翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

デフォルトで拒否

概要

デフォルトで拒否とは

デフォルトで拒否しない場合、Amazon Quick が出荷する新機能は、リリース時にすべてのユーザーが自動的に使用できます。管理者は、各リリース後に各新機能を手動で制限する必要があります。この事後対応型アプローチでは、管理者が評価する前に、規制対象環境を未承認の機能に公開できます。

デフォルトで拒否を有効にすると、制限付きカテゴリの新機能は、起動日に管理者アクションなしで自動的に拒否されます。その後、管理者は各新機能を評価し、準備ができたら明示的に許可できます。カテゴリを制限すると、そのカテゴリにすでに存在する機能も制限されるため、ユーザーが必要とする機能を許可できます。

カテゴリ制限の仕組み

カスタムアクセス許可プロファイルで機能カテゴリを制限すると、Quick は割り当てられたユーザーのそのカテゴリのすべての機能を制限します。これには、Quick が将来起動する機能が含まれます。特定の機能を使用可能にするには、プロファイルで明示的に許可します。

既存のプロファイルは変更されません

カテゴリを制限すると、設定したプロファイルのみに影響します。既存のカスタムアクセス許可プロファイルは制限を継承しません。これを使用するには、 カテゴリが制限された新しいプロファイルを作成するか、既存のプロファイルを編集します。既存のプロファイルで有効にすると、プロファイルが以前に許可した機能を含め、そのカテゴリのすべての機能が制限されます。ユーザーが必要とするものを許可します。

この機能を使用するタイミング

Deny by Default は、新機能がユーザーに到達する前に明示的な承認を必要とする組織向けに設計されています。一般的ユースケースには以下が含まれます。

主要なコンセプト

次の表は、デフォルトで拒否の主な用語と概念を示しています。

前提条件

デフォルトで拒否を設定する前に、次の前提条件が満たされていることを確認してください。

機能の評価方法

次のルールでは、デフォルトで拒否が有効になっている場合の機能評価の仕組みについて説明します。ルールは順番に評価されます。

クイックは、ユーザーが機能にアクセスするたびに、その時点の機能のカテゴリメンバーシップに基づいてこれらのルールを評価します。そのため、制限付きカテゴリには、後で追加される機能も含まれます。

つまり、Quick が制限付きカテゴリで新機能を起動すると、そのカテゴリに対してプロファイルDENY_BY_DEFAULTが有効になっているすべてのユーザーに対してその機能が自動的に拒否されます。管理者アクションは必要ありません。この制限は、機能を起動した日に有効になります。

サポートされているカテゴリ

次の表は、デフォルトで拒否でサポートされているカテゴリを示しています。

デフォルトで拒否を設定する (クイックコンソール)

カスタムアクセス許可プロファイルの作成または編集の一環として、デフォルトで拒否を設定します。設定は、プロファイル設定ページの機能の制限セクションによって制御されます。

プロファイルからデフォルトで拒否を削除するには、プロファイルを編集し、機能の制限セクションでカテゴリの切り替えをオフにします。以前に拒否された機能は、プロファイルに割り当てられたユーザーが使用できるようになります。

デフォルトで拒否を設定する (AWS CLI)

を使用して AWS Command Line Interface 、デフォルトで拒否を有効にしたカスタムアクセス許可プロファイルを作成および管理できます。

次の例では、 AIカテゴリを に設定しDENY_BY_DEFAULT、 ChatAgent機能を明示的に許可するカスタムアクセス許可プロファイルを作成します。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

次の の例では、既存のプロファイルのデフォルト設定による拒否を更新します。

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW", "Flow": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

次の例では、デフォルトで拒否が有効になっているプロファイルについて説明します。

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME

CLI を使用してプロファイルからデフォルトで拒否を削除するには、更新呼び出しの --governanceフラグを省略します。

例

例 1: 既存のプロファイルをデフォルトで拒否に変換する

この例では、特定の AI 機能を明示的に拒否する既存のallow-by-defaultプロファイルをデフォルトによる拒否プロファイルに変換する方法を示します。

シナリオ: Flow、Automate、および ChatAgent 機能を明示的に拒否するカスタムアクセス許可プロファイルがあります。他のすべての機能はデフォルトで使用できます。

次のコマンドを実行して、現在のプロファイル設定を表示します。

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

このコマンドにより、以下のような出力が返されます。

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Flow": "DENY",
            "Automate": "DENY",
            "ChatAgent": "DENY"
        }
    }
}

問題: Quick が新しい AI 機能を起動すると、プロファイルは明示的にリストされた機能のみをブロックするため、このプロファイルを持つユーザーが自動的に使用できます。新機能はリストされていないため、デフォルトで許可されます。

解決策: プロファイルをデフォルトで拒否に変換します。変換するときは、ロジックを反転します。拒否する機能を一覧表示する代わりに、許可する機能を一覧表示します。明示的に許可されていないものはすべて拒否されます。

まず、許可する AI 機能を決定します。この場合、ユーザーが Research、Topic、KnowledgeBase、および Space へのアクセスを保持できるようにします。

次のコマンドを実行して、プロファイルをデフォルトで拒否で更新します。

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

結果: Quick が新しい AI 機能を起動すると、このプロファイルを持つユーザーに対して自動的に拒否されます。Research、Topic、KnowledgeBase、Space のみが利用できます。Flow、Automate、ChatAgent、および今後の AI 機能は拒否されます。

例 2: 新しいアカウントのデフォルトで拒否を設定する

この例では、新しいクイックアカウントの 1 日目からすべての AI 機能をロックダウンする方法を示します。

シナリオ: 新しいアカウントをオンボーディングしていて、チームがそれぞれを個別に評価するまで、すべての AI 機能を制限したいと考えています。

次のコマンドを実行して、明示的に許可することなく、デフォルトですべての AI 機能を拒否するプロファイルを作成します。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

次のコマンドを実行して、すべてのユーザーに適用されるように、アカウントレベルでプロファイルを割り当てます。

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount"

結果: アカウント内のすべてのユーザーに対して、すべての AI 機能が拒否されます。個々の機能を評価して承認するときに、プロファイルを更新して許可リストに追加できます。

例 3: 起動後に特定の新機能を許可する

この例では、デフォルトで拒否を有効にした後に Quick が起動した新しい機能を承認する方法を示します。

シナリオ: という新しい AI 機能をすばやく起動しますNewAIFeature。チームが評価し、ユーザーのために承認することを決定します。

まず、現在のプロファイルを記述して現在の状態を取得します。

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

このコマンドは、以下の出力を返します。

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Research": "ALLOW",
            "Topic": "ALLOW",
            "KnowledgeBase": "ALLOW",
            "Space": "ALLOW"
        },
        "Governance": {
            "DefaultCategoryEffects": {
                "AI": "DENY_BY_DEFAULT"
            }
        }
    }
}

プロファイルを更新して、許可リストに新しい機能を含めます。更新は完全な置換を実行するため、既存のすべての機能に加えて新しい機能を含める必要があります。

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW", "NewAIFeature": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

結果: 新しい機能が、このプロファイルを持つユーザーが使用できるようになりました。リストにない他のすべての AI 機能は拒否されたままです。

例 4: デフォルトで拒否する複数レベルの優先順位

この例では、プロファイルが複数のレベルで割り当てられている場合に、デフォルトで拒否が優先順位階層とやり取りする方法を示します。

シナリオ: ほとんどのユーザーが AI のデフォルトで拒否でロックダウンされるようにしたいが、作成者がより多くの機能にアクセスできるようにしたい。特定のデータサイエンティストには、すべての AI 機能へのフルアクセスが必要です。

アカウントレベル (最も制限が厳しい): 許可なしでデフォルトですべての AI を拒否するプロファイルを作成します。アカウントレベルで割り当てます。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI"

ロールレベル (作成者): デフォルトで拒否するが、パワーユーザーにより多くの機能を許可するプロファイルを作成します。作成者ロールに割り当てます。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Author-LimitedAI" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-role-custom-permission \
--role AUTHOR \
--aws-account-id AWSACCOUNTID \
--namespace default \
--custom-permissions-name "Author-LimitedAI"

ユーザーレベル (データサイエンティスト): 制限なしで allow-by-default プロファイルを作成します。特定のユーザーに割り当てます。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DataScientist-FullAccess"

aws quicksight update-user-custom-permission \
--aws-account-id AWSACCOUNTID \
--namespace default \
--user-name DATA_SCIENTIST_USERNAME \
--custom-permissions-name "DataScientist-FullAccess"

結果:

トラブルシューティング

ユーザーは、拒否される予定の機能に引き続きアクセスできます。

以下について確認します。