View a markdown version of this page

In che modo AWS RAM funziona con IAM - AWS Resource Access Manager
Struttura delle policy

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

In che modo AWS RAM funziona con IAM

Per impostazione predefinita, i responsabili IAM non sono autorizzati a creare o modificare AWS RAM risorse. Per consentire ai responsabili IAM di creare o modificare risorse ed eseguire attività, esegui una delle seguenti operazioni. Queste azioni concedono il permesso di utilizzare risorse e azioni API specifiche.

Per fornire l’accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

  • Utenti e gruppi in Centro identità AWS IAM:

    Crea un set di autorizzazioni. Segui le istruzioni riportate nella pagina Create a permission set (Creazione di un set di autorizzazioni) nella Guida per l’utente di Centro identità AWS IAM .

  • Utenti gestiti in IAM tramite un provider di identità:

    Crea un ruolo per la federazione delle identità. Segui le istruzioni riportate nella pagina Create a role for a third-party identity provider (federation) della Guida per l’utente IAM.

  • Utenti IAM:

AWS RAM fornisce diverse politiche AWS gestite che è possibile utilizzare per soddisfare le esigenze di molti utenti. Per ulteriori informazioni su queste impostazioni, consulta AWS politiche gestite per AWS Resource Access Manager.

Se hai bisogno di un controllo più preciso sulle autorizzazioni che concedi agli utenti, puoi creare le tue politiche nella console IAM. Per informazioni sulla creazione di policy e sulla loro associazione ai ruoli e agli utenti IAM, consulta Policy and permissions in IAM nella Guida per l'utente. AWS Identity and Access Management

Le sezioni seguenti forniscono i dettagli AWS RAM specifici per la creazione di una policy di autorizzazione IAM.

Struttura delle policy

Una policy di autorizzazione IAM è un documento JSON che include le seguenti dichiarazioni: Effect, Action, Resource e Condition. Una policy IAM in genere assume la forma seguente.

{
    "Statement":[{
        "Effect":"<effect>",
        "Action":"<action>",
        "Resource":"<arn>",
        "Condition":{
            "<comparison-operator>":{
                "<key>":"<value>"
            }
        }
    }]
}

Effetto

La dichiarazione Effect indica se la policy consente o nega al principale il permesso di eseguire un'azione. I valori possibili includono: Allow eDeny.

Azione

L'istruzione Action specifica le azioni AWS RAM API per le quali la policy consente o nega l'autorizzazione. Per un elenco completo delle azioni consentite, consulta Actions defined by AWS Resource Access Manager nella IAM User Guide.

Risorsa

La dichiarazione Resource specifica le AWS RAM risorse interessate dalla policy. Per specificare una risorsa nella dichiarazione, devi utilizzare il suo Amazon Resource Name (ARN) univoco. Per un elenco completo delle risorse consentite, consulta Resources defined by AWS Resource Access Manager nella IAM User Guide.

Condizione

Le dichiarazioni delle condizioni sono opzionali. Possono essere utilizzate per perfezionare ulteriormente le condizioni in base alle quali si applica la politica. AWS RAM supporta le seguenti chiavi di condizione:

  • aws:RequestTag/${TagKey}— Verifica se la richiesta di servizio include un tag con la chiave di tag specificata esiste e ha il valore specificato.

  • aws:ResourceTag/${TagKey}— Verifica se alla risorsa su cui è stata eseguita la richiesta di servizio è associata un'etichetta con una chiave di tag specificata nella policy.

    La seguente condizione di esempio verifica che alla risorsa a cui si fa riferimento nella richiesta di servizio sia associato un tag con il nome della chiave «Owner» e il valore «Dev Team».

    "Condition" : { 
    "StringEquals" : {
        "aws:ResourceTag/Owner" : "Dev Team" 
    } 
}

  • aws:TagKeys— Specifica le chiavi dei tag che devono essere utilizzate per creare o contrassegnare una condivisione di risorse.

  • ram:AllowsExternalPrincipals— Verifica se la condivisione delle risorse nella richiesta di servizio consente la condivisione con committenti esterni. Un responsabile esterno è un responsabile Account AWS esterno all'organizzazione in AWS Organizations. Se il risultato è positivoFalse, puoi condividere questa condivisione di risorse con account solo nella stessa organizzazione.

  • ram:PermissionArn— Verifica se l'ARN di autorizzazione specificato nella richiesta di servizio corrisponde a una stringa ARN specificata nella policy.

  • ram:PermissionResourceType— Verifica se l'autorizzazione specificata nella richiesta di servizio è valida per il tipo di risorsa specificato nella policy. Specifica i tipi di risorse utilizzando il formato mostrato nell'elenco dei tipi di risorse condivisibili.

  • ram:Principal— Verifica se l'ARN del principale specificato nella richiesta di servizio corrisponde a una stringa ARN specificata nella policy.

  • ram:RequestedAllowsExternalPrincipals— Verifica se la richiesta di servizio include il allowExternalPrincipals parametro e se il relativo argomento corrisponde al valore specificato nella policy.

  • ram:RequestedResourceType— Verifica se il tipo di risorsa su cui si agisce corrisponde a una stringa del tipo di risorsa specificata nella policy. Specifica i tipi di risorse utilizzando il formato mostrato nell'elenco dei tipi di risorse condivisibili.

  • ram:ResourceArn— Verifica se l'ARN della risorsa su cui agisce la richiesta di servizio corrisponde a un ARN specificato nella policy.

  • ram:ResourceShareName— Verifica se il nome della condivisione di risorse su cui agisce la richiesta di servizio corrisponde a una stringa specificata nella policy.

  • ram:ShareOwnerAccountId— Verifica che il numero ID dell'account della condivisione di risorse su cui agisce la richiesta di servizio corrisponda a una stringa specificata nella policy.