijakan ini, lihat AWSSSOMasterAccountAdministrator di Referensi Kebijakan AWS Terkelola.

Informasi tambahan tentang kebijakan ini

Saat Pusat Identitas IAM diaktifkan untuk pertama kalinya, layanan Pusat Identitas IAM membuat peran terkait layanan di akun AWS Organizations manajemen (sebelumnya akun master) sehingga Pusat Identitas IAM dapat mengelola sumber daya di akun Anda. Tindakan yang diperlukan adalah iam:CreateServiceLinkedRole daniam:PassRole.

AWS kebijakan yang dikelola: AWSSSOMemberAccountAdministrator

AWSSSOMemberAccountAdministratorKebijakan ini memberikan tindakan administratif yang diperlukan kepada kepala sekolah. Kebijakan ini ditujukan untuk kepala sekolah yang menjalankan peran sebagai administrator Pusat Identitas IAM. Seiring waktu daftar tindakan yang disediakan akan diperbarui agar sesuai dengan fungsionalitas Pusat Identitas IAM yang ada dan tindakan yang diperlukan sebagai administrator.

Anda dapat melampirkan kebijakan AWSSSOMemberAccountAdministrator ke identitas IAM Anda. Saat melampirkan AWSSSOMemberAccountAdministrator kebijakan ke identitas, Anda memberikan AWS IAM Identity Center izin administratif. Kepala sekolah dengan kebijakan ini dapat mengakses Pusat Identitas IAM dalam akun AWS Organizations manajemen dan semua akun anggota. Prinsip ini dapat sepenuhnya mengelola semua operasi Pusat Identitas IAM, termasuk kemampuan untuk membuat pengguna, kumpulan izin, dan penugasan. Kepala sekolah juga dapat membuat instance penugasan tersebut di seluruh akun anggota AWS organisasi dan membuat koneksi antara direktori terkelola dan AWS Directory Service Pusat Identitas IAM. Saat fitur administratif baru dirilis, administrator akun diberikan izin ini secara otomatis.

Kebijakan ini juga mencakup AWS Key Management Service izin yang diperlukan untuk instans Pusat Identitas IAM yang menggunakan kunci yang dikelola pelanggan untuk enkripsi.

Untuk melihat izin kebijakan ini, lihat AWSSSOMemberAccountAdministrator di Referensi Kebijakan AWS Terkelola.

Informasi tambahan tentang kebijakan ini

Administrator Pusat Identitas IAM mengelola pengguna, grup, dan kata sandi di penyimpanan direktori Pusat Identitas mereka (direktori sso). Peran admin akun mencakup izin untuk tindakan berikut:

Administrator Pusat Identitas IAM memerlukan izin terbatas untuk Directory Service tindakan berikut untuk melakukan tugas harian.

Izin ini memungkinkan administrator Pusat Identitas IAM untuk mengidentifikasi direktori yang ada dan mengelola aplikasi sehingga mereka dapat dikonfigurasi untuk digunakan dengan Pusat Identitas IAM. Untuk informasi selengkapnya tentang masing-masing tindakan ini, lihat izin Directory Service API: Referensi tindakan, sumber daya, dan kondisi.

Pusat Identitas IAM menggunakan kebijakan IAM untuk memberikan izin kepada pengguna Pusat Identitas IAM. Administrator Pusat Identitas IAM membuat kumpulan izin dan melampirkan kebijakan ke mereka. Administrator Pusat Identitas IAM harus memiliki izin untuk membuat daftar kebijakan yang ada sehingga mereka dapat memilih kebijakan mana yang akan digunakan dengan kumpulan izin yang mereka buat atau perbarui. Untuk menetapkan izin aman dan fungsional, administrator Pusat Identitas IAM harus memiliki izin untuk menjalankan validasi kebijakan Penganalisis Akses IAM.

Administrator Pusat Identitas IAM memerlukan akses terbatas ke AWS Organizations tindakan berikut untuk melakukan tugas sehari-hari:

Izin ini memungkinkan administrator Pusat Identitas IAM kemampuan untuk bekerja dengan sumber daya organisasi (akun) untuk tugas-tugas administratif Pusat Identitas IAM dasar seperti berikut:

Untuk informasi selengkapnya tentang menggunakan administrator yang didelegasikan dengan Pusat Identitas IAM, lihatAdministrator yang didelegasikan. Untuk informasi selengkapnya tentang bagaimana izin ini digunakan dengan AWS Organizations, lihat Menggunakan AWS Organizations dengan AWS layanan lain.

AWS kebijakan yang dikelola: AWSSSODirectoryAdministrator

Anda dapat melampirkan kebijakan AWSSSODirectoryAdministrator ke identitas IAM Anda.

Kebijakan ini memberikan izin administratif atas pengguna dan grup Pusat Identitas IAM. Kepala sekolah dengan kebijakan ini terlampir dapat melakukan pembaruan apa pun untuk pengguna dan grup Pusat Identitas IAM. Kebijakan ini juga mencakup AWS Key Management Service izin yang diperlukan untuk instans Pusat Identitas IAM yang menggunakan kunci yang dikelola pelanggan untuk enkripsi.

Kebijakan ini mencakup izin berikut:

Untuk melihat izin kebijakan ini, lihat AWSSSODirectoryAdministrator di Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AWSSSOReadOnly

Anda dapat melampirkan kebijakan AWSSSOReadOnly ke identitas IAM Anda.

Kebijakan ini memberikan izin baca-saja yang memungkinkan pengguna melihat informasi di Pusat Identitas IAM. Prinsipal dengan kebijakan ini tidak dapat melihat pengguna atau grup Pusat Identitas IAM secara langsung. Kepala sekolah dengan kebijakan ini terlampir tidak dapat melakukan pembaruan apa pun di Pusat Identitas IAM. Misalnya, kepala sekolah dengan izin ini dapat melihat pengaturan Pusat Identitas IAM, tetapi tidak dapat mengubah nilai setelan apa pun.

Kebijakan ini juga mencakup AWS Key Management Service izin yang diperlukan untuk instans Pusat Identitas IAM yang menggunakan kunci yang dikelola pelanggan untuk enkripsi.

Untuk melihat izin kebijakan ini, lihat AWSSSOReadOnly di Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AWSSSODirectoryReadOnly

Anda dapat melampirkan kebijakan AWSSSODirectoryReadOnly ke identitas IAM Anda.

Kebijakan ini memberikan izin baca-saja yang memungkinkan pengguna melihat pengguna dan grup di Pusat Identitas IAM. Prinsipal dengan kebijakan ini terlampir tidak dapat melihat penugasan Pusat Identitas IAM, kumpulan izin, aplikasi, atau setelan. Kepala sekolah dengan kebijakan ini terlampir tidak dapat melakukan pembaruan apa pun di Pusat Identitas IAM. Misalnya, kepala sekolah dengan izin ini dapat melihat pengguna Pusat Identitas IAM, tetapi mereka tidak dapat mengubah atribut pengguna atau menetapkan perangkat MFA.

Kebijakan ini juga mencakup AWS Key Management Service izin yang diperlukan untuk instans Pusat Identitas IAM yang menggunakan kunci yang dikelola pelanggan untuk enkripsi.

Untuk melihat izin kebijakan ini, lihat AWSSSODirectoryReadOnly di Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AWSIdentitySyncFullAccess

Anda dapat melampirkan kebijakan AWSIdentitySyncFullAccess ke identitas IAM Anda.

Prinsipal dengan kebijakan ini dilampirkan memiliki izin akses penuh untuk membuat dan menghapus profil sinkronisasi, mengaitkan atau memperbarui profil sinkronisasi dengan target sinkronisasi, membuat, mencantumkan, dan menghapus filter sinkronisasi, serta memulai atau menghentikan sinkronisasi.

Rincian izin

Untuk melihat izin kebijakan ini, lihat AWSIdentitySyncFullAccess di Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AWSIdentitySyncReadOnlyAccess

Anda dapat melampirkan kebijakan AWSIdentitySyncReadOnlyAccess ke identitas IAM Anda.

Kebijakan ini memberikan izin baca-saja yang memungkinkan pengguna melihat informasi tentang profil sinkronisasi identitas, filter, dan setelan target. Prinsipal dengan kebijakan ini terlampir tidak dapat melakukan pembaruan apa pun pada setelan sinkronisasi. Misalnya, kepala sekolah dengan izin ini dapat melihat pengaturan sinkronisasi identitas, tetapi tidak dapat mengubah nilai profil atau filter apa pun.

Untuk melihat izin kebijakan ini, lihat AWSIdentitySyncReadOnlyAccess di Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AWSSSOServiceRolePolicy

Anda tidak dapat melampirkan AWSSSOServiceRolePolicy kebijakan ke identitas IAM Anda.

Kebijakan ini dilampirkan ke peran terkait layanan yang memungkinkan Pusat Identitas IAM mendelegasikan dan menegakkan pengguna mana yang memiliki akses masuk tunggal ke dalam tertentu. Akun AWS AWS Organizations Saat Anda mengaktifkan IAM, peran terkait layanan dibuat di semua bagian dalam organisasi Anda. Akun AWS Pusat Identitas IAM juga membuat peran terkait layanan yang sama di setiap akun yang kemudian ditambahkan ke organisasi Anda. Peran ini memungkinkan Pusat Identitas IAM mengakses sumber daya setiap akun atas nama Anda. Service-linked peran yang dibuat di masing-masing Akun AWS diberi namaAWSServiceRoleForSSO. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk Pusat Identitas IAM.

AWS kebijakan yang dikelola: AWSIAMIdentityCenterAllowListForIdentityContext

Saat mengambil peran dengan konteks identitas Pusat Identitas IAM, AWS Security Token Service (AWS STS) secara otomatis melampirkan AWSIAMIdentityCenterAllowListForIdentityContext kebijakan ke peran tersebut.

Kebijakan ini menyediakan daftar tindakan yang diizinkan saat Anda menggunakan propagasi identitas tepercaya dengan peran yang diasumsikan dengan konteks identitas Pusat Identitas IAM. Semua tindakan lain yang dipanggil dengan konteks ini diblokir. Konteks identitas diteruskan sebagaiProvidedContext.

Untuk melihat izin kebijakan ini, lihat AWSIAMIdentityCenterAllowListForIdentityContext di Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AWSIdentityCenterExternalManagementPolicy

Anda dapat melampirkan kebijakan AWSIdentityCenterExternalManagementPolicy ke identitas IAM Anda.

Kebijakan ini menyediakan akses untuk mengelola pengguna Pusat Identitas IAM dari penyedia eksternal.

Untuk melihat izin kebijakan ini, lihat AWSIdentityCenterExternalManagementPolicy di Referensi Kebijakan AWS Terkelola.

IAM Identity Center memperbarui ke AWS kebijakan terkelola

Tabel berikut menjelaskan pembaruan kebijakan terkel AWS ola untuk Pusat Identitas IAM sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman riwayat Dokumen Pusat Identitas IAM.