정책으로 Amazon Q Developer에 대한 액세스 관리

기본적으로 사용자 및 역할에는 Amazon Q를 사용할 수 있는 권한이 없습니다. IAM 관리자는 IAM ID에 권한을 부여하여 Amazon Q Developer 및 해당 기능에 대한 액세스를 관리할 수 있습니다.

관리자가 사용자에게 액세스 권한을 부여하는 가장 빠른 방법은 AWS 관리형 정책을 사용하는 것입니다. AmazonQFullAccess 정책은 IAM ID에 연결하여 Amazon Q Developer 및 해당 기능에 대한 전체 액세스 권한을 부여할 수 있습니다. 이 정책에 대한 자세한 내용은 AWS Amazon Q Developer에 대한 관리형 정책 단원을 참조하세요.

관리자는 Amazon Q Developer로 IAM ID가 수행할 수 있는 특정 작업을 관리하기 위해 사용자, 그룹 또는 역할의 권한을 정의하는 사용자 지정 정책을 생성할 수 있습니다. 서비스 제어 정책(SCP)을 사용하여 조직에서 사용할 수 있는 Amazon Q 기능을 제어할 수도 있습니다.

정책으로 제어할 수 있는 모든 Amazon Q 권한 목록은 Amazon Q Developer 권한 참조 섹션을 참조하세요.

정책 모범 사례

ID 기반 정책에 따라 계정에서 사용자가 Amazon Q Developer 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따릅니다.

IAM의 모범 사례에 대한 자세한 내용은 IAM 사용 설명서의 IAM의 보안 모범 사례를 참조하세요.

권한 할당

액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가하세요:

서비스 제어 정책(SCP)으로 액세스 관리

서비스 제어 정책(SCP)은 조직의 권한을 관리하는 데 사용할 수 있는 조직 정책 유형입니다. 일부 또는 모든 Amazon Q 작업에 대한 권한을 지정하는 SCP를 생성하여 조직에서 사용할 수 있는 Amazon Q Developer 기능을 제어할 수 있습니다.

SCP를 사용하여 조직의 액세스를 제어하는 방법에 대한 자세한 내용은 AWS Organizations 사용 설명서의 서비스 제어 정책의 생성, 업데이트, 삭제와 서비스 제어 정책 연결 및 분리를 참조하세요.

다음은 Amazon Q에 대한 액세스를 거부하는 SCP의 예입니다. 이 정책은 Amazon Q 채팅, 콘솔 오류 문제 해결 및 네트워크 문제 해결에 대한 액세스를 제한합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Q 리소스의 데이터 경계

일부 기능의 경우 Amazon Q는 AWS 서비스 소유 Amazon S3 버킷에 아티팩트를 업로드합니다. 데이터 경계를 사용하여 환경에서 Amazon S3에 대한 액세스를 제어하는 경우 해당 Amazon Q 기능을 사용하려면 이러한 버킷에 대한 액세스를 명시적으로 허용해야 할 수 있습니다.

다음 표에는 Amazon Q가 액세스해야 하는 각 Amazon S3 버킷의 ARN 및 URL과 각 버킷을 사용하는 기능이 나와 있습니다. Amazon S3에 대한 액세스를 제어하는 방법에 따라 버킷 ARN 또는 버킷 URL을 사용하여 이러한 버킷을 허용할 수 있습니다.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/

arn:aws:s3:::amazonq-test-generation-us-east-1-74b667808f2

https://amazonq-test-generation-us-east-1-74b667808f2.s3.us-east-1.amazonaws.com/