Creazione di politiche organizzative con AWS Organizations

Accedi al AWS Organizations console. È necessario accedere come IAM utente, assumere un IAM ruolo o accedere come utente root (scelta non consigliata) nell'account di gestione dell'organizzazione.

Nella pagina Backup policies (Policy di backup), scegli Create policy (Crea policy).

Nella pagina Create policy (Crea policy), inserisci un Nome policy e una Descrizione policy (facoltativa).

(Facoltativo) Per aggiungere uno o più tag alla policy, scegli Add tag (Aggiungi tag) e quindi inserisci una chiave e un valore facoltativo. Lasciando vuoto il valore, questo viene impostato su una stringa vuota; non è null. Puoi associare fino a 50 tag a una policy. Per ulteriori informazioni sull'assegnazione di tag, consulta Assegnazione di tag AWS Organizations risorse.

È possibile creare la policy utilizzando l'editor visivo come descritto in questa procedura. Puoi anche inserire o incollare il testo della policy nella JSONscheda. Per informazioni sulla sintassi della policy di backup, consulta Sintassi ed esempi delle policy di backup.

Se si sceglie di utilizzare Editor visivo, selezionare le opzioni di backup appropriate per lo scenario. Un piano di backup è composto da tre parti. Per ulteriori informazioni su questi elementi del piano di backup, vedere Creazione di un piano di backup e Assegnazione di risorse nella AWS Backup Guida per gli sviluppatori.

Al termine della creazione della policy, scegli Create policy (Crea policy). La policy viene visualizzata nell'elenco delle policy di backup disponibili.

Accedi al AWS Organizations console. È necessario accedere come IAM utente, assumere un IAM ruolo o accedere come utente root (scelta non consigliata) nell'account di gestione dell'organizzazione.

Nella pagina Tag policies (Policy di tag), scegli Create policy (Crea policy).

Nella pagina Create policy (Crea policy), inserisci un Nome policy e una Descrizione policy (facoltativa).

(Facoltativo) Puoi aggiungere uno o più tag per l'oggetto policy. Questi tag non fanno parte della policy. A questo scopo, scegli Add tag (Aggiungi tag) e inserisci una chiave e un valore facoltativo. Lasciando vuoto il valore, questo viene impostato su una stringa vuota; non è null. Puoi associare fino a 50 tag a una policy. Per ulteriori informazioni, consulta Assegnazione di tag AWS Organizations risorse.

È possibile creare la policy di tag utilizzando l'editor visivo come descritto in questa procedura. Puoi anche digitare o incollare una politica sui tag nella JSONscheda. Per informazioni sulla sintassi delle policy di tag, consulta Sintassi delle policy di tag.

Se scegli di utilizzare l'editor visivo, specifica quanto segue:

Per New tag key 1 (Nuova chiave di tag 1), specifica il nome di una chiave di tag da aggiungere.

Per le opzioni di conformità, puoi selezionare le seguenti opzioni:

Per applicare i tipi di risorsa, puoi selezionare Impedisci operazioni non conformi per questo tag.

Ti consigliamo di lasciare deselezionata questa opzione (impostazione predefinita) a meno che tu non abbia esperienza nell'uso delle politiche relative ai tag. Assicurati di aver esaminato i suggerimenti in Informazioni sull'applicazione ed effettua test accurati. In caso contrario, potresti impedire agli utenti degli account dell'organizzazione di applicare i tag alle risorse necessarie.

Se desideri applicare la conformità con questa chiave di tag, seleziona la casella di controllo e quindi Specify resource types (Specifica i tipi di risorsa). Quando richiesto, seleziona i tipi di risorsa da includere nella policy. Selezionare quindi Save changes (Salva modifiche).

(Opzionale) Per aggiungere un'altra chiave di tag a questa policy di tag, scegliere Add tag key (Aggiungi chiave di tag). Quindi esegui i passaggi da 6 a 9 per definire la chiave di tag.

Al termine della creazione della policy di tag, scegliere Save changes (Salva modifiche).

Accedi al AWS Organizations console. È necessario accedere come IAM utente, assumere un IAM ruolo o accedere come utente root (scelta non consigliata) nell'account di gestione dell'organizzazione.

Nella pagina AI services opt-out policies (Policy di rifiuto dei servizi di IA), scegli Create policy (Crea policy).

Nella pagina Create new AI services opt-out policy (Crea nuova policy di rifiuto dei servizi di IA, inserisci un Nome policy e facoltativamente una Descrizione per la policy.

(Facoltativo) Per aggiungere uno o più tag alla policy, scegli Add tag (Aggiungi tag) e quindi inserisci una chiave e un valore facoltativo. Lasciando vuoto il valore, questo viene impostato su una stringa vuota; non è null. Puoi associare fino a 50 tag a una policy. Per ulteriori informazioni, consulta Assegnazione di tag AWS Organizations risorse.

Inserisci o incolla il testo della policy nella JSONscheda. Per informazioni sulla sintassi della policy di rifiuto dei servizi di IA, consulta Sintassi ed esempi di policy di rifiuto dei servizi di IA. Per esempi di policy che puoi utilizzare come punto di partenza, consulta Esempi di policy di rifiuto dei servizi di IA.

Al termine delle modifica della policy, seleziona Create policy (Crea policy nell'angolo in basso a destra della pagina.

Accedere a AWS Organizations console. È necessario accedere come IAM utente, assumere un IAM ruolo o accedere come utente root (scelta non consigliata) nell'account di gestione dell'organizzazione.

Nella pagina Service control policies (Policy di controllo dei servizi), scegli Create policy (Crea policy).

Nella pagina Create new service control policy (Crea nuova policy di controllo dei servizi), inserisci un Nome policy e una Descrizione policy (facoltativa).

(Facoltativo) Per aggiungere uno o più tag, scegli Add tag (Aggiungi tag) e quindi inserisci una chiave e un valore facoltativo. Lasciando vuoto il valore, questo viene impostato su una stringa vuota; non è null. Puoi associare fino a 50 tag a una policy. Per ulteriori informazioni, consulta Assegnazione di tag AWS Organizations risorse.

Per creare la policy, le prossime fasi variano a seconda del fatto che desideri aggiungere un'istruzione che nega o consente l'accesso. Per ulteriori informazioni, consulta SCPvalutazione. Se si utilizzano Deny le istruzioni, si dispone di un controllo aggiuntivo in quanto è possibile limitare l'accesso a risorse specifiche, definire le condizioni relative all'SCPsentrata in vigore e utilizzare l'NotActionelemento. Per informazioni dettagliate sulla sintassi, consulta SCPsintassi.

Per aggiungere un'istruzione che nega l'accesso:

1. Nel riquadro Modifica istruzioni a destra dell'editor, in Aggiungi azioni, scegli un AWS servizio.

   Quando scegli le opzioni a destra, l'JSONeditor si aggiorna per mostrare la JSON politica corrispondente a sinistra.

2. Dopo avere selezionato un servizio, viene aperto un elenco contenente le operazioni disponibili per tale servizio. È possibile scegliere All actions (Tutte le operazioni) o scegliere una o più singole operazioni che si desidera negare.

   La JSON parte a sinistra si aggiorna per includere le azioni selezionate.

   Nota

   Se si seleziona una singola azione e poi si torna indietro e si seleziona anche Tutte le azioni, la voce prevista per servicename/* viene aggiunta aJSON, ma le singole azioni selezionate in precedenza vengono lasciate JSON e non rimosse.

3. Se desideri aggiungere operazioni da servizi aggiuntivi, puoi scegliere All services (Tutti i servizi) nella parte alta della casella Statement (Istruzione), quindi ripeti i due passaggi precedenti in base alle esigenze.

4. Specificare le risorse da includere nell'istruzione.

   • Vicino a Aggiungi una risorsa, scegli Aggiungi.

   • Nella finestra di dialogo Add resource (Aggiungi risorsa), seleziona dall'elenco il servizio di cui desideri controllare le risorse. Puoi scegliere solo tra i servizi selezionati nel passaggio precedente.

   • In Resource type (Tipo di risorsa), scegli il tipo di risorsa da controllare.

   • Infine, completa Amazon Resource Name (ARN) in Resource ARN per identificare la risorsa specifica a cui desideri controllare l'accesso. È necessario sostituire tutti i segnaposto circondati da parentesi graffe {}. Puoi specificare wild card (*) dove la ARN sintassi di quel tipo di risorsa lo consente. Per informazioni su dove è possibile utilizzare i caratteri jolly, consulta la documentazione relativa a un tipo di risorsa specifico.

   • Salva la tua aggiunta alla policy scegliendo Add resource (Aggiungi risorsa). L'Resourceelemento in JSON riflette le tue aggiunte o modifiche. L'elemento Resource (Risorsa) è obbligatorio.

   Suggerimento

   Se desideri specificare tutte le risorse per il servizio selezionato, scegli l'opzione Tutte le risorse nell'elenco o modifica l'Resourceistruzione direttamente nella sezione JSON da leggere"Resource":"*".

