As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Segurança para recursos de gerenciamento de custos no Amazon Q Developer

O perfil a seguir fornece uma visão geral das permissões e da proteção de dados para os recursos de gerenciamento de custos do Amazon Q Developer.

Visão geral das permissões

Para usar os recursos de gerenciamento de custos no Amazon Q Developer, você precisa de três conjuntos de permissões de gerenciamento de identidade e acesso (IAM):

A maneira mais rápida de um administrador conceder acesso ao Amazon Q Developer é por meio de uma política gerenciada AmazonQFullAccess.

Permissões para recursos de gerenciamento de custos

A seguinte declaração de política do IAM concede aos usuários acesso a todos os recursos de gerenciamento de custos no Amazon Q Developer:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAmazonQChatAndPassRequest",
            "Effect": "Allow",
            "Action": [
                "q:StartConversation",
                "q:SendMessage",
                "q:GetConversation",
                "q:ListConversations",
                "q:UpdateConversation",
                "q:DeleteConversation",
                "q:PassRequest"
            ],
            "Resource": "*"
       },
        {
            "Sid": "AllowCostExplorerAccess",
            "Effect": "Allow",
            "Action": [
                "ce:GetCostAndUsage",
                "ce:GetCostAndUsageWithResources",
                "ce:GetCostForecast",
                "ce:GetUsageForecast",
                "ce:GetTags",
                "ce:GetCostCategories",
                "ce:GetDimensionValues",
                "ce:GetSavingsPlansUtilization",
                "ce:GetSavingsPlansCoverage",
                "ce:GetSavingsPlansUtilizationDetