Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy basate su identità per Amazon Elastic File System

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare EFS risorse Amazon. Inoltre, non possono eseguire attività utilizzando AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS API. Per concedere agli utenti il permesso di eseguire azioni sulle risorse di cui hanno bisogno, un IAM amministratore può creare IAM policy. L'amministratore può quindi aggiungere le IAM politiche ai ruoli e gli utenti possono assumerli.

Per informazioni su come creare una politica IAM basata sull'identità utilizzando questi documenti di esempioJSON, consulta Creazione di IAM politiche nella Guida per l'IAMutente.

Per dettagli sulle azioni e sui tipi di risorse definiti da AmazonEFS, incluso il formato di ARNs per ogni tipo di risorsa, consulta Azioni, risorse e chiavi di condizione per Amazon Elastic File System nel Service Authorization Reference.

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare EFS risorse Amazon nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Per ulteriori informazioni sulle procedure consigliate inIAM, consulta la sezione Procedure consigliate in materia di sicurezza IAM nella Guida per l'IAMutente.

Utilizzo della EFS console Amazon

Per accedere alla console Amazon Elastic File System, è necessario disporre di un set di autorizzazioni minimo. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle EFS risorse Amazon presenti nel tuo Account AWS. Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario concedere autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso il AWS CLI o il. AWS API Consenti invece l'accesso solo alle azioni che corrispondono all'APIoperazione che stanno cercando di eseguire.

Per garantire che utenti e ruoli possano continuare a utilizzare la EFS console Amazon, allega anche la policy EFS AmazonElasticFileSystemReadOnlyAccess AWS gestita da Amazon alle entità. Per ulteriori informazioni, consulta Aggiungere autorizzazioni a un utente nella Guida per l'IAMutente.

Puoi vedere le politiche AmazonElasticFileSystemReadOnlyAccess e le altre politiche dei servizi EFS gestiti di Amazon inAWS politiche gestite per Amazon EFS.

Esempio: consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra come è possibile creare una politica che consenta IAM agli utenti di visualizzare le politiche in linea e gestite allegate alla loro identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando o a livello di codice. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Esempio: applicazione della creazione di file system crittografati

Nell'esempio seguente viene illustrato una policy basata sull'identità che autorizza i principali a creare solo file system crittografati.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:Encrypted": "true"
                }
            },
            "Resource": "*"
        }
    ]
}

Se questa policy viene assegnata a un utente che tenta di creare un file system non crittografato, la richiesta ha esito negativo. L'utente visualizza un messaggio simile al seguente, indipendentemente dal fatto che stia utilizzando il AWS Management Console AWS CLI, il o o: AWS API SDK

User: arn:aws:iam::111122223333:user/username is not authorized to
      perform: elasticfilesystem:CreateFileSystem on the specified resource.

Esempio: applicazione della creazione di file system decrittografati

Nell'esempio seguente viene illustrato una policy basata sull'identità che autorizza i principali a creare solo file system decrittografati.

{
      "Statement": [
        {            
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:Encrypted": "false"
                }
            },
            "Resource": "*"
        }
    ]
}

Se questa policy viene assegnata a un utente che tenta di creare un file system crittografato, la richiesta ha esito negativo. L'utente visualizza un messaggio simile al seguente, indipendentemente dal fatto che stia utilizzando il AWS Management Console AWS CLI, il o AWS API oSDK:

User: arn:aws:iam::111122223333:user/username is not authorized to 
      perform: elasticfilesystem:CreateFileSystem on the specified resource.

Puoi anche imporre la creazione di EFS file system Amazon crittografati o non crittografati creando una policy di controllo AWS Organizations del servizio ()SCP. Per ulteriori informazioni sulle politiche di controllo dei servizi in AWS Organizations, consulta le politiche di controllo dei servizi nella Guida per l'AWS Organizations utente.