Gerenciar o acesso ao Amazon Q Developer com políticas do IAM

Por padrão, usuários e funções não têm permissão para usar o Amazon Q. Os administradores do IAM podem gerenciar o acesso ao Amazon Q Developer e seus atributos ao conceder permissões às identidades do IAM.

A maneira mais rápida de um administrador conceder acesso aos usuários é por meio de uma política gerenciada pela AWS. A política AmazonQFullAccess pode ser anexada às identidades do IAM para conceder acesso total ao Amazon Q Developer e seus atributos. Para obter mais informações sobre essa política, consulte Politicas gerenciadas pela AWS para o Amazon Q Developer.

Para gerenciar ações específicas que as identidades do IAM podem executar com o Amazon Q Developer, os administradores podem criar políticas personalizadas do IAM que definem quais permissões um usuário, um grupo ou um perfil tem. Você também pode usar políticas de controle de serviço (SCPs) para controlar quais atributos do Amazon Q estão disponíveis na sua organização.

Para obter uma lista de todas as permissões do Amazon Q que você pode controlar com políticas, consulte o Referência de permissões do Amazon Q Developer.

Práticas recomendadas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do Amazon Q Developer na sua conta. Essas ações podem incorrer em custos para seus Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as práticas recomendadas do IAM, consulte Práticas Recomendadas de Segurança no IAM no Guia do Usuário do IAM.

Atribuir permissões

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis:

Gerenciar acesso com as políticas de controle de serviço (SCPs)

As políticas de controle de serviço (SCPs) são um tipo de política organizacional que você pode usar para gerenciar permissões na sua organização. Você pode controlar quais atributos do Amazon Q Developer estão disponíveis na sua organização ao criar uma SCP que especifique permissões para algumas ou todas as ações do Amazon Q.

Para obter mais informações sobre o uso de SCPs para controlar o acesso na sua organização, consulte Criar, atualizar e excluir de políticas de controle de serviço e Anexar e desvincular políticas de controle de serviço no Guia do usuário do AWS Organizations.

Veja a seguir um exemplo de SCP que nega acesso ao Amazon Q. Essa política restringe o acesso às conversas do Amazon Q, à solução de problemas de erros do console e à solução de problemas de rede.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perímetros de dados para recursos do Amazon Q

Para alguns atributos, o Amazon Q carrega artefatos em buckets AWS Amazon S3 de propriedade do serviço. Se você estiver usando perímetros de dados para controlar o acesso ao Amazon S3 em seu ambiente, talvez seja necessário permitir explicitamente o acesso a esses buckets para usar os atributos correspondentes do Amazon Q.

A tabela a seguir lista o ARN e o URL de cada um dos buckets do Amazon S3 aos quais o Amazon Q exige acesso e os atributos que usam cada bucket. Você pode usar o ARN do bucket ou o URL do bucket para permitir esses buckets, dependendo de como você controla o acesso ao Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/