Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan IAM secara lokal pada perangkat Keluarga Salju

AWS Identity and Access Management (IAM) membantu Anda mengontrol akses ke AWS sumber daya yang berjalan di AWS Snowball Edge perangkat dengan aman. Anda gunakan IAM untuk mengontrol siapa yang diautentikasi (masuk) dan diberi wewenang (memiliki izin) untuk menggunakan sumber daya.

IAMdidukung secara lokal di perangkat Anda. Anda dapat menggunakan IAM layanan lokal untuk membuat pengguna baru dan melampirkan IAM kebijakan kepada mereka. Anda dapat menggunakan kebijakan ini untuk mengizinkan akses yang diperlukan untuk melakukan tugas yang ditetapkan. Misalnya, Anda dapat memberi pengguna kemampuan untuk mentransfer data, tetapi membatasi kemampuan mereka untuk membuat instance baru EC2 yang kompatibel dengan Amazon.

Selain itu, Anda dapat membuat kredensial lokal berbasis sesi menggunakan AWS Security Token Service (AWS STS) di perangkat Anda. Untuk informasi tentang IAM layanan, lihat Memulai di Panduan IAM Pengguna.

Kredensi root perangkat Anda tidak dapat dinonaktifkan, dan Anda tidak dapat menggunakan kebijakan dalam akun Anda untuk secara eksplisit menolak akses ke pengguna root. Akun AWS Kami menyarankan Anda mengamankan kunci akses pengguna root Anda dan membuat kredensi IAM pengguna untuk interaksi sehari-hari dengan perangkat Anda.

Menggunakan AWS CLI dan API Operasi di Tepi Snowball

Saat menggunakan AWS CLI atau API operasi untuk mengeluarkan IAM AWS STS, EC2 perintah Amazon S3, dan Amazon di Snowball Edge, Anda harus menentukan sebagai ".” region snow Anda dapat melakukan ini menggunakan aws configure atau di dalam perintah itu sendiri, seperti pada contoh berikut.

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

Atau

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Daftar IAM AWS CLI Perintah yang Didukung di Tepi Snowball

Berikut ini adalah deskripsi subset AWS CLI perintah dan opsi untuk IAM yang didukung pada perangkat Snowball Edge. Jika perintah atau opsi tidak tercantum berikut, perintah tersebut tidak didukung. Parameter yang tidak didukung untuk perintah tertulis di deskripsi.

IAMAPIOperasi yang didukung pada perangkat Snow Family

Berikut ini adalah IAM API operasi yang dapat Anda gunakan dengan Snowball Edge, dengan tautan ke deskripsi mereka di Referensi. IAM API

Versi IAM kebijakan dan tata bahasa yang didukung di perangkat Keluarga Salju

Berikut ini adalah versi IAM dukungan lokal 2012-10-17 dari IAM kebijakan dan subset dari tata bahasa kebijakan.

IAMcontoh kebijakan pada perangkat Keluarga Salju

Berikut ini adalah contoh kebijakan yang memberikan izin untuk perangkat Snowball Edge.

Mengizinkan GetUser panggilan untuk pengguna sampel pada perangkat Keluarga Salju melalui IAM API

Gunakan kebijakan berikut untuk mengizinkan GetUser panggilan untuk pengguna sampel melalui IAMAPI.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

Mengizinkan akses penuh ke Amazon S3 API pada perangkat Keluarga Salju

Gunakan kebijakan berikut untuk mengizinkan akses penuh ke Amazon S3API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

Mengizinkan akses baca dan tulis ke bucket Amazon S3 di perangkat Keluarga Salju

Gunakan kebijakan berikut ini untuk mengizinkan akses baca dan tulis ke bucket tertentu.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

Mengizinkan daftar, dapatkan, dan pasang akses ke bucket Amazon S3 di perangkat Snow Family

Gunakan kebijakan berikut untuk mengizinkan Akses List, Get, dan Put ke bucket S3 tertentu.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Mengizinkan akses penuh ke Amazon EC2 API pada perangkat Keluarga Salju

Gunakan kebijakan berikut untuk mengizinkan akses penuh ke AmazonEC2.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

Mengizinkan akses untuk memulai dan menghentikan instans EC2 yang kompatibel dengan Amazon di perangkat Keluarga Salju

Gunakan kebijakan berikut untuk mengizinkan akses memulai dan menghentikan EC2 instans Amazon.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

Menolak panggilan ke DescribeLaunchTemplates tetapi mengizinkan semua panggilan ke DescribeImages perangkat Keluarga Salju

Gunakan kebijakan berikut untuk menolak panggilan ke DescribeLaunchTemplates tetapi izinkan semua panggilan ke DescribeImages.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Kebijakan untuk API panggilan pada perangkat Keluarga Salju

Daftar semua kebijakan terkelola yang tersedia di perangkat Snow Anda, termasuk kebijakan terkelola yang ditentukan pelanggan Anda sendiri. Detail lebih lanjut dalam daftar kebijakan.

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy contoh pada perangkat Keluarga Salju

Kebijakan kepercayaan mengembalikan serangkaian kredensial keamanan sementara yang dapat Anda gunakan untuk mengakses AWS sumber daya yang biasanya tidak dapat Anda akses. Kredensial sementara ini terdiri dari access key ID, secret access key, dan token keamanan. Biasanya, Anda menggunakan AssumeRole di akun Anda untuk akses lintas akun.

Berikut ini adalah contoh kebijakan kepercayaan. Untuk informasi selengkapnya tentang kebijakan kepercayaan, lihat AssumeRoledi AWS Security Token Service APIReferensi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}