View a markdown version of this page

AWS kebijakan yang dikelola untuk WorkSpaces - Amazon WorkSpaces
AmazonWorkSpacesAdminAmazonWorkspacesPCAAccessAmazonWorkSpacesSelfServiceAccessAmazonWorkSpacesServiceAccessAmazonWorkSpacesPoolServiceAccesWorkSpaces update ke AWS kebijakan terkelola

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS kebijakan yang dikelola untuk WorkSpaces

Menggunakan AWS kebijakan terkelola membuat menambahkan izin ke pengguna, grup, dan peran lebih mudah daripada menulis kebijakan sendiri. Dibutuhkan waktu dan keahlian untuk membuat kebijakan yang dikelola pelanggan IAM yang menyediakan tim Anda hanya dengan izin yang mereka butuhkan. Gunakan AWS kebijakan terkelola untuk memulai dengan cepat. Kebijakan ini mencakup kasus penggunaan umum dan tersedia di AWS akun Anda. Untuk informasi selengkapnya tentang AWS kebijakan terkelola, AWS lihat kebijakan ter kelola di Panduan Pengguna IAM.

AWS layanan memelihara dan memperbarui kebijakan AWS terkelola. Anda tidak dapat mengubah izin dalam kebijakan ter AWS kelola. Layanan kadang-kadang dapat menambahkan izin tambahan ke kebijakan ter AWS kelola untuk mendukung fitur baru. Jenis pembaruan ini akan memengaruhi semua identitas (pengguna, grup, dan peran) di mana kebijakan tersebut dilampirkan. Layanan kemungkinan besar akan memperbarui kebijakan AWS terkelola saat fitur baru diluncurkan atau ketika operasi baru tersedia. Layanan tidak menghapus izin dari kebijakan ter AWS kelola, sehingga pembaruan kebijakan tidak akan merusak izin Anda yang ada.

Selain itu, AWS mendukung kebijakan terkelola untuk fungsi pekerjaan yang mencakup beberapa layanan. Misalnya, kebijakan terkel ReadOnlyAccess AWS ola menyediakan akses baca-saja ke semua AWS layanan dan sumber daya. Saat layanan meluncurkan fitur baru, AWS menambahkan izin hanya-baca untuk operasi dan sumber daya baru. Untuk melihat daftar dan deskripsi dari kebijakan fungsi tugas, lihat kebijakan yang dikelola AWS untuk fungsi tugas di Panduan Pengguna IAM.

AWS kebijakan yang dikelola: AmazonWorkSpacesAdmin

catatan

Izin yang terdaftar hanya untuk SDK dan tidak akan berfungsi untuk Konsol. Konsol memerlukan izin tambahan yang tercantum dalam referensi izin operasi Amazon WorkSpaces Console.

Kebijakan ini menyediakan akses ke tindakan WorkSpaces administratif Amazon. Ini memberikan izin berikut:

  • workspaces- Memungkinkan akses untuk melakukan tindakan administratif pada sumber daya WorkSpaces Pribadi dan WorkSpaces Pools.

  • kms- Memungkinkan akses untuk daftar dan menjelaskan kunci KMS, serta daftar alias.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonWorkSpacesAdmin",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:ListAliases",
                "kms:ListKeys",
                "workspaces:CreateTags",
                "workspaces:CreateWorkspaceImage",
                "workspaces:CreateWorkspaces",
                "workspaces:CreateWorkspacesPool",
                "workspaces:CreateStandbyWorkspaces",
                "workspaces:DeleteTags",
                "workspaces:DeregisterWorkspaceDirectory",
                "workspaces:DescribeTags",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:DescribeWorkspacesPools",
                "workspaces:DescribeWorkspacesPoolSessions",
                "workspaces:DescribeWorkspacesConnectionStatus",
                "workspaces:ModifyCertificateBasedAuthProperties",
                "workspaces:ModifySamlProperties",
                "workspaces:ModifyStreamingProperties",
                "workspaces:ModifyWorkspaceCreationProperties",
                "workspaces:ModifyWorkspaceProperties",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces",
                "workspaces:RegisterWorkspaceDirectory",
                "workspaces:RestoreWorkspace",
                "workspaces:StartWorkspaces",
                "workspaces:StartWorkspacesPool",
                "workspaces:StopWorkspaces",
                "workspaces:StopWorkspacesPool",
                "workspaces:TerminateWorkspaces",
                "workspaces:TerminateWorkspacesPool",
                "workspaces:TerminateWorkspacesPoolSession",
                "workspaces:UpdateWorkspacesPool"
            ],
            "Resource": "*"
        }
    ]
}

AWS kebijakan yang dikelola: AmazonWorkspacesPCAAccess

Kebijakan terkelola ini menyediakan akses ke sumber daya AWS Otoritas Sertifikat Pribadi (CA Pribadi) Manajer Sertifikat di AWS akun Anda untuk otentikasi berbasis sertifikat. Ini termasuk dalam AmazonWorkSpacesPCAAccess peran, dan memberikan izin berikut:

  • acm-pca- Memungkinkan akses ke CA AWS Pribadi untuk mengelola otentikasi berbasis sertifikat.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "acm-pca:IssueCertificate",
                "acm-pca:GetCertificate",
                "acm-pca:DescribeCertificateAuthority"
            ],
            "Resource": "arn:*:acm-pca:*:*:*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/euc-private-ca": "*"
                }
            }
        }
    ]
}

AWS kebijakan yang dikelola: AmazonWorkSpacesSelfServiceAccess

Kebijakan ini menyediakan akses ke WorkSpaces layanan Amazon untuk melakukan tindakan WorkSpaces layanan mandiri yang diprakarsai oleh pengguna. Ini termasuk dalam workspaces_DefaultRole peran, dan memberikan izin berikut:

  • workspaces- Memungkinkan akses ke kemampuan WorkSpaces manajemen swalayan bagi pengguna.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces",
                "workspaces:ModifyWorkspaceProperties"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS kebijakan yang dikelola: AmazonWorkSpacesServiceAccess

Kebijakan ini menyediakan akses akun pelanggan ke WorkSpaces layanan Amazon untuk meluncurkan WorkSpace. Ini termasuk dalam workspaces_DefaultRole peran, dan memberikan izin berikut:

  • ec2- Memungkinkan akses untuk mengelola sumber daya Amazon EC2 yang terkait dengan WorkSpace, seperti antarmuka jaringan.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:DescribeNetworkInterfaces"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS kebijakan yang dikelola: AmazonWorkSpacesPoolServiceAccess

Kebijakan ini digunakan di workspace_DefaultRole, yang digunakan untuk mengakses sumber WorkSpaces daya yang diperlukan di AWS akun pelanggan untuk Pools. WorkSpaces Untuk mengetahui informasi selengkapnya, lihat Buat peran ruang kerja_ DefaultRole. Ini memberikan izin berikut:

  • ec2- Memungkinkan akses untuk mengelola sumber daya Amazon EC2 yang terkait dengan WorkSpaces Pool, seperti VPC, subnet, zona ketersediaan, grup keamanan, dan tabel rute.

  • s3- Memungkinkan akses untuk melakukan tindakan pada bucket Amazon S3 yang diperlukan untuk log, pengaturan aplikasi, dan fitur Folder Beranda.

Commercial Wilayah AWS

Kebijakan JSON berikut berlaku untuk komersial Wilayah AWS.

JSON
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ProvisioningWorkSpacesPoolPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeRouteTables",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "WorkSpacesPoolS3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:DeleteObjectVersion",
                "s3:GetBucketPolicy",
                "s3:PutBucketPolicy",
                "s3:PutEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::wspool-logs-*",
                "arn:aws:s3:::wspool-app-settings-*",
                "arn:aws:s3:::wspool-home-folder-*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}
AWS GovCloud (US) Regions

Kebijakan JSON berikut berlaku untuk komersial AWS GovCloud (US) Regions.

JSON
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ProvisioningWorkSpacesPoolPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeRouteTables",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "WorkSpacesPoolS3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:DeleteObjectVersion",
                "s3:GetBucketPolicy",
                "s3:PutBucketPolicy",
                "s3:PutEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws-us-gov:s3:::wspool-logs-*",
                "arn:aws-us-gov:s3:::wspool-app-settings-*",
                "arn:aws-us-gov:s3:::wspool-home-folder-*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

WorkSpaces update ke AWS kebijakan terkelola

Lihat detail tentang pembaruan kebijakan AWS terkelola WorkSpaces sejak layanan ini mulai melacak perubahan ini.

Ubah Deskripsi Date
AWS kebijakan yang dikelola: AmazonWorkSpacesPoolServiceAccess- Ditambahkan kebijakan baru WorkSpaces menambahkan kebijakan terkelola baru untuk memberikan izin untuk melihat Amazon EC2 VPC dan sumber daya terkait, serta untuk melihat dan mengelola bucket Amazon S3 untuk WorkSpaces Pools. Juni 24, 2024
AWS kebijakan yang dikelola: AmazonWorkSpacesAdmin- Kebijakan yang diperbarui WorkSpaces menambahkan beberapa tindakan untuk WorkSpaces Pools ke kebijakan yang WorkSpacesAdmin dikelola Amazon, memberikan admin akses untuk mengelola sumber daya WorkSpace Pool. Juni 24, 2024
AWS kebijakan yang dikelola: AmazonWorkSpacesAdmin- Kebijakan yang diperbarui WorkSpaces menambahkan workspaces:RestoreWorkspace tindakan ke kebijakan yang WorkSpacesAdmin dikelola Amazon, memberikan akses admin untuk memulihkan WorkSpaces. Juni 25, 2023
AWS kebijakan yang dikelola: AmazonWorkspacesPCAAccess- Ditambahkan kebijakan baru WorkSpaces menambahkan kebijakan terkelola baru untuk memberikan acm-pca izin mengelola CA Pri AWS badi untuk mengelola otentikasi berbasis sertifikat. 18 November 2022
WorkSpaces mulai melacak perubahan WorkSpaces mulai melacak perubahan untuk kebijakan yang WorkSpaces dikelolanya. 1 Maret 2021