AWS Migration Hub Refactor Spaces è disponibile nella versione di anteprima ed è soggetto a modifiche.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identity and Access Management per AWS Migration Hub Refactor Spaces

AWS Identity and Access Management (IAM) è un servizio AWS che consente agli amministratori di controllare in modo sicuro l'accesso alle risorse AWS. Gli amministratori IAM controllano chi può essereautenticate(ha effettuato l'accesso) eautorizzati(disporre delle autorizzazioni) per utilizzare le risorse Refactor Spaces. IAM è un servizio AWS che è possibile utilizzare senza alcun costo aggiuntivo.

Audience

Come utilizziAWS Identity and Access Management(IAM) cambia a seconda delle operazioni eseguite in spazi di refattore.

Utente del servizio— Se utilizzi il servizio Refactor Spaces per eseguire il tuo lavoro, l'amministratore ti fornisce le credenziali e le autorizzazioni necessarie. All'aumentare del numero di funzionalità di Refactor Spaces utilizzate per il lavoro, potrebbero essere necessarie ulteriori autorizzazioni. La comprensione della gestione dell'accesso consente di richiedere le autorizzazioni corrette all'amministratore. Se non riesci ad accedere a una funzionalità in spazi di refattore, consultaRisoluzione dei problemi relativi all'identità e all'accesso di AWS Migration Hub Refactor Spaces.

Amministratore del servizio— Se sei il responsabile delle risorse Refactor Spaces presso la tua azienda, probabilmente disponi dell'accesso completo a Refactor Spaces. Il tuo compito è determinare le caratteristiche e le risorse di Refactor Spaces a cui i dipendenti devono accedere. Devi inviare le richieste all'amministratore IAM per cambiare le autorizzazioni degli utenti del servizio. Esamina le informazioni contenute in questa pagina per comprendere i concetti di base relativi a IAM. Per ulteriori informazioni su come la tua azienda può utilizzare IAM con Refactor Spaces, consultaCome funziona AWS Migration Hub Refactor Spaces con IAM.

Amministratore IAM— Se sei un amministratore IAM, potresti essere interessato a ottenere informazioni su come scrivere policy per gestire l'accesso a Refactor Spaces. Per visualizzare policy basate su identità di esempio di Refactor Spaces che è possibile utilizzare in IAM, consultareEsempi di policy basate su identità per AWS Migration Hub Refactor Spaces.

Autenticazione con identità

L'autenticazione è la procedura di accesso ad AWS utilizzando le credenziali di identità. Per ulteriori informazioni sull'accesso tramite la AWS Management Console, consultare Accesso alla AWS Management Console come utente IAM o utente root nella Guida per l'utente di IAM.

È necessario essere autenticato (connesso a AWS) come utente root Account AWS, come utente IAM o assumendo un ruolo IAM. È anche possibile utilizzare l'autenticazione Single Sign-On (SSO) della propria azienda oppure collegarsi utilizzando Google o Facebook. In questi casi, l'amministratore ha configurato in precedenza la federazione delle identità utilizzando i ruoli IAM. Quando si accede ad AWS utilizzando le credenziali di un'altra azienda, si assume indirettamente un ruolo.

Per accedere direttamente alla AWS Management Console, utilizzare la password con l'indirizzo e-mail dell'utente root o il nome utente IAM. È possibile effettuare l'accesso a AWS a livello di programmazione utilizzando le chiavi di accesso dell'utente root o dell'utente IAM. AWS fornisce SDK e gli strumenti a riga di comando per firmare in maniera crittografica la richiesta utilizzando le tue credenziali. Se non utilizzi gli strumenti AWS, è necessario firmare la richiesta personalmente. A questo scopo, utilizza Signature Version 4, un protocollo per l'autenticazione di richieste API in entrata. Per ulteriori informazioni sull'autenticazione delle richieste, si veda Signature Version 4 signing process (Processo di firma con Signature Version 4) in AWS - Riferimenti generali.

Indipendentemente dal metodo di autenticazione utilizzato, potrebbe essere necessario specificare ulteriori informazioni sulla sicurezza. AWS consiglia ad esempio di utilizzare la multi-factor authentication (MFA) per aumentare la sicurezza dell'account. Per ulteriori informazioni, consultare Utilizzo dell'autenticazione a più fattori (MFA) in AWS nella Guida per l'utente di IAM.

Utente root Account AWS

Quando crei un Account AWS per la prima volta, inizi con una singola identità di accesso che ha accesso completo a tutti i servizi e le risorse AWS nell'account. Tale identità è detta utente root di Account AWS e puoi accedervi con l'indirizzo e-mail e la password utilizzati per creare l'account. È vivamente consigliato di non utilizzare l'utente root per le attività quotidiane, anche quelle amministrative. Rispetta piuttosto la best practice di utilizzare l'utente root soltanto per creare il tuo primo utente IAM. Quindi conserva al sicuro le credenziali dell'utente root e utilizzale per eseguire solo alcune attività di gestione dell'account e del servizio.

Utenti e gruppi IAM

Un utente IAM è una identità all'interno del tuo Account AWS che dispone di autorizzazioni specifiche per un singolo utente o applicazione. Un utente IAM può disporre di credenziali a lungo termine, ad esempio un nome utente e una password oppure un set di chiavi di accesso. Per informazioni su come generare le chiavi di accesso, consultare Gestione delle chiavi di accesso per gli utenti IAM nella Guida per l'utente di IAM. Quando generi le chiavi di accesso per un utente IAM, assicurarti di visualizzare e salvare la coppia di chiavi in modo sicuro. Non puoi recuperare la chiave di accesso segreta in futuro. Al contrario, sarà necessario generare una nuova coppia di chiavi di accesso.

Un gruppo IAM è un'identità che specifica un insieme di utenti IAM. Non è possibile eseguire l'accesso come gruppo. È possibile utilizzare gruppi per specificare le autorizzazioni per più utenti alla volta. I gruppi semplificano la gestione delle autorizzazioni per set di utenti di grandi dimensioni. Ad esempio, puoi avere un gruppo denominato Amministratori IAM e concedere a tale gruppo le autorizzazioni per amministrare le risorse IAM.

Gli utenti sono diversi dai ruoli. Un utente è associato in modo univoco a una persona o un'applicazione, mentre un ruolo è destinato a essere assunto da chiunque ne abbia bisogno. Gli utenti dispongono di credenziali a lungo termine permanenti, mentre i ruoli forniscono credenziali temporanee. Per ulteriori informazioni, consultare Quando creare un utente IAM invece di un ruolo) nella Guida per l'utente di IAM.

Ruoli IAM

Un ruolo IAM è un'identità all'interno di Account AWS che dispone di autorizzazioni specifiche. È simile a un utente IAM, ma non è associato a una persona specifica. È possibile assumere temporaneamente un ruolo IAM in AWS Management Console mediante lo scambio di ruoli. È possibile assumere un ruolo chiamando un'operazione AWS CLI o API AWS oppure utilizzando un URL personalizzato. Per ulteriori informazioni sui metodi per l'utilizzo dei ruoli, consultare Utilizzo di ruoli IAM nella Guida per l'utente di IAM.

I ruoli IAM con credenziali temporanee sono utili nelle seguenti situazioni:

Per informazioni sull'utilizzo dei ruoli IAM, consultare Quando creare un ruolo IAM (invece di un utente) nella Guida per l'utente di IAM.

Gestione dell'accesso tramite policy

È possibile controllare l'accesso ad AWS creando delle policy e collegandole a identità IAM o a risorse AWS. Una policy è un oggetto in AWS che, se associato a un'identità o risorsa, ne definisce le relative autorizzazioni. È possibile accedere come utente root o utente IAM oppure assumere un ruolo IAM. Quando si effettua una richiesta, AWS valuta le policy basate su identità o su risorse correlate. Le autorizzazioni nella policy determinano l'approvazione o il rifiuto della richiesta. La maggior parte delle policy viene memorizzata in AWS sotto forma di documenti JSON. Per ulteriori informazioni sulla struttura e sui contenuti dei documenti delle policy JSON, consultare Panoramica delle policy JSON nella Guida per l'utente di IAM.

