Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identity and Access Management per AWS Global Accelerator

AWS Identity and Access Management (IAM) è un servizio AWS che permette agli amministratori di controllare in modo sicuro l'accesso alle risorse AWS, incluse le risorse AWS Global Accelerator. Gli amministratori utilizzano IAM per controllare chi èAutenticazione(effettuato l'accesso) eautorizzato(dispone delle autorizzazioni) per utilizzare le risorse di Global Accelerator. IAM è una caratteristica inclusa nel tuo account AWS senza costi aggiuntivi.

Argomenti

Nozioni e termini

Autenticazione: per effettuare l'accesso ad AWS, devi utilizzare una delle seguenti credenziali: credenziali utente root (non consigliato), credenziali utente IAM o credenziali temporanee mediante i ruoli IAM. Per ulteriori informazioni su queste entità, consulta Che cos'è l'autenticazione?.

Controllo degli accessi: gli amministratori AWS utilizzano le policy per controllare l'accesso alle risorse AWS, ad esempio gli acceleratori in Global Accelerator. Per ulteriori informazioni, consulta Cos'è il controllo degli accessi? e Che cosa sono le policy?.

Per ulteriori informazioni sulle nozioni di base relative al funzionamento di IAM, consulta i seguenti termini:

Per visualizzare un diagramma del processo di autenticazione e controllo dell'accesso, consultaIntroduzione al funzionamento di IAMnellaGuida per l'utente di IAM: . Per ulteriori informazioni su come AWS determina se una richiesta è consentita, consultaLogica di valutazione delle policynellaGuida per l'utente di IAM: .

Autorizzazioni necessarie per l'accesso alla console, la gestione dell'autenticazione e il controllo dell'accesso

Per utilizzare Global Accelerator o per gestire l'autorizzazione e il controllo dell'accesso per sé stessi o gli altri utenti, è necessario disporre delle autorizzazioni corrette.

Autorizzazioni necessarie per creare un acceleratore globale

Per creare un acceleratore AWS Global Accelerator, gli utenti devono disporre dell'autorizzazione per creare ruoli collegati al servizio associati a Global Accelerator.

Per assicurarsi che gli utenti dispongano delle autorizzazioni corrette per creare acceleratori in Global Accelerator, allegare all'utente un criterio come il seguente.

{
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "globalaccelerator.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
      ],
      "Resource": "arn:aws:iam::*:role/aws-service-role/globalaccelerator.amazonaws.com/AWSServiceRoleForGlobalAccelerator*"
    }

Autorizzazioni necessarie per l'uso della console Global Accelerator

Per accedere alla console AWS Global Accelerator, è necessario disporre di un set minimo di autorizzazioni che consentono di elencare e visualizzare i dettagli relativi alle risorse Global Accelerator nell'account AWS. Se crei una policy di autorizzazioni basate su identità più restrittiva delle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità associate a tale policy.

Per garantire che tali entità possano continuare a usare la console Global Accelerator o le operazioni API, collega anche una delle seguenti policy gestite da AWS all'utente, come descritto inCreazione di policy nella scheda JSON:

        GlobalAcceleratorReadOnlyAccess
        GlobalAcceleratorFullAccess

Allegare il primo criterio,GlobalAcceleratorReadOnlyAccess, se gli utenti devono solo visualizzare le informazioni nella console o effettuare chiamate all'interfaccia della riga di comando AWS o all'API che utilizzanoList*oDescribe*operazioni.

Allegare la seconda politica,GlobalAcceleratorFullAccess, agli utenti che devono creare o aggiornare gli acceleratori. La policy di accesso completo includeFULLautorizzazioni per Global Accelerator edescribeautorizzazioni per Amazon EC2 e Elastic Load Balancing.

Di seguito è riportato il criterio di accesso completo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "globalaccelerator:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstances",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeSubnets",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteSecurityGroup",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AWSServiceName": "GlobalAccelerator"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSecurityGroup",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:DescribeLoadBalancers",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:security-group/*",
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}

Permessi necessari per la gestione dell'autenticazione

Per gestire le credenziali, ad esempio la password, le chiavi di accesso e i dispositivi con autenticazione a più fattori, l'amministratore deve concedere le autorizzazioni richieste. Per visualizzare la policy che include questi autorizzazioni, consulta Consente agli utenti di gestire in modo autonomo le proprie credenziali.

Un amministratore AWS deve disporre dell'accesso completo a IAM in modo da poter creare e gestire utenti, gruppi, ruoli e policy in IAM. È consigliabile utilizzare l'opzioneAdministratorAccessPolicy gestita da AWS che include l'accesso completo a tutti AWS. Questa policy non fornisce l'accesso alla console Billing and Cost Management AWS oppure consente attività che richiedono le credenziali utente radice dell'account AWS. Per ulteriori informazioni, consultaAttività AWS che richiedono credenziali utente root dell'account AWSnellaRiferimenti generali AWS: .

