Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Termini e concetti perAWS RAM

I seguenti concetti aiutano a spiegare come è possibile utilizzareAWS Resource Access Manager(AWS RAM) per condividere le tue risorse.

Condivisione delle risorse

Condividete le risorse utilizzandoAWS RAMcreandocondivisione delle risorse. Una condivisione di risorse è composta dai tre elementi seguenti:

Dopo l'usoAWS RAMper creare una condivisione di risorse, ai principali specificati nella condivisione di risorse può essere concesso l'accesso alle risorse della condivisione.

Account di condivisione

Ilaccount di condivisionecontiene la risorsa condivisa e in cuiAWS RAMamministratore creaAWScondivisione di risorse utilizzandoAWS RAM.

UnAWS RAMl'amministratore è un dirigente IAM che dispone delle autorizzazioni per creare e configurare condivisioni di risorse inAccount AWS. PerchéAWS RAMfunziona collegando una policy basata su risorse alle risorse in una condivisione di risorse, laAWS RAMl'amministratore deve inoltre disporre delle autorizzazioni per chiamarePutResourcePolicyoperazione nelServizio AWSper ogni tipo di risorsa incluso in una condivisione di risorse.

Principi di consumo

Ilconto di consumoè ilAccount AWScon cui viene condivisa una risorsa. La condivisione di risorse può specificare un intero account come principale o, per alcuni tipi di risorse, singoli ruoli o utenti dell'account. Per informazioni sui tipi di risorse che supportano questo tipo di condivisione, vedereRisorse condivisibili AWSe visualizzaPuò condividere con ruoli e utenti IAMcolonna.

AWS RAMsupporta anche i responsabili dei servizi in quanto consumatori di condivisioni di risorse. Per informazioni sui tipi di risorse che supportano questo tipo di condivisione, vedereRisorse condivisibili AWSe visualizzaPuò condividere con i responsabili del serviziocolonna.

I responsabili del conto di consumo possono eseguire solo le azioni consentite datutti e duedelle seguenti autorizzazioni:

AWS RAMsupporta i seguenti tipi principali di IAM come consumatori di condivisioni di risorse:

Policy basata su risorse

Le policy basate su risorse sono documenti di testo JSON che implementano il linguaggio di policy IAM. A differenza delle policy basate su identità che si collegano al principale, come un ruolo o un utente IAM, si collegano policy basate su risorse alla risorsa.AWS RAMcrea politiche basate sulle risorse per tuo conto sulla base delle informazioni fornite per la condivisione delle risorse. È necessario specificarePrincipalelemento di policy che determina chi può accedere alla risorsa. Per ulteriori informazioni, consulta la paginaPolicy basate sulle identità e policy basate su risorsenelIAM User Guide.

Le politiche basate sulle risorse generate daAWS RAMvengono valutate insieme a tutti gli altri tipi di policy IAM. Ciò include tutte le policy basate sull'identità IAM associate ai responsabili che stanno tentando di accedere alla risorsa e le policy di controllo dei servizi (SCP) perAWS Organizationsciò potrebbe applicarsi aAccount AWS. Politiche basate sulle risorse generate daAWS RAMpartecipano alla stessa logica di valutazione delle politiche di tutte le altre politiche IAM. Per i dettagli completi sulla valutazione delle policy e su come determinare le autorizzazioni risultanti, consultaLogica di valutazione delle policynelIAM User Guide.

AWS RAMoffre un'esperienza di condivisione delle risorse semplice e sicura fornendo easy-to-use politiche di astrazione basate sulle risorse.

Per quei tipi di risorse che supportano policy basate su risorse,AWS RAMcostruisce e gestisce automaticamente le politiche basate sulle risorse per te. Per risorsa specifica,AWS RAMcrea la politica basata sulle risorse combinando le informazioni provenienti da tutte le condivisioni di risorse che includono quella risorsa. Ad esempio, considera Amazon SageMaker pipeline che condividi utilizzandoAWS RAMe includerla in due diverse condivisioni di risorse. È possibile utilizzare una condivisione di risorse per fornire l'accesso in sola lettura all'intera organizzazione. È quindi possibile utilizzare l'altra condivisione di risorse solo per concedere SageMaker autorizzazioni di esecuzione per un singolo account.AWS RAMcombina automaticamente questi due diversi set di autorizzazioni in un'unica politica delle risorse con più istruzioni. Quindi si collegano alla risorsa della pipeline la policy combinata basata su risorse. È possibile visualizzare questa politica di base in materia di risorse chiamando ilGetResourcePolicyoperazione.Servizi AWSutilizza quindi tale politica basata sulle risorse per autorizzare qualsiasi principale che tenti di eseguire un'azione sulla risorsa condivisa.

