정책을 사용하여 Amazon Q Developer에 대한 액세스 관리

기본적으로 사용자 및 역할에는 Amazon Q를 사용할 수 있는 권한이 없습니다. IAM 관리자는 IAM 자격 증명에 권한을 부여하여 Amazon Q 개발자 및 기능에 대한 액세스를 관리할 수 있습니다.

관리자가 사용자에게 액세스 권한을 부여하는 가장 빠른 방법은 AWS 관리형 정책을 통하는 것입니다. 이 AmazonQFullAccess 정책은 IAM 자격 증명에 연결하여 Amazon Q 개발자 및 해당 기능에 대한 전체 액세스 권한을 부여할 수 있습니다. 이 정책에 대한 자세한 내용은 AWS Amazon Q Developer에 대한 관리형 정책 단원을 참조하십시오.

자격 IAM 증명이 Amazon Q Developer에서 수행할 수 있는 특정 작업을 관리하기 위해 관리자는 사용자, 그룹 또는 역할이 보유한 권한을 정의하는 사용자 지정 정책을 생성할 수 있습니다. 서비스 제어 정책(SCPs)을 사용하여 조직에서 사용할 수 있는 Amazon Q 기능을 제어할 수도 있습니다.

정책으로 제어할 수 있는 모든 Amazon Q 권한 목록은 섹션을 참조하세요Amazon Q 개발자 권한 참조.

정책 모범 사례

자격 증명 기반 정책은 계정에서 누군가 Amazon Q Developer 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부를 결정합니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따릅니다.

의 모범 사례에 대한 자세한 내용은 IAM 사용 설명서의 의 보안 모범 사례를 IAM IAM참조하세요.

권한 할당

액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가하세요:

서비스 제어 정책을 사용하여 액세스 관리(SCPs)

서비스 제어 정책(SCPs)은 조직의 권한을 관리하는 데 사용할 수 있는 조직 정책의 한 유형입니다. 일부 또는 모든 Amazon Q 작업에 대한 권한을 지정하는 를 생성하여 조직에서 사용할 수 SCP 있는 Amazon Q 개발자 기능을 제어할 수 있습니다.

를 사용하여 조직의 액세스를 제어하는 SCPs 방법에 대한 자세한 내용은 AWS Organizations 사용 설명서의 서비스 제어 정책 생성, 업데이트 및 삭제와 서비스 제어 정책 연결 및 분리를 참조하세요.

다음은 Amazon Q에 대한 액세스를 거부SCP하는 의 예입니다. 이 정책은 Amazon Q 채팅, 콘솔 오류 문제 해결 및 네트워크 문제 해결에 대한 액세스를 제한합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Q 리소스의 데이터 경계

일부 기능의 경우 Amazon Q는 AWS 서비스 소유 Amazon S3 버킷에 아티팩트를 업로드합니다. 데이터 경계를 사용하여 환경에서 Amazon S3에 대한 액세스를 제어하는 경우 해당 Amazon Q 기능을 사용하도록 이러한 버킷에 대한 액세스를 명시적으로 허용해야 할 수 있습니다.

다음 표에는 Amazon Q가 액세스해야 하는 각 Amazon S3 버킷URL의 ARN 및 와 각 버킷을 사용하는 기능이 나열되어 있습니다. Amazon S3에 대한 액세스를 제어하는 방법에 따라 버킷 ARN 또는 버킷URL을 사용하여 이러한 버킷을 허용 목록에 추가할 수 있습니다.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/