Gli amministratori possono utilizzare le policy AWS JSON per specificare l'accesso ai diversi elementi. Cioè, quale principale può eseguire azioni su quali risorse, e in quali condizioni.

Ogni entità IAM (utente o ruolo) inizialmente non dispone di autorizzazioni. Ovvero, per impostazione predefinita, gli utenti non possono eseguire alcuna operazione, neppure modificare la propria password. Per autorizzare un utente a eseguire operazioni, un amministratore deve allegare una policy di autorizzazioni a tale utente. In alternativa, l'amministratore può aggiungere l'utente a un gruppo che dispone delle autorizzazioni desiderate. Quando un amministratore fornisce le autorizzazioni a un gruppo, le autorizzazioni vengono concesse a tutti gli utenti in tale gruppo.

Le policy IAM definiscono le autorizzazioni relative a un'operazione, indipendentemente dal metodo utilizzato per eseguirla. Ad esempio, supponiamo di disporre di una policy che consente l'operazione iam:GetRole. Un utente con tale policy può ottenere informazioni sul ruolo dalla AWS Management Console, la AWS CLI o l'API AWS.

Policy basate su identità

Le policy basate su identità sono documenti di policy di autorizzazione JSON che è possibile allegare a un'identità (utente, gruppo di utenti o ruolo IAM). Tali policy definiscono le operazioni che utenti e ruoli possono eseguire, su quali le risorse e in quali condizioni . Per informazioni su come creare una policy basata su identità, consultare Creazione di policy IAM nella Guida per l'utente di IAM.

Le policy basate su identità possono essere ulteriormente classificate come policy inline o policy gestite. Le policy inline sono incorporate direttamente in un singolo utente, gruppo o ruolo. Le policy gestite sono policy standalone che possono essere collegate a più utenti, gruppi e ruoli in Account AWS. Le policy gestite includono le policy gestite da AWS e le policy gestite dal cliente. Per informazioni su come scegliere tra una policy gestita o una policy inline, consultare Scelta fra policy gestite e policy inline nella Guida per l'utente di IAM.

Policy basate su risorse

Le policy basate su risorse sono documenti di policy JSON che è possibile allegare a una risorsa. Gli esempi più comuni di policy basate su risorse sono le policy sull’affidabilità dei ruoli IAM e le policy dei bucket Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l'accesso a una risorsa specifica. Per la risorsa a cui è allegata la policy, questa definisce le azioni che un'entità specificata può eseguire su tale risorsa e a quali condizioni. È necessario specificare un principale in una policy basata sulle risorse. I principali possono includere account, utenti, ruoli, utenti federati o servizi AWS.

Le policy basate sulle risorse sono policy in linea che si trovano in tale servizio. Non è possibile utilizzare le policy gestite da AWS da IAM in una policy basata su risorse.

Liste di controllo accessi (ACL)

Le liste di controllo degli accessi (ACL) controllano quali principali (membri, utenti o ruoli dell’account) hanno le autorizzazioni ad accedere a una risorsa. Le ACL sono simili alle policy basate sulle risorse, sebbene non utilizzino il formato del documento di policy JSON.

Amazon S3, AWS WAF e Amazon VPC sono esempi di servizi che supportano le ACL. Per maggiori informazioni sulle ACL, consultare Panoramica dell'elenco di controllo degli accessi nella Guida per gli sviluppatori di Amazon Simple Storage Service.

Altri tipi di policy

AWS supporta altri tipi di policy meno comuni. Questi tipi di policy possono impostare il numero massimo di autorizzazioni concesse dai tipi di policy più comuni.

Più tipi di policy

Quando più tipi di policy si applicano a una richiesta, le autorizzazioni risultanti sono più complicate da comprendere. Per informazioni su come AWS determina se consentire una richiesta quando sono coinvolti più tipi di policy, consultare Logica di valutazione delle policy nella Guida per l'utente di IAM.