Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy di Esploratore di risorse AWS basate su identità

Per impostazione predefinita, i responsabiliAWS Identity and Access Management (IAM), ad esempio ruoli, gruppi e utenti, non dispongono dell'autorizzazione per creare o modificare risorse Resource Explorer. Inoltre, non possono eseguire attività utilizzandoAWS Management Console,AWS Command Line Interface (AWS CLI) oAWS l'API. Un amministratore IAM deve creare policy IAM che concedono ai responsabili l'autorizzazione per eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. Quindi, l'amministratore deve assegnare queste policy ai responsabili IAM che richiedono tali autorizzazioni.

Per fornire l'accesso, aggiungi autorizzazioni ai tuoi utenti, gruppi o ruoli:

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy nella scheda JSON nella Guida per l'utente IAM.

Best practice delle policy

Le policy basate su identità determinano se qualcuno può creare, accedere o eliminare risorse Resource Explorer nell'account. Queste operazioni possono comportare costi aggiuntivi per il proprio Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e suggerimenti:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.

Utilizzo della console Resource Explorer

Per eseguire ricerche nellaEsploratore di risorse AWS console, è necessario che i responsabili dispongano di un set di autorizzazioni minimo. Se non crei una policy basata su identità con le autorizzazioni minime richieste, la console Resource Explorer non funziona nel modo previsto per i responsabili dell'account.

È possibile utilizzare la policyAWS gestita denominataAWSResourceExplorerReadOnlyAccess per concedere la possibilità di utilizzare la console Resource Explorer per effettuare ricerche utilizzando qualsiasi visualizzazione dell'account. Per concedere le autorizzazioni per la ricerca con una sola visualizzazioneConcessione dell'accesso alle visualizzazioni di Resource Explorer per la ricerca, vedere e gli esempi nelle due sezioni seguenti.

Non sono necessarie le autorizzazioni minime della console per i principali che effettuano chiamate solo alla AWS CLI o all'API AWS. Puoi invece scegliere di concedere l'accesso solo alle azioni che corrispondono alle operazioni API che i responsabili devono eseguire.

Concessione dell'accesso a una visualizzazione basata su tag

In questo esempio, desideri concedere l'accesso a una visualizzazione Resource Explorer nell'account.Account AWS Per fare ciò, assegni le policy basate sull'identità IAM ai responsabili che desideri poter cercare in Resource Explorer. Il seguente esempio di policy IAM concede l'accesso a qualsiasi richiesta in cui ilSearch-Group tag allegato al committente chiamante corrisponde esattamente al valore dello stesso tag allegato alla vista utilizzata nella richiesta.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "resource-explorer-2:GetView",
                "resource-explorer-2:Search"
            ],
            "Resource": "arn:aws:resource-explorer-2:*:*:view/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Search-Group": "${aws:PrincipalTag/Search-Group}"}
            }
        }
    ]
}

Puoi assegnare questa policy ai responsabili IAM nel tuo account. Se un utente principale con il tagSearch-Group=A tenta di effettuare una ricerca utilizzando una vista Resource Explorer, anche la vista deve essere contrassegnataSearch-Group=A. In caso contrario, al preside viene negato l'accesso. La chiave di tag di condizione Search-Group corrisponde a Search-group e search-group perché i nomi delle chiavi di condizione non effettuano la distinzione tra maiuscole e minuscole. Per ulteriori informazioni, consulta Elementi delle policy JSON IAM: Condition nella Guida per l'utente IAM.

Concedere l'accesso per creare una vista basata sui tag

In questo esempio, si desidera consentire solo ai principali con lo stesso tag dell'indice di poter creare visualizzazioni nell'oggettoRegione AWS che contiene l'indice. A tale scopo, crea autorizzazioni basate sull'identità per consentire ai responsabili di effettuare ricerche con le viste.

Ora puoi concedere le autorizzazioni per creare una visualizzazione. È possibile aggiungere le dichiarazioni in questo esempio alla stessa politica di autorizzazione utilizzata per concedereSearch le autorizzazioni ai responsabili appropriati. Le azioni sono consentite o negate in base ai tag associati ai principali che chiamano le operazioni e l'indice a cui deve essere associata la vista. Il seguente esempio di policy IAM nega qualsiasi richiesta di creazione di una vista quando il valore delAllow-Create-View tag associato al principale del chiamante non corrisponde esattamente al valore dello stesso tag allegato all'indice nella Regione in cui è stata creata la vista.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "resource-explorer-2:CreateView",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {"aws:ResourceTag/Allow-Create-View": "${aws:PrincipalTag/Allow-Create-View}"}
            }
        }
    ]
}

Consentire ai responsabili di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono allegate alla relativa identità utente. La policy include le autorizzazioni per completare questa operazione sulla console o a livello di programmazione utilizzando la AWS CLI o l'API AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}