View a markdown version of this page

Configurazione delle policy di accesso per Performance Insights - Amazon DocumentDB
Allegare la policy a un responsabile IAM AmazonRDSPerformanceInsightsReadOnlyCreazione di una policy IAM personalizzata per Approfondimenti sulle prestazioniConfigurazione di un AWS KMS politica per Performance Insights

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione delle policy di accesso per Performance Insights

Per accedere a Performance Insights, devi avere le autorizzazioni appropriate da AWS Identity and Access Management (IAM). Per concedere l'accesso sono disponibili le seguenti opzioni:

  • Collega la policy gestita AmazonRDSPerformanceInsightsReadOnly a un set di autorizzazioni o a un ruolo.

  • Crea una policy IAM personalizzata e collegala a un set di autorizzazioni o un ruolo.

Inoltre, se è stato specificata una chiave gestita dal cliente durante l'attivazione di Performance Insights, è necessario assicurarsi che gli utenti dell'account dispongano delle autorizzazioni kms:Decrypt e kms:GenerateDataKey sulla chiave KMS.

Nota

Per la crittografia a riposo con la gestione di AWS KMS chiavi e gruppi di sicurezza, Amazon DocumentDB sfrutta la tecnologia operativa condivisa con Amazon RDS. https://aws.amazon.com/rds

Allegare la policy a un responsabile IAM AmazonRDSPerformanceInsightsReadOnly

AmazonRDSPerformanceInsightsReadOnlyè una policy AWS gestita che garantisce l'accesso a tutte le operazioni di sola lettura dell'API Amazon DocumentDB Performance Insights. Al momento, tutte le operazioni in questa API sono di sola lettura. Se si collega AmazonRDSPerformanceInsightsReadOnly a un set di autorizzazioni o un ruolo, il destinatario può utilizzare Performance Insights insieme ad altre funzionalità della console.

Creazione di una policy IAM personalizzata per Approfondimenti sulle prestazioni

Per gli utenti che non hanno accesso completo alla policy AmazonRDSPerformanceInsightsReadOnly, si può concedere l'accesso a Performance Insights creando o modificando una policy IAM gestita dall'utente. Quando alleghi la policy a un set di autorizzazioni o a un ruolo, il destinatario può utilizzare Performance Insights.

Per creare una policy personalizzata

  1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel riquadro di navigazione, scegli Policy.

  3. Scegli Create Policy (Crea policy).

  4. Nella pagina Create Policy (Crea policy), seleziona la scheda JSON.

  5. Copia e incolla il testo seguente, sostituendolo us-east-1 con il nome della tua AWS regione e 111122223333 con il numero del tuo account cliente.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "rds:DescribeDBInstances",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "rds:DescribeDBClusters",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "pi:DescribeDimensionKeys",
            "Resource": "arn:aws:pi:us-east-1:111122223333:metrics/rds/*"
        },
        {
            "Effect": "Allow",
            "Action": "pi:GetDimensionKeyDetails",
            "Resource": "arn:aws:pi:us-east-1:111122223333:metrics/rds/*"
        },
        {
            "Effect": "Allow",
            "Action": "pi:GetResourceMetadata",
            "Resource": "arn:aws:pi:us-east-1:111122223333:metrics/rds/*"
        },
        {
            "Effect": "Allow",
            "Action": "pi:GetResourceMetrics",
            "Resource": "arn:aws:pi:us-east-1:111122223333:metrics/rds/*"
        },
        {
            "Effect": "Allow",
            "Action": "pi:ListAvailableResourceDimensions",
            "Resource": "arn:aws:pi:us-east-1:111122223333:metrics/rds/*"
        },
        {
            "Effect": "Allow",
            "Action": "pi:ListAvailableResourceMetrics",
            "Resource": "arn:aws:pi:us-east-1:111122223333:metrics/rds/*"
        }
    ]
}

  6. Scegliere Esamina policy.

  7. Specifica un nome per la policy e, facoltativamente, una descrizione e quindi scegli Crea policy.

Ora è possibile collegare la policy a un set di autorizzazioni o un ruolo. La seguente procedura presuppone che si disponga già di un utente disponibile allo scopo.

Per collegare la policy a un utente

  1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel pannello di navigazione, seleziona Utenti.

  3. Seleziona un utente esistente dall'elenco.

    Importante

    Per utilizzare Performance Insights, assicurati di avere accesso ad Amazon DocumentDB oltre alla policy personalizzata. Ad esempio, la policy AmazonDocDBReadOnlyAccess predefinita fornisce l'accesso in sola lettura ad Amazon. DocDB.For Ulteriori informazioni, vedi Gestione dell'accesso tramite politiche.

  4. Nella pagina Summary (Riepilogo), scegli Add permissions (Aggiungi autorizzazioni).

  5. Scegli Attach existing policies directly (Collega direttamente le policy esistenti). Per Search (Ricerca) digita i primi caratteri del nome della policy, come mostrato di seguito.

    Scelta di una policy

  6. Scegli la policy e quindi seleziona Next: Review (Successivo: Rivedi).

  7. Scegli Add Permissions (Aggiungi autorizzazioni).

Configurazione di un AWS KMS politica per Performance Insights

Performance Insights utilizza un AWS KMS key per crittografare i dati sensibili. Quando si abilita Performance Insights mediante l'API o la console, sono disponibili le seguenti opzioni:

  • Scegli l'impostazione predefinita Chiave gestita da AWS.

    Amazon DocumentDB utilizza il Chiave gestita da AWS per la tua nuova istanza DB. Amazon DocumentDB crea un account Chiave gestita da AWS per il tuo AWS account. Il tuo AWS account è diverso Chiave gestita da AWS per Amazon DocumentDB per ogni AWS regione.

  • Scegli una chiave gestita dal cliente.

    Se si specifica una chiave gestita dal cliente, gli utenti dell'account che chiamano l'API Performance Insights necessitano delle autorizzazioni kms:Decrypt e kms:GenerateDataKey per la chiave KMS. Gestisci le autorizzazioni della chiave KMS utilizzando la AWS KMS policy chiave anziché utilizzare le politiche IAM. Per ulteriori informazioni, vedere Utilizzo delle politiche chiave in AWS KMS.

Esempio

La seguente policy chiave di esempio mostra come aggiungere istruzioni alla propria policy della chiave KMS. Queste istruzioni consentono l'accesso a Performance Insights. A seconda di come utilizzi il AWS KMS, potresti voler modificare alcune restrizioni. Prima di aggiungere istruzioni alle policy, ai criteri, rimuovi tutti i commenti.