Gerencie o acesso ao Amazon Q Developer com políticas

Por padrão, usuários e funções não têm permissão para usar o Amazon Q. IAM Os administradores podem gerenciar o acesso ao Amazon Q Developer e seus recursos concedendo permissões às identidades. IAM

A maneira mais rápida de um administrador conceder acesso aos usuários é por meio de uma política AWS gerenciada. A AmazonQFullAccess política pode ser anexada às IAM identidades para conceder acesso total ao Amazon Q Developer e seus recursos. Para obter mais informações sobre essa política, consulte AWS políticas gerenciadas para o Amazon Q Developer.

Para gerenciar ações específicas que IAM as identidades podem realizar com o Amazon Q Developer, os administradores podem criar políticas personalizadas que definem quais permissões um usuário, grupo ou função tem. Você também pode usar políticas de controle de serviços (SCPs) para controlar quais recursos do Amazon Q estão disponíveis em sua organização.

Para obter uma lista de todas as permissões do Amazon Q que você pode controlar com políticas, consulte Referência de permissões para desenvolvedores do Amazon Q o.

Melhores práticas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do Amazon Q Developer em sua conta. Essas ações podem incorrer em custos para seus Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as melhores práticas emIAM, consulte as melhores práticas de segurança IAM no Guia IAM do usuário.

Atribuir permissões

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis:

Gerencie o acesso com políticas de controle de serviços (SCPs)

As políticas de controle de serviço (SCPs) são um tipo de política organizacional que você pode usar para gerenciar permissões em sua organização. Você pode controlar quais recursos do Amazon Q Developer estão disponíveis em sua organização criando um SCP que especifique permissões para algumas ou todas as ações do Amazon Q.

Para obter mais informações sobre como usar SCPs para controlar o acesso em sua organização, consulte Criando, atualizando e excluindo políticas de controle de serviço e Anexando e desanexando políticas de controle de serviço no Guia do AWS Organizations usuário.

Veja a seguir um exemplo de um SCP que nega o acesso ao Amazon Q. Essa política restringe o acesso ao chat do Amazon Q, à solução de problemas de erro do console e à solução de problemas de rede.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perímetros de dados para recursos do Amazon Q

Para alguns recursos, o Amazon Q carrega artefatos em buckets AWS Amazon S3 de propriedade do serviço. Se você estiver usando perímetros de dados para controlar o acesso ao Amazon S3 em seu ambiente, talvez seja necessário permitir explicitamente o acesso a esses buckets para usar os recursos correspondentes do Amazon Q.

A tabela a seguir lista a ARN extremidade URL de cada um dos buckets do Amazon S3 aos quais o Amazon Q exige acesso e os recursos que usam cada bucket. Você pode usar o bucket ARN ou bucket URL para permitir esses buckets, dependendo de como você controla o acesso ao Amazon S3.

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/