Gestisci l'accesso ad Amazon Q Developer con policy

Per impostazione predefinita, gli utenti e i ruoli non sono autorizzati a utilizzare Amazon Q. IAM Gli amministratori possono gestire l'accesso ad Amazon Q Developer e alle sue funzionalità concedendo le autorizzazioni alle identità. IAM

Il modo più rapido per un amministratore di concedere l'accesso agli utenti è tramite una policy gestita. AWS La AmazonQFullAccess policy può essere allegata alle IAM identità per garantire l'accesso completo ad Amazon Q Developer e alle sue funzionalità. Per ulteriori informazioni su questa policy, consulta AWS politiche gestite per Amazon Q Developer.

Per gestire azioni specifiche che le IAM identità possono eseguire con Amazon Q Developer, gli amministratori possono creare policy personalizzate che definiscono le autorizzazioni di cui dispone un utente, un gruppo o un ruolo. Puoi anche utilizzare le policy di controllo del servizio (SCPs) per controllare quali funzionalità di Amazon Q sono disponibili nella tua organizzazione.

Per un elenco di tutte le autorizzazioni di Amazon Q che puoi controllare con le policy, consulta laRiferimento alle autorizzazioni di Amazon Q Developer.

Best practice per le policy

Le policy basate sull'identità determinano se qualcuno può creare, accedere o eliminare risorse Amazon Q Developer nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Per ulteriori informazioni sulle procedure consigliate inIAM, consulta la sezione Procedure consigliate in materia di sicurezza IAM nella Guida per l'IAMutente.

Assegnazione delle autorizzazioni

Per fornire l'accesso, aggiungi autorizzazioni ai tuoi utenti, gruppi o ruoli:

Gestisci l'accesso con le politiche di controllo del servizio () SCPs

Le politiche di controllo del servizio (SCPs) sono un tipo di politica organizzativa che è possibile utilizzare per gestire le autorizzazioni all'interno dell'organizzazione. Puoi controllare quali funzionalità di Amazon Q Developer sono disponibili nella tua organizzazione creando un account SCP che specifichi le autorizzazioni per alcune o tutte le azioni di Amazon Q.

Per ulteriori informazioni sull'utilizzo SCPs per controllare l'accesso nella tua organizzazione, consulta Creazione, aggiornamento ed eliminazione delle politiche di controllo del servizio e Allegare e scollegare le politiche di controllo del servizio nella Guida per l'utente.AWS Organizations

Di seguito è riportato un esempio di un account SCP che nega l'accesso ad Amazon Q. Questa politica limita l'accesso alla chat di Amazon Q, alla risoluzione degli errori della console e alla risoluzione dei problemi di rete.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perimetri di dati per le risorse Amazon Q

Per alcune funzionalità, Amazon Q carica gli artefatti nei bucket Amazon S3 di AWS proprietà del servizio. Se utilizzi perimetri di dati per controllare l'accesso ad Amazon S3 nel tuo ambiente, potresti dover consentire esplicitamente l'accesso a questi bucket per utilizzare le funzionalità di Amazon Q corrispondenti.

La tabella seguente elenca ARN la fine URL di ogni bucket Amazon S3 a cui Amazon Q richiede l'accesso e le funzionalità che utilizzano ogni bucket. Puoi utilizzare il bucket ARN o il bucket URL per consentire l'elenco di questi bucket, a seconda di come controlli l'accesso ad Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/