Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy basate sull'identità di Amazon Fraud Detector

Per impostazione predefinita, gli utenti e i ruoli IAM non sono autorizzati a creare o modificare risorse Amazon Fraud Detector. Inoltre, non possono eseguire attività utilizzando l' AWS API AWS Management Console AWS CLI, o. Un amministratore deve creare le policy IAM che concedono a utenti e ruoli l'autorizzazione per eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. L'amministratore devi quindi collegare queste policy a utenti o gruppi che richiedono tali autorizzazioni.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy nella scheda JSON nella Guida per l'utente IAM.

Best practice delle policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare risorse Amazon Fraud Detector nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.

Policy gestita da AWS (predefinita) per Amazon Fraud Detector

AWS affronta molti casi d'uso comuni fornendo politiche IAM autonome create e amministrate da. AWS Queste policy AWS gestite concedono le autorizzazioni necessarie per i casi d'uso comuni in modo da evitare di dover esaminare quali autorizzazioni sono necessarie. Per ulteriori informazioni, consulta AWS Managed Policies nella AWS Identity and Access Management Management User Guide.

La seguente politica AWS gestita, che puoi allegare agli utenti del tuo account, è specifica di Amazon Fraud Detector:

AmazonFraudDetectorFullAccess: Garantisce l'accesso completo alle risorse, alle azioni e alle operazioni supportate di Amazon Fraud Detector, tra cui:

Questa policy non fornisce un accesso S3 illimitato. Se devi caricare set di dati di addestramento dei modelli su S3, è richiesta anche la policy AmazonS3FullAccess gestita (o la policy di accesso personalizzata di Amazon S3 delimitata).

Puoi rivedere le autorizzazioni della policy accedendo alla console IAM e cercando in base al nome della policy. Puoi anche creare policy IAM personalizzate per consentire le autorizzazioni per le azioni e le risorse di Amazon Fraud Detector quando ne hai bisogno. Puoi collegare queste policy personalizzate agli utenti o ai gruppi che ne hanno bisogno.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa policy include le autorizzazioni per completare questa azione sulla console o utilizzando programmaticamente l'API o. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Consenti l'accesso completo alle risorse di Amazon Fraud Detector

L'esempio seguente fornisce a un utente l'accesso Account AWS completo a tutte le risorse e le azioni di Amazon Fraud Detector.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        }
    ]
}

Consenti l'accesso in sola lettura alle risorse di Amazon Fraud Detector

In questo esempio, concedi a un utente in Account AWS sola lettura l'accesso alle tue risorse Amazon Fraud Detector.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:GetEventTypes",
                "frauddetector:BatchGetVariable",
                "frauddetector:DescribeDetector",
                "frauddetector:GetModelVersion",
                "frauddetector:GetEventPrediction",
                "frauddetector:GetExternalModels",
                "frauddetector:GetLabels",
                "frauddetector:GetVariables",
                "frauddetector:GetDetectors",
                "frauddetector:GetRules",
                "frauddetector:ListTagsForResource",
                "frauddetector:GetKMSEncryptionKey",
                "frauddetector:DescribeModelVersions",
                "frauddetector:GetDetectorVersion",
                "frauddetector:GetPrediction",
                "frauddetector:GetOutcomes",
                "frauddetector:GetEntityTypes",
                "frauddetector:GetModels"
            ],
            "Resource": "*"
        }
    ]
}

Consenti l'accesso a una risorsa specifica

In questo esempio di politica a livello di risorsa, concedi a un utente l' Account AWS accesso a tutte le azioni e le risorse ad eccezione di una particolare risorsa Detector.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "frauddetector:*Detector"
            ],
            "Resource": "arn:${Partition}:frauddetector:${Region}:${Account}:detector/${detector-name}"
        }
    ]
}

Consenti l'accesso a risorse specifiche quando utilizzi l'API in modalità doppia

Amazon Fraud Detector offre una doppia modalità di funzionamento sia come elenco APIs che come descrizione. Un'API in doppia modalità, se chiamata senza parametri, restituisce un elenco della risorsa specificata associata al tuo Account AWS. Un'API in modalità doppia quando viene chiamata con un parametro restituisce i dettagli della risorsa specificata. La risorsa può essere costituita da modelli, variabili, tipi di eventi o tipi di entità.

La modalità doppia APIs supporta le autorizzazioni a livello di risorsa nelle policy IAM. Tuttavia, le autorizzazioni a livello di risorsa vengono applicate solo quando uno o più parametri vengono forniti come parte della richiesta. Ad esempio, se l'utente chiama l'GetVariablesAPI e fornisce un nome variabile e se è presente una policy IAM Deny associata alla risorsa variabile o al nome della variabile, l'utente AccessDeniedException riceverà un errore. Se l'utente chiama l'GetVariablesAPI e non specifica un nome di variabile, vengono restituite tutte le variabili, il che può causare perdite di informazioni.

Per consentire agli utenti di visualizzare solo i dettagli di risorse specifiche, utilizza un elemento di NotResource policy IAM in una policy IAM Deny. Dopo aver aggiunto questo elemento di policy a una policy IAM Deny, gli utenti possono solo visualizzare i dettagli delle risorse specificate nel NotResource blocco. Per ulteriori informazioni, consulta IAM JSON Policy elements: NotResource nella IAM User Guide.

La seguente policy di esempio consente agli utenti di accedere a tutte le risorse di Amazon Fraud Detector. Tuttavia, l'elemento NotResource policy viene utilizzato per limitare le chiamate GetVariablesAPI solo ai nomi delle variabili con i prefissi euser*. job_* var*

{
 "Version": "2012-10-17",
 "Statement": [
  {
    "Effect": "Allow",
    "Action": "frauddetector:*",
    "Resource": "*"
  },
 {
    "Effect": "Deny",
    "Action": "frauddetector:GetVariables",
    "NotResource": [
       "arn:aws:frauddetector:*:*:variable/user*",
       "arn:aws:frauddetector:*:*:variable/job_*",
       "arn:aws:frauddetector:*:*:variable/var*"
    ]
  }
 ]
}         
         

Risposta

Per questo criterio di esempio, la risposta presenta il seguente comportamento:

Limitazione dell'accesso in base ai tag

Questo esempio di policy dimostra come limitare l'accesso ad Amazon Fraud Detector in base ai tag delle risorse. Questo esempio presuppone che:

Di seguito è riportato un esempio di policy che nega azioni specifiche su qualsiasi risorsa Amazon Fraud Detector con un tag con una chiave e un Project valore di: B

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "frauddetector:*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",

      "Action": [

        "frauddetector:CreateModel",
        "frauddetector:CancelBatchPredictionJob",
        "frauddetector:CreateBatchPredictionJob",
        "frauddetector:DeleteBatchPredictionJob",
        "frauddetector:DeleteDetector"
      ],

      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "B"
        }
      }
    }
  ]
}