View a markdown version of this page

Controllo dell'accesso per il rilevamento delle anomalie dei costi - AWS Gestione dei costi
Controllo dell'accesso tramite policy a livello di risorsaControllo dell'accesso tramite tag (ABAC)

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo dell'accesso per il rilevamento delle anomalie dei costi

È possibile utilizzare i controlli di accesso a livello di risorsa e i tag ABAC (Attribute-Based Access Control) per il monitoraggio delle anomalie dei costi e gli abbonamenti per le anomalie. Ogni risorsa per il monitoraggio delle anomalie e per la sottoscrizione delle anomalie ha un Amazon Resource Name (ARN) univoco. Puoi anche allegare tag (coppie chiave-valore) a ciascuna funzionalità. Sia gli ARN delle risorse che i tag ABAC possono essere utilizzati per fornire un controllo granulare degli accessi ai ruoli o ai gruppi di utenti all'interno del tuo. Account AWS

Per ulteriori informazioni sui controlli di accesso a livello di risorsa e sui tag ABAC, vedere. In che modo AWS La gestione dei costi funziona con IAM

Nota

Cost Anomaly Detection non supporta politiche basate sulle risorse. Resource-based le politiche sono direttamente collegate alle risorse. AWS Per ulteriori informazioni sulla differenza tra policy e autorizzazioni, consulta Identity-based policy e policy basate sulle risorse nella IAM User Guide.

Controllo dell'accesso tramite policy a livello di risorsa

Puoi utilizzare le autorizzazioni a livello di risorsa per consentire o negare l'accesso a una o più risorse di Cost Anomaly Detection in una policy IAM. In alternativa, utilizza le autorizzazioni a livello di risorsa per consentire o negare l'accesso a tutte le risorse di Cost Anomaly Detection.

Quando crei un IAM, utilizza i seguenti formati Amazon Resource Name (ARN):

  • AnomalyMonitorARN della risorsa

    arn:${partition}:ce::${account-id}:anomalymonitor/${monitor-id}

  • AnomalySubscriptionARN della risorsa

    arn:${partition}:ce::${account-id}:anomalysubscription/${subscription-id}

Per consentire all'entità IAM di ottenere e creare un abbonamento per il monitoraggio delle anomalie o delle anomalie, utilizza una policy simile a questa policy di esempio.

Nota

  • Per ce:GetAnomalyMonitor ece:GetAnomalySubscription, gli utenti hanno tutto o nessun controllo degli accessi a livello di risorsa. Ciò richiede che la policy utilizzi un ARN generico sotto forma di,, o. arn:${partition}:ce::${account-id}:anomalymonitor/* arn:${partition}:ce::${account-id}:anomalysubscription/* *

  • Per ce:CreateAnomalyMonitor ece:CreateAnomalySubscription, non abbiamo un ARN di risorsa per questa risorsa. Quindi, la policy utilizza sempre l'ARN generico menzionato nel punto precedente.

  • Perce:GetAnomalies, usa il parametro opzionalemonitorArn. Se utilizzato con questo parametro, confermiamo se l'utente ha accesso al monitorArn passato.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "ce:GetAnomalyMonitors",
                "ce:CreateAnomalyMonitor"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:ce::999999999999:anomalymonitor/*"
        }, 
        {
            "Action": [
                "ce:GetAnomalySubscriptions",
                "ce:CreateAnomalySubscription"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:ce::999999999999:anomalysubscription/*"
        }
    ]
}

Per consentire all'entità IAM di aggiornare o eliminare i monitor delle anomalie, utilizza una policy simile a questa policy di esempio.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ce:UpdateAnomalyMonitor",
                "ce:DeleteAnomalyMonitor"
                ],
            "Resource": [
              "arn:aws:ce::999999999999:anomalymonitor/f558fa8a-bd3c-462b-974a-000abc12a000",
              "arn:aws:ce::999999999999:anomalymonitor/f111fa8a-bd3c-462b-974a-000abc12a001"
		]
         }
    ]
}

Controllo dell'accesso tramite tag (ABAC)

È possibile utilizzare i tag (ABAC) per controllare l'accesso alle risorse di Cost Anomaly Detection che supportano l'etichettatura. Per controllare l'accesso tramite tag, fornisci le informazioni sui tag nell'Conditionelemento di una policy. Puoi quindi creare una policy IAM che consenta o neghi l'accesso a una risorsa in base ai tag della risorsa. Puoi utilizzare le chiavi di condizione dei tag per controllare l'accesso alle risorse, alle richieste o a qualsiasi parte del processo di autorizzazione. Per ulteriori informazioni sui ruoli IAM che utilizzano i tag, consulta Controllare l'accesso a e per gli utenti e i ruoli utilizzando i tag nella IAM User Guide.

Crea una policy basata sull'identità che consenta di aggiornare i monitor delle anomalie. Se il tag di monitoraggio Owner ha il valore del nome utente, utilizza una politica simile a questa politica di esempio.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ce:UpdateAnomalyMonitor"
            ],
            "Resource": "arn:aws:ce::*:anomalymonitor/*",
            "Condition": {
                "StringEquals": {
			"aws:ResourceTag/Owner": "${aws:username}"
		   }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ce:GetAnomalyMonitors",
            "Resource": "*"
        }
    ]
}