Tuttavia, è possibile creare manualmente le politiche basate sulle risorse e allegarle alle risorse chiamandoPutResourcePolicy, si consiglia di utilizzareAWS RAMperché offre i seguenti vantaggi:

UtilizzandoAWS RAM, puoi persino condividere alcuni tipi di risorse che non supportano ancora le politiche basate sulle risorse. Per questi tipi di risorse,AWS RAMgenera automaticamente una politica basata sulle risorse come rappresentazione delle autorizzazioni effettive. Gli utenti possono visualizzare questa rappresentazione chiamandoGetResourcePolicy. Sono inclusi i seguenti tipi di risorse:

Esempi diAWS RAMpolitiche generate basate sulle risorse

Se condividi una risorsa di immagini EC2 Image Builder con una personaconto,AWS RAMgenera una policy simile all'esempio seguente e la allega a tutte le risorse di immagine incluse nella condivisione di risorse.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Se condividi risorsa EC2 Image Builder conUtente o ruolo IAMin modo diversoAccount AWS,AWS RAMgenera una policy simile all'esempio seguente e la allega a tutte le risorse di immagine incluse nella condivisione di risorse.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Se condividi una risorsa immagine EC2 Image Builder con tutti gli account di un'organizzazione o con gli account di un'unità organizzativa,AWS RAMgenera una policy simile al seguente esempio e la allega a tutte le risorse di immagine incluse nella condivisione delle risorse.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implicazioni dell'uso"Principal": "*"in politica basata sulle risorse

Quando includi"Principal": "*"in una policy basata sulle risorse, la policy concede l'accesso a tutti i principali IAM dell'account che contiene la risorsa, fatte salve le restrizioni imposte da unConditionelemento, se esiste. EsplicitoDenyle dichiarazioni contenute in qualsiasi politica che si applica al principale chiamante hanno la precedenza sulle autorizzazioni concesse da questa politica. Tuttavia, unimplicito Deny(significa la mancanza di unesplicito Allow) in qualsiasi politica di identità, politica dei limiti delle autorizzazioni o politica di sessione applicabilenonrisultato come risultatoDenyai mandanti a cui è stato concesso l'accesso a un'azione da tale politica basata su risorse.

Se questo comportamento non è auspicabile per il tuo scenario, puoi limitarlo aggiungendo unesplicito Denydichiarazione relativa a una politica di identità, a un limite di autorizzazioni o a una politica di sessione che influisce sui ruoli e sugli utenti pertinenti.

Autorizzazioni gestite

Le autorizzazioni gestite definiscono quali azioni possono eseguire i responsabili in quali condizioni sui tipi di risorse supportati in una condivisione di risorse. Quando si crea una condivisione di risorse, è necessario specificare quale autorizzazione gestita utilizzare per ogni tipo di risorsa incluso nella condivisione di risorse. Un'autorizzazione gestita elenca il set diactionsecondizioniche i dirigenti possono eseguire con la risorsa condivisa utilizzandoAWS RAM.

È possibile allegare una sola autorizzazione gestita per ogni tipo di risorsa in una condivisione di risorse. Non è possibile creare una condivisione di risorse in cui alcune risorse di un determinato tipo utilizzano un'autorizzazione gestita e altre risorse dello stesso tipo utilizzano un'autorizzazione gestita diversa. A tale scopo, è necessario creare due diverse condivisioni di risorse e suddividere le risorse tra di esse, assegnando a ciascun set un'autorizzazione gestita diversa. Esistono due tipi diversi di autorizzazioni gestite:

AWS RAMaccetta le autorizzazioni gestite come input per creare ilpolitiche basate sulle risorseper le risorse che condividi.

Versione con autorizzazione gestita

Qualsiasi modifica a un'autorizzazione gestita viene rappresentata come una nuova versione di tale autorizzazione gestita. La nuova versione è l'impostazione predefinita per tutte le nuove condivisioni di risorse. Ogni autorizzazione gestita ha sempre una versione designata come versione predefinita. Quando tu oAWScrea una nuova versione di autorizzazione gestita, è necessario aggiornare in modo esplicito l'autorizzazione gestita per ogni condivisione di risorse esistente. In questo passaggio puoi valutare le modifiche prima di applicarle alla tua condivisione di risorse. Tutte le nuove condivisioni di risorse utilizzeranno automaticamente la nuova versione dell'autorizzazione gestita per il tipo di risorsa corrispondente.

Quando crei o aggiorni una condivisione di risorse, puoi allegare solo la versione predefinita dell'autorizzazione gestita specificata. Per ulteriori informazioni, consulta Aggiornamento delle autorizzazioniAWS gestite a una versione più recentissima.