Gerencie o acesso ao AWS Trusted Advisor

Você pode acessar AWS Trusted Advisor a partir do AWS Management Console. Todos Contas da AWS têm acesso a uma seleção de Trusted Advisor verificações básicas. Se você tiver um plano de suporte Business, Enterprise On-Ramp ou Enterprise, será possível acessar todas as verificações. Para obter mais informações, consulte AWS Trusted Advisor verifique a referência.

Você pode usar AWS Identity and Access Management (IAM) para controlar o acesso Trusted Advisor a.

Permissões para o console do Trusted Advisor

Para acessar o Trusted Advisor console, o usuário deve ter um conjunto mínimo de permissões. Essas permissões devem permitir que o usuário liste e visualize detalhes sobre os Trusted Advisor recursos em seu Conta da AWS.

É possível usar as seguintes opções para controlar o acesso ao Trusted Advisor:

Ao criar uma política, é possível especificar o namespace do serviço para permitir ou negar uma ação. O namespace para Trusted Advisor é. trustedadvisor No entanto, você não pode usar o trustedadvisor namespace para permitir ou negar operações de Trusted Advisor API na Suporte API. Em vez disso, use o namespace support para Suporte .

Trusted Advisor ações

Você pode realizar as seguintes Trusted Advisor ações no console. Você também pode especificar essas Trusted Advisor ações em uma política do IAM para permitir ou negar ações específicas.

Trusted Advisor ações para visão organizacional

As Trusted Advisor ações a seguir são para o recurso de visualização organizacional. Para obter mais informações, consulte Visualização organizacional para AWS Trusted Advisor.

Trusted Advisor Ações prioritárias

Se você tiver a Trusted Advisor Prioridade ativada para sua conta, poderá realizar as seguintes Trusted Advisor ações no console. Você também pode adicionar essas ações do Trusted Advisor em uma política do IAM para permitir ou negar ações específicas. Para obter mais informações, consulte Exemplos de políticas do IAM para o Trusted Advisor Priority.

Para obter mais informações, consulte Conceitos básicos do AWS Trusted Advisor Priority.

Trusted Advisor Engajar ações

Se você tiver o Trusted Advisor Engage ativado para sua conta, poderá realizar as seguintes Trusted Advisor ações no console. Você também pode adicionar essas Trusted Advisor ações em uma política do IAM para permitir ou negar ações específicas. Para obter mais informações, consulteExemplos de políticas do IAM para o Trusted Advisor Engage.

Para obter mais informações, consulte Comece a usar o AWS Trusted Advisor Engage (versão prévia).

Exemplos de política do IAM

As políticas a seguir mostram como permitir e negar acesso ao Trusted Advisor. É possível usar uma das políticas a seguir para criar uma política gerenciada pelo cliente no console do IAM. Por exemplo, é possível copiar uma política de exemplo e colá-la na Guia JSON do console do IAM. Em seguida, é possível anexar a política a um usuário, grupo ou função do IAM.

Para obter mais informações sobre como criar uma política do IAM, consulte Criar políticas do IAM (console) no Manual do usuário do IAM.

Acesso total ao Trusted Advisor

A política a seguir permite que os usuários visualizem e realizem todas as ações em todas as Trusted Advisor verificações no Trusted Advisor console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Acesso somente leitura ao Trusted Advisor

A política a seguir permite que os usuários tenham acesso somente de leitura ao Trusted Advisor console. Os usuários não podem fazer alterações, como verificações de atualização ou alterar preferências de notificação.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:Describe*",
                "trustedadvisor:Get*",
                "trustedadvisor:List*"
            ],
            "Resource": "*"
        }
    ]
}

Negar acesso a Trusted Advisor

A política a seguir não permite que os usuários visualizem ou realizem Trusted Advisor verificações no Trusted Advisor console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Permitir e negar ações específicas

A política a seguir permite que os usuários visualizem todas as Trusted Advisor verificações no Trusted Advisor console, mas não permite que eles atualizem nenhuma verificação.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:RefreshCheck",
            "Resource": "*"
        }
    ]
}

Controle o acesso às operações Suporte da API para Trusted Advisor

No AWS Management Console, um namespace trustedadvisor do IAM separado controla o acesso a. Trusted Advisor Você não pode usar o trustedadvisor namespace para permitir ou negar operações de Trusted Advisor API na Suporte API. Em vez disso, use o namespace support. Você precisa ter permissões na Suporte API para fazer chamadas Trusted Advisor programaticamente.

Por exemplo, se você quiser chamar a RefreshTrustedAdvisorCheckoperação, deverá ter permissões para essa ação na política.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "support:DescribeTrustedAdvisorCheckRefreshStatuses",
                "support:DescribeTrustedAdvisorCheckResult",
                "support:DescribeTrustedAdvisorChecks",
                "support:DescribeTrustedAdvisorCheckSummaries",
                "support:RefreshTrustedAdvisorCheck",
                "trustedadvisor:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:CreateCase",
                "support:DescribeAttachment",
                "support:DescribeCases",
                "support:DescribeCommunications",
                "support:DescribeServices",
                "support:DescribeSeverityLevels",
                "support:ResolveCase"
            ],
            "Resource": "*"
        }
    ]
}

Para obter mais informações sobre como o IAM funciona com Suporte e Trusted Advisor, consulteAções.

Exemplos de políticas do IAM para o Trusted Advisor Priority

Você pode usar as seguintes políticas AWS gerenciadas para controlar o acesso à Trusted Advisor Prioridade. Para ter mais informações, consulte AWS políticas gerenciadas para AWS Trusted Advisor e Conceitos básicos do AWS Trusted Advisor Priority.

Exemplos de políticas do IAM para o Trusted Advisor Engage.

Um exemplo de política que concede acesso de leitura e gravação no Trusted Advisor Engage:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Um exemplo de política que concede acesso somente para leitura no Engage: Trusted Advisor

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Um exemplo de política que concede acesso de leitura e gravação no Trusted Advisor Engage e a capacidade de habilitar acesso confiável a Trusted Advisor:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAWSServiceAccessForOrganization",
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:DescribeOrganization",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:SetOrganizationAccess",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "reporting.trustedadvisor.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/reporting.trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisorReporting",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "reporting.trustedadvisor.amazonaws.com"
                }
            }
        }
    ]
}

Consulte também

Para obter mais informações sobre Trusted Advisor permissões, consulte os seguintes recursos: