Best practice per le policy Utilizzo della console Consentire agli utenti di visualizzare le loro autorizzazioni Utilizzo delle politiche per la fatturazione IAM

Politica basata sull'identità con fatturazione AWS

Per impostazione predefinita, gli utenti e i ruoli non sono autorizzati a creare o modificare risorse di fatturazione. Inoltre, non possono eseguire attività utilizzando AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS API. Per concedere agli utenti il permesso di eseguire azioni sulle risorse di cui hanno bisogno, un IAM amministratore può creare IAM policy. L'amministratore può quindi aggiungere le IAM politiche ai ruoli e gli utenti possono assumerli.

Per informazioni su come creare una politica IAM basata sull'identità utilizzando questi documenti di esempio, consulta Create JSON IAM policy (console) nella Guida per l'IAMutente.

Per i dettagli sulle azioni e sui tipi di risorse definiti da Billing, incluso il formato di ARNs per ogni tipo di risorsa, consulta Azioni, risorse e chiavi di condizione per la AWS fatturazione nel riferimento di autorizzazione del servizio.

Indice

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare le risorse di fatturazione nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni a utenti e carichi di lavoro, utilizza le politiche gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per ulteriori informazioni, consulta le politiche AWS gestite o le politiche AWS gestite per le funzioni lavorative nella Guida per l'IAMutente.
Applica le autorizzazioni con privilegi minimi: quando imposti le autorizzazioni con le IAM politiche, concedi solo le autorizzazioni necessarie per eseguire un'attività. Puoi farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegi minimi. Per ulteriori informazioni sull'utilizzo per applicare le autorizzazioni, consulta Politiche e autorizzazioni nella Guida IAM per l'utente. IAM IAM
Utilizza le condizioni nelle IAM politiche per limitare ulteriormente l'accesso: puoi aggiungere una condizione alle tue politiche per limitare l'accesso ad azioni e risorse. Ad esempio, puoi scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzandoSSL. È inoltre possibile utilizzare condizioni per concedere l'accesso alle azioni di servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio AWS CloudFormation. Per ulteriori informazioni, consulta Elementi IAM JSON della politica: Condizione nella Guida IAM per l'utente.
Usa IAM Access Analyzer per convalidare IAM le tue policy e garantire autorizzazioni sicure e funzionali: IAM Access Analyzer convalida le policy nuove ed esistenti in modo che aderiscano al linguaggio delle IAM policy () e alle best practice. JSON IAM IAMAccess Analyzer fornisce più di 100 controlli delle politiche e consigli pratici per aiutarti a creare policy sicure e funzionali. Per ulteriori informazioni, consulta Convalida delle politiche con IAM Access Analyzer nella Guida per l'utente. IAM
Richiedi l'autenticazione a più fattori (MFA): se hai uno scenario che richiede l'utilizzo di IAM utenti o di un utente root Account AWS, attiva questa opzione MFA per una maggiore sicurezza. Per richiedere MFA quando vengono richiamate API le operazioni, aggiungi MFA delle condizioni alle tue politiche. Per ulteriori informazioni, consulta Secure API access with MFA nella Guida IAM per l'utente.

Per ulteriori informazioni sulle best practice inIAM, consulta la sezione Procedure consigliate in materia di sicurezza IAM nella Guida IAM per l'utente.

Utilizzo della console di fatturazione

Per accedere alla console di AWS fatturazione, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse di fatturazione presenti nel tuo. Account AWS Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario consentire autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso il o il AWS CLI . AWS API Consenti invece l'accesso solo alle azioni che corrispondono all'APIoperazione che stanno cercando di eseguire.

Puoi trovare i dettagli di accesso, come le autorizzazioni necessarie per abilitare la console di AWS fatturazione, l'accesso come amministratore e l'accesso in sola lettura, nella sezione. AWS politiche gestite

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra come è possibile creare una politica che consenta IAM agli utenti di visualizzare le politiche in linea e gestite allegate alla propria identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando o a livello di codice. AWS CLI AWS API


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Utilizzo di politiche basate sull'identità per la fatturazione

Nota

Le seguenti AWS Identity and Access Management (IAM) azioni hanno raggiunto la fine del supporto standard a luglio 2023:

Spazio dei nomi aws-portal
purchase-orders:ViewPurchaseOrders
purchase-orders:ModifyPurchaseOrders

Se utilizzi AWS Organizations, puoi utilizzare gli script Bulk Policy Migrator o Bulk Policy Migrator per aggiornare le politiche dal tuo account di pagamento. Puoi anche utilizzare il riferimento alla mappatura delle azioni da vecchio a granulare per verificare le azioni da aggiungere. IAM

Se ne hai AWS Organizations creata una o ne fai parte a partire dal 6 marzo 2023 alle 11:00 (PDT), le azioni dettagliate sono già in vigore nella tua organizzazione. Account AWS

Importante

Oltre alle IAM politiche, devi concedere IAM l'accesso alla console Billing and Cost Management nella pagina della console Account Settings.

Per ulteriori informazioni, consulta i seguenti argomenti:

Attivazione dell'accesso alla console di gestione fatturazione e costi
IAMtutorial: Concedi l'accesso alla console di fatturazione nella Guida per l'IAMutente

Utilizza questa sezione per vedere come un amministratore di account con politiche basate sull'identità può allegare politiche di autorizzazione alle IAM identità (ruoli e gruppi) e concedere le autorizzazioni per eseguire operazioni sulle risorse di fatturazione.

Per ulteriori informazioni sugli utenti e sugli utenti, consulta What Is Account AWS ? IAM nella Guida IAM per l'utente.

Per informazioni su come aggiornare le politiche gestite dai clienti, consulta Modifica delle politiche gestite dai clienti (console) nella Guida per l'IAMutente.

AWS Azioni della console di fatturazione

Questa tabella riassume le autorizzazioni che garantiscono l'accesso alle informazioni e agli strumenti della console di fatturazione. Per esempi di policy che utilizzano queste autorizzazioni, consulta AWS Esempi di politiche di fatturazione.

Per un elenco delle politiche di azione per la console AWS Cost Management, consulta AWS Cost Management action policy nella Cost Management User AWS Guide.

Nome autorizzazione	Descrizione
`aws-portal:ViewBilling`	Concede l'autorizzazione a visualizzare le pagine della console di Billing and Cost Management.
`aws-portal:ModifyBilling`	Concede l'autorizzazione a modificare le seguenti pagine della console di Billing and Cost Management: Budget Fatturazione consolidata Preferenze di fatturazione Crediti Impostazioni fiscali Metodi di pagamento Ordini di acquisto Tag per l'allocazione dei costi Per consentire IAM agli utenti di modificare queste pagine della console, è necessario consentire entrambe `ModifyBilling` e. `ViewBilling` Per un esempio di policy, consulta Consenti IAM agli utenti di modificare le informazioni di fatturazione.
`aws-portal:ViewAccount`	Concede l'autorizzazione a visualizzare le impostazioni dell'account.
`aws-portal:ModifyAccount`	Concede l'autorizzazione a modificare le impostazioni dell'account. Per consentire IAM agli utenti di modificare le impostazioni dell'account, è necessario consentire entrambi `ModifyAccount` e`ViewAccount`. Per un esempio di politica che nega esplicitamente a un IAM utente l'accesso alla pagina della console delle impostazioni dell'account, vedi. Nega l'accesso alle impostazioni dell'account, ma permette l'accesso completo a tutte le altre informazioni di fatturazione e utilizzo
`aws-portal:ViewPaymentMethods`	Concede l'autorizzazione a visualizzare i metodi di pagamento.
`aws-portal:ModifyPaymentMethods`	Concede l'autorizzazione a modificare i metodi di pagamento. Per permettere agli utenti di modificare i metodi di pagamento, devi installare sia `ModifyPaymentMethods` sia `ViewPaymentMethods`.
`billing:ListBillingViews`	Concede l'autorizzazione a ottenere informazioni di fatturazione per i gruppi di fatturazione proforma. Questa operazione viene effettuata utilizzando AWS Billing Conductor nella pagina Fatture o nei report sui costi e sull'utilizzo.AWS Per ulteriori informazioni sulla visualizzazione dei dettagli del gruppo di fatturazione, consulta Visualizzazione dei dettagli del gruppo di fatturazione nella Guida per l'utente di Facilitatore della fatturazione AWS .
`sustainability:GetCarbonFootprintSummary`	Concede l'autorizzazione a visualizzare lo strumento e i dati sull'impronta di carbonio AWS del cliente. È accessibile dalla pagina AWS Cost and Usage Reports della console Billing and Cost Management. Per un esempio di policy, consulta Consenti IAM agli utenti di visualizzare i dati di fatturazione e il rapporto sull'impronta di carbonio.
`cur:DescribeReportDefinitions`	Concede l'autorizzazione a visualizzare i report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando il AWS Cost and Usage Reports Service API e la console Billing and Cost Management. Se crei report utilizzando la console Billing and Cost Management, ti consigliamo di aggiornare le autorizzazioni per gli utentiIAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Consenti IAM agli utenti di accedere alla pagina della console dei report.
`cur:PutReportDefinition`	Concede l'autorizzazione a creare report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando il AWS Cost and Usage Reports Service API e la console Billing and Cost Management. Se crei report utilizzando la console Billing and Cost Management, ti consigliamo di aggiornare le autorizzazioni per gli utentiIAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Consenti IAM agli utenti di accedere alla pagina della console dei report.
`cur:DeleteReportDefinition`	Concede l'autorizzazione a eliminare i report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando il AWS Cost and Usage Reports Service API e la console Billing and Cost Management. Se crei report utilizzando la console Billing and Cost Management, ti consigliamo di aggiornare le autorizzazioni per gli utentiIAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Creazione, visualizzazione, modifica o eliminazione dei Report di utilizzo e dei costi di AWS.
`cur:ModifyReportDefinition`	Concede l'autorizzazione a modificare i report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando il AWS Cost and Usage Reports Service API e la console Billing and Cost Management. Se crei report utilizzando la console Billing and Cost Management, ti consigliamo di aggiornare le autorizzazioni per gli utentiIAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Creazione, visualizzazione, modifica o eliminazione dei Report di utilizzo e dei costi di AWS.
`ce:CreateCostCategoryDefinition`	Concede le autorizzazioni per creare categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
`ce:DeleteCostCategoryDefinition`	Concede le autorizzazioni per eliminare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
`ce:DescribeCostCategoryDefinition`	Concede le autorizzazioni per visualizzare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
`ce:ListCostCategoryDefinitions`	Concede le autorizzazioni per elencare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
`ce:UpdateCostCategoryDefinition`	Concede le autorizzazioni per aggiornare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
`aws-portal:ViewUsage`	Concede l'autorizzazione a visualizzare i report di utilizzo AWS . Per consentire IAM agli utenti di visualizzare i report sull'utilizzo, è necessario consentire entrambi `ViewUsage` e`ViewBilling`. Per un esempio di policy, consulta Consenti IAM agli utenti di accedere alla pagina della console dei report.
`payments:AcceptFinancingApplicationTerms`	Consente IAM agli utenti di concordare con le condizioni fornite dal finanziatore. Gli utenti sono tenuti a fornire i dati del proprio conto bancario per il rimborso e a firmare i documenti legali forniti dal prestatore.
`payments:CreateFinancingApplication`	Consente IAM agli utenti di richiedere un nuovo prestito finanziario e di fare riferimento all'opzione di finanziamento scelta.
`payments:GetFinancingApplication`	Consente IAM agli utenti di recuperare i dettagli di una richiesta di finanziamento. Ad esempio, stato, limiti, termini e informazioni sull'istituto di credito.
`payments:GetFinancingLine`	Consente IAM agli utenti di recuperare i dettagli di un prestito di finanziamento. Ad esempio, lo stato e i saldi.
`payments:GetFinancingLineWithdrawal`	Consente IAM agli utenti di recuperare i dettagli del prelievo. Ad esempio, saldi e rimborsi.
`payments:GetFinancingOption`	Consente IAM agli utenti di recuperare i dettagli di una specifica opzione di finanziamento.
`payments:ListFinancingApplications`	Consente IAM agli utenti di recuperare gli identificatori per tutte le applicazioni di finanziamento, per tutti gli istituti di credito.
`payments:ListFinancingLines`	Consente IAM agli utenti di recuperare gli identificatori per tutti i prestiti di finanziamento, per tutti gli istituti di credito.
`payments:ListFinancingLineWithdrawals`	Consente IAM agli utenti di recuperare tutti i prelievi esistenti per un determinato prestito.
`payments:ListTagsForResource`	Consenti o nega IAM agli utenti l'autorizzazione a visualizzare i tag per un metodo di pagamento.
`payments:TagResource`	Consenti o nega IAM agli utenti l'autorizzazione ad aggiungere tag per un metodo di pagamento.
`payments:UntagResource`	Consenti o nega IAM agli utenti l'autorizzazione a rimuovere i tag da un metodo di pagamento.
`payments:UpdateFinancingApplication`	Consenti IAM agli utenti di modificare una richiesta di finanziamento e di inviare le informazioni aggiuntive richieste dall'istituto di credito.
`payments:ListPaymentInstruments`	Consenti o nega IAM agli utenti l'autorizzazione a elencare i metodi di pagamento registrati.
`payments:UpdatePaymentInstrument`	Consenti o nega IAM agli utenti l'autorizzazione ad aggiornare i loro metodi di pagamento.
`pricing:DescribeServices`	Concede l'autorizzazione a visualizzare i prodotti AWS di servizio e i prezzi tramite il servizio di AWS listino prezzi. API Per consentire IAM agli utenti di utilizzare AWS il servizio di listino prezziAPI, è necessario consentire `DescribeServicesGetAttributeValues`, e`GetProducts`. Per un esempio di policy, consulta Individuazione di prodotti e prezzi.
`pricing:GetAttributeValues`	Concede l'autorizzazione a visualizzare i prodotti AWS di servizio e i prezzi tramite il servizio API di AWS listino prezzi. Per consentire IAM agli utenti di utilizzare AWS il servizio di listino prezziAPI, è necessario consentire `DescribeServicesGetAttributeValues`, e`GetProducts`. Per un esempio di policy, consulta Individuazione di prodotti e prezzi.
`pricing:GetProducts`	Concede l'autorizzazione a visualizzare i prodotti AWS di servizio e i prezzi tramite il servizio API di AWS listino prezzi. Per consentire IAM agli utenti di utilizzare AWS il servizio di listino prezziAPI, è necessario consentire `DescribeServicesGetAttributeValues`, e`GetProducts`. Per un esempio di policy, consulta Individuazione di prodotti e prezzi.
`purchase-orders:ViewPurchaseOrders`	Concede l'autorizzazione a visualizzare gli ordini di acquisto. Per un esempio di policy, consulta Visualizzare e gestire gli ordini di acquisto.
`purchase-orders:ModifyPurchaseOrders`	Concede l'autorizzazione a modificare gli ordini di acquisto. Per un esempio di policy, consulta Visualizzare e gestire gli ordini di acquisto.
`tax:GetExemptions`	Concede l'autorizzazione per l'accesso in sola lettura alla visualizzazione delle esenzioni e dei tipi di esenzione tramite la console fiscale. Per un esempio di policy, consulta Consenti IAM agli utenti di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
`tax:UpdateExemptions`	Concede l'autorizzazione a caricare un'esenzione nella console delle esenzioni fiscali degli Stati Uniti. Per un esempio di policy, consulta Consenti IAM agli utenti di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
`support:CreateCase`	Concede l'autorizzazione a presentare le richieste di assistenza, necessaria per caricare la console sull'esenzione dalle esenzioni fiscali. Per un esempio di policy, consulta Consenti IAM agli utenti di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
`support:AddAttachmentsToSet`	Concede l'autorizzazione ad allegare documenti ai casi di supporto necessari per caricare i certificati di esenzione sulla console di esenzione fiscale. Per un esempio di policy, consulta Consenti IAM agli utenti di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
`customer-verification:GetCustomerVerificationEligibility`	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione a recuperare l'idoneità alla verifica del cliente.
`customer-verification:GetCustomerVerificationDetails`	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione a recuperare i dati di verifica del cliente.
`customer-verification:CreateCustomerVerificationDetails`	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione a creare dati di verifica dei clienti.
`customer-verification:UpdateCustomerVerificationDetails`	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione ad aggiornare i dati di verifica del cliente.
`mapcredit:ListAssociatedPrograms`	Concede l'autorizzazione a visualizzare i file associati Migration Acceleration Program accordi e dashboard per l'account del pagatore.
`mapcredit:ListQuarterSpend`	Concede il permesso di visualizzare il Migration Acceleration Program spesa idonea per il conto del pagatore.
`mapcredit:ListQuarterCredits`	Concede il permesso di visualizzare il Migration Acceleration Program crediti per il conto del pagatore.

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Come funziona AWS Billing con IAM

AWS Esempi di politiche di fatturazione