Gestisci l'accesso ad Amazon Q Developer con policy

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per utilizzare Amazon Q. Gli amministratori IAM possono gestire l'accesso ad Amazon Q Developer e alle sue funzionalità concedendo le autorizzazioni alle identità IAM.

Il modo più rapido per un amministratore di concedere l'accesso agli utenti è tramite una policy gestita. AWS La AmazonQFullAccess policy può essere allegata alle identità IAM per garantire l'accesso completo ad Amazon Q Developer e alle sue funzionalità. Per ulteriori informazioni su questa policy, consulta AWS politiche gestite per Amazon Q Developer.

Per gestire azioni specifiche che le identità IAM possono eseguire con Amazon Q Developer, gli amministratori possono creare policy personalizzate che definiscono le autorizzazioni di cui dispone un utente, un gruppo o un ruolo. Puoi anche utilizzare le policy di controllo del servizio (SCPs) per controllare quali funzionalità di Amazon Q sono disponibili nella tua organizzazione.

Per un elenco di tutte le autorizzazioni di Amazon Q che puoi controllare con le policy, consulta laRiferimento alle autorizzazioni di Amazon Q Developer.

Best practice per le policy

Le policy basate sull'identità determinano se qualcuno può creare, accedere o eliminare risorse Amazon Q Developer nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.

Assegnazione delle autorizzazioni

Per fornire l'accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

Gestisci l'accesso con le politiche di controllo del servizio (SCPs)

Le politiche di controllo del servizio (SCPs) sono un tipo di politica organizzativa che è possibile utilizzare per gestire le autorizzazioni all'interno dell'organizzazione. Puoi controllare quali funzionalità di Amazon Q Developer sono disponibili nella tua organizzazione creando un SCP che specifica le autorizzazioni per alcune o tutte le azioni di Amazon Q.

Per ulteriori informazioni sull'utilizzo SCPs per controllare l'accesso nella tua organizzazione, consulta Creazione, aggiornamento ed eliminazione delle politiche di controllo del servizio e Allegare e scollegare le politiche di controllo del servizio nella Guida per l'utente.AWS Organizations

Di seguito è riportato un esempio di SCP che nega l'accesso ad Amazon Q. Questa politica limita l'accesso alla chat di Amazon Q, alla risoluzione degli errori della console e alla risoluzione dei problemi di rete.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perimetri di dati per le risorse Amazon Q

Per alcune funzionalità, Amazon Q carica gli artefatti nei bucket Amazon S3 di AWS proprietà del servizio. Se utilizzi perimetri di dati per controllare l'accesso ad Amazon S3 nel tuo ambiente, potresti dover consentire esplicitamente l'accesso a questi bucket per utilizzare le funzionalità di Amazon Q corrispondenti.

La tabella seguente elenca l'ARN e l'URL di ciascuno dei bucket Amazon S3 a cui Amazon Q richiede l'accesso e le funzionalità che utilizzano ciascun bucket. Puoi utilizzare l'ARN del bucket o l'URL del bucket per inserire questi bucket nell'elenco consentito, a seconda di come controlli l'accesso ad Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/

arn:aws:s3:::amazonq-test-generation-us-east-1-74b667808f2

https://amazonq-test-generation-us-east-1-74b667808f2.s3.us-east-1.amazonaws.com/