Autorizzazioni necessarie per il controllo degli

Se l'amministratore fornisce le credenziali utente IAM, tali credenziali associano policy all'utente IAM per controllare le risorse a cui l'utente può accedere. Per visualizzare le policy collegate all'identità utente nella Console di gestione AWS, devi disporre delle seguenti autorizzazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": [
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Sid": "ListUsersViewGroupsAndPolicies",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Se sono necessarie ulteriori autorizzazioni, chiedi all'amministratore di aggiornare le policy in modo da consentirti di accedere alle operazioni richieste.

Capire come Global Accelerator funziona con IAM

I servizi possono funzionare con IAM in diversi modi:

Risoluzione dei problemi di autenticazione e controllo degli accessi

Utilizza le informazioni seguenti per diagnosticare e risolvere i problemi comuni che possono verificarsi durante l'utilizzo di IAM.

Non sono autorizzato a eseguire un'operazione in Global Accelerator

Se la Console di gestione AWS indica che non sei autorizzato a eseguire un'operazione, devi contattare l'amministratore e richiedere il nome utente e la password.

L'esempio seguente si verifica quando un utente IAM denominatomy-user-nametenta di utilizzare la console per eseguire l'operazioneglobalaccelerator:CreateAcceleratorma non ha autorizzazioni:

User: arn:aws:iam::123456789012:user/my-user-name is not authorized to perform: aws-globalaccelerator:CreateAccelerator on resource: my-example-accelerator

In questo caso, devi contattare l'amministratore per l'aggiornamento delle policy in modo che venga autorizzato l'accesso allamy-example-acceleratorutilizzando l'opzioneaws-globalaccelerator:CreateAcceleratorOperazione .

Sono un amministratore e desidero consentire ad altri utenti di accedere a Global Accelerator

Per consentire ad altri utenti di accedere ad Global Accelerator, devi creare un'entità IAM (utente o ruolo) per la persona o l'applicazione che richiede l'accesso. Tale utente o applicazione utilizzerà le credenziali dell'entità per accedere ad AWS. Dovrai quindi collegare all'entità una policy che conceda le autorizzazioni corrette in Global Accelerator.

Per iniziare, consulta Nozioni di base su IAM.

Voglio capire IAM senza diventare un esperto

Per ulteriori informazioni su termini, concetti e procedure IAM di, consulta i seguenti argomenti:

Policy basate su tag

Durante la progettazione di policy IAM, potrebbe essere necessario impostare autorizzazioni granulari concedendo l'accesso a risorse specifiche. Poiché il numero di risorse che puoi gestire cresce, questa operazione diventa più difficile. Il tagging degli acceleratori e l'utilizzo di tag in condizioni di dichiarazione di policy possono semplificare questa attività. Puoi concedere l'accesso in blocco a qualsiasi acceleratore con un determinato tag. Quindi applicare ripetutamente questo tag a acceleratori pertinenti, quando crea l'acceleratore o aggiornando l'acceleratore in seguito.

I tag possono essere collegati a una risorsa o trasferiti nella richiesta verso servizi che supportano il tagging. In Global Accelerator, solo gli acceleratori possono includere tag. Quando si crea una policy IAM, è possibile utilizzare le chiavi di condizione di tag per controllare:

Per la sintassi completa e la semantica delle chiavi delle condizioni dei tag, consultaControllo dell'accesso tramite tag IAMnellaGuida per l'utente di IAM: .

Ad esempio, l'acceleratore globaleGlobalAcceleratorFullAccessLa policy utente gestita fornisce agli utenti autorizzazioni illimitate per eseguire qualsiasi operazione di Global Accelerator su qualsiasi risorsa. La policy seguente limita questa capacità e nega agli utenti non autorizzati l'autorizzazione a eseguire qualsiasi operazione di Global Accelerator su qualsiasiProduzioneAcceleratori L'amministratore di un cliente deve collegare questa policy IAM a utenti IAM non autorizzati oltre alla policy gestita dall'utente.

{ 
   "Version":"2012-10-17",
   "Statement":[ 
      { 
         "Effect":"Deny",
         "Action":"*",
         "Resource":"*",
         "Condition":{ 
            "ForAnyValue:StringEquals":{ 
               "aws:RequestTag/stage":"prod"
            }
         }
      },
      { 
         "Effect":"Deny",
         "Action":"*",
         "Resource":"*",
         "Condition":{ 
            "ForAnyValue:StringEquals":{ 
               "aws:ResourceTag/stage":"prod"
            }
         }
      }
   ]
}