5. (Facoltativo) Per specificare le condizioni che limitano l'applicazione di un'istruzione delle policy, vicino a Aggiungi condizione, scegli Aggiungi.

   • Chiave di condizione: dall'elenco è possibile scegliere qualsiasi chiave di condizione disponibile per tutti AWS servizi (ad esempio,aws:SourceIp) o una chiave specifica del servizio solo per uno dei servizi selezionati per questa istruzione.

   • Qualifier (Qualificatore) - (Facoltativo) Se si inseriscono più valori per una condizione (che dipende dalla chiave di condizione specificata), è possibile specificare un qualificatore per testare le richieste rispetto ai valori.

     • Default - Verifica un singolo valore nella richiesta in base al valore della chiave di condizione nella policy. La condizione restituisce vero se il valore nella richiesta corrisponde al valore nella policy. Se la policy specifica più di un valore, vengono trattati come un test "oppure"" e la condizione restituisce vero se i valori della richiesta corrispondono a uno qualsiasi dei valori della policy.

     • Per qualsiasi valore in una richiesta - Quando la richiesta può avere più valori, questa opzione verifica se almeno uno dei valori della richiesta corrisponde ad almeno uno dei valori della chiave di condizione nella policy. La condizione restituisce true se uno qualsiasi dei valori della chiave nella richiesta corrisponde a uno qualsiasi valore della condizione nella policy. Nel caso di nessuna chiave corrispondente o di un set di dati vuoto, la condizione restituisce il valore false.

     • Per tutti i valori in una richiesta - Quando la richiesta può avere più valori, questa opzione verifica se il valore di ogni richiesta corrisponde a un valore della chiave di condizione nella policy. La condizione restituisce true se ogni valore delle chiavi nella richiesta corrisponde ad almeno un valore nella policy. Restituisce true anche se non ci sono chiavi nella richiesta o se i valori delle chiavi si riducono a un set di dati nullo, ad esempio una stringa vuota.

   • Operatore - L'operatore specifica il tipo di confronto da effettuare. Le opzioni presentate dipendono dal tipo di dato della chiave di condizione. Ad esempio, la chiave di condizione globale aws:CurrentTime consente di scegliere da uno qualsiasi degli operatori di confronto data, o Null, che è possibile utilizzare per verificare se il valore è presente nella richiesta.

     Per qualsiasi operatore di condizioni tranne il Null test, è possibile scegliere l'IfExistsopzione.

   • Valore - (Facoltativo) Specifica uno o più valori per i quali desideri testare la richiesta.

   Scegliere Aggiungi condizione.

   Per ulteriori informazioni sulle chiavi di condizione, vedere IAMJSONPolicy Elements: Condition nella Guida IAM per l'utente.

6. (Facoltativo) Per utilizzare l'elemento NotAction per negare l'accesso a tutte le operazioni ad eccezione di quelle specificate, sostituire Action nel riquadro sinistro con NotAction, subito dopo l'elemento "Effect": "Deny",. Per ulteriori informazioni, vedere IAMJSONPolicy Elements: NotAction nella Guida IAM per l'utente.

Per aggiungere un'istruzione che consente l'accesso:

1. Nell'JSONeditor a sinistra, modifica la riga "Effect": "Deny" in"Effect": "Allow".

   Quando scegli le opzioni a destra, l'JSONeditor si aggiorna per mostrare la JSON politica corrispondente a sinistra.

2. Dopo avere selezionato un servizio, viene aperto un elenco contenente le operazioni disponibili per tale servizio. È possibile scegliere All actions (Tutte le operazioni) o scegliere una o più singole operazioni che si desidera consentire.

   La JSON parte a sinistra si aggiorna per includere le azioni selezionate.

   Nota

   Se si seleziona una singola azione e poi si torna indietro e si seleziona anche Tutte le azioni, la voce prevista per servicename/* viene aggiunta aJSON, ma le singole azioni selezionate in precedenza vengono lasciate JSON e non rimosse.

3. Se desideri aggiungere operazioni da servizi aggiuntivi, puoi scegliere All services (Tutti i servizi) nella parte alta della casella Statement (Istruzione), quindi ripeti i due passaggi precedenti in base alle esigenze.

(Facoltativo) Per aggiungere un'altra istruzione alla policy, scegli Add statement (Aggiungi istruzione) e utilizza l'editor visivo per creare l'istruzione successiva.

Quando hai finito di aggiungere le dichiarazioni, scegli Crea politica per salvare le istruzioni completateSCP.