Gerencie o acesso ao AWS Trusted Advisor

Você pode acessar AWS Trusted Advisor a partir do AWS Management Console. Todos Contas da AWS têm acesso a uma seleção de Trusted Advisor verificações básicas. Se você tiver um plano de suporte Business, Enterprise On-Ramp ou Enterprise, será possível acessar todas as verificações. Para obter mais informações, consulte AWS Trusted Advisor verifique a referência.

Você pode usar AWS Identity and Access Management (IAM) para controlar o acesso Trusted Advisor a.

Permissões para o console do Trusted Advisor

Para acessar o Trusted Advisor console, o usuário deve ter um conjunto mínimo de permissões. Essas permissões devem permitir que o usuário liste e visualize detalhes sobre os Trusted Advisor recursos em seu Conta da AWS.

É possível usar as seguintes opções para controlar o acesso ao Trusted Advisor:

Ao criar uma política, é possível especificar o namespace do serviço para permitir ou negar uma ação. O namespace para Trusted Advisor é. trustedadvisor No entanto, você não pode usar o trustedadvisor namespace para permitir ou negar Trusted Advisor API operações no. AWS Support API Em vez disso, use o namespace support para AWS Support .

Trusted Advisor ações

Você pode realizar as seguintes Trusted Advisor ações no console. Você também pode especificar essas Trusted Advisor ações em uma IAM política para permitir ou negar ações específicas.

Trusted Advisor ações para visão organizacional

As Trusted Advisor ações a seguir são para o recurso de visualização organizacional. Para obter mais informações, consulte Visualização organizacional para AWS Trusted Advisor.

Trusted Advisor Ações prioritárias

Se você tiver a Trusted Advisor Prioridade ativada para sua conta, poderá realizar as seguintes Trusted Advisor ações no console. Você também pode adicionar essas Trusted Advisor ações em uma IAM política para permitir ou negar ações específicas. Para obter mais informações, consulte Exemplos de IAM políticas para Trusted Advisor Priority.

Para obter mais informações, consulte Conceitos básicos do AWS Trusted Advisor Priority.

Trusted Advisor Ações de engajamento

Se você tiver o Trusted Advisor Engage ativado para sua conta, poderá realizar as seguintes Trusted Advisor ações no console. Você também pode adicionar essas Trusted Advisor ações em uma IAM política para permitir ou negar ações específicas. Para obter mais informações, consulteExemplos de IAM políticas para Trusted Advisor Engage

Para obter mais informações, consulte Comece a usar o AWS Trusted Advisor Engage (versão pré-visualização).

IAMexemplos de políticas

As políticas a seguir mostram como permitir e negar acesso ao Trusted Advisor. Você pode usar uma das políticas a seguir para criar uma política gerenciada pelo cliente no IAM console. Por exemplo, você pode copiar um exemplo de política e colá-lo na JSONguia do IAM console. Em seguida, você anexa a política ao seu IAM usuário, grupo ou função.

Para obter mais informações sobre como criar uma IAM política, consulte Criação de IAM políticas (console) no Guia do IAM usuário.

Acesso total ao Trusted Advisor

A política a seguir permite que os usuários visualizem e realizem todas as ações em todas as Trusted Advisor verificações no Trusted Advisor console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Acesso somente leitura ao Trusted Advisor

A política a seguir permite que os usuários tenham acesso somente de leitura ao Trusted Advisor console. Os usuários não podem fazer alterações, como verificações de atualização ou alterar preferências de notificação.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:Describe*",
                "trustedadvisor:Get*",
                "trustedadvisor:List*"
            ],
            "Resource": "*"
        }
    ]
}

Negar acesso a Trusted Advisor

A política a seguir não permite que os usuários visualizem ou realizem Trusted Advisor verificações no Trusted Advisor console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Permitir e negar ações específicas

A política a seguir permite que os usuários visualizem todas as Trusted Advisor verificações no Trusted Advisor console, mas não permite que eles atualizem nenhuma verificação.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:RefreshCheck",
            "Resource": "*"
        }
    ]
}

Controle o acesso às AWS Support API operações para Trusted Advisor

No AWS Management Console, um trustedadvisor IAM namespace separado controla o acesso a. Trusted Advisor Você não pode usar o trustedadvisor namespace para permitir ou negar Trusted Advisor API operações no. AWS Support API Em vez disso, use o namespace support. Você deve ter permissões para AWS Support API fazer chamadas Trusted Advisor programaticamente.

Por exemplo, se você quiser chamar a RefreshTrustedAdvisorCheckoperação, deverá ter permissões para essa ação na política.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "support:DescribeTrustedAdvisorCheckRefreshStatuses",
                "support:DescribeTrustedAdvisorCheckResult",
                "support:DescribeTrustedAdvisorChecks",
                "support:DescribeTrustedAdvisorCheckSummaries",
                "support:RefreshTrustedAdvisorCheck",
                "trustedadvisor:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:CreateCase",
                "support:DescribeAttachment",
                "support:DescribeCases",
                "support:DescribeCommunications",
                "support:DescribeServices",
                "support:DescribeSeverityLevels",
                "support:ResolveCase"
            ],
            "Resource": "*"
        }
    ]
}

Para obter mais informações sobre como IAM funciona com AWS Support e Trusted Advisor, consulteAções.

Exemplos de IAM políticas para Trusted Advisor Priority

Você pode usar as seguintes políticas AWS gerenciadas para controlar o acesso à Trusted Advisor Prioridade. Para ter mais informações, consulte AWS políticas gerenciadas para AWS Trusted Advisor e Conceitos básicos do AWS Trusted Advisor Priority.

Exemplos de IAM políticas para Trusted Advisor Engage

Um exemplo de política que concede acesso de leitura e gravação no Trusted Advisor Engage:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Um exemplo de política que concede acesso somente para leitura no Engage: Trusted Advisor

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Um exemplo de política que concede acesso de leitura e gravação no Trusted Advisor Engage e a capacidade de habilitar acesso confiável a Trusted Advisor:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAWSServiceAccessForOrganization",
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:DescribeOrganization",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:SetOrganizationAccess",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "reporting.trustedadvisor.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/reporting.trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisorReporting",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "reporting.trustedadvisor.amazonaws.com"
                }
            }
        }
    ]
}

Consulte também

Para obter mais informações sobre Trusted Advisor permissões, consulte os seguintes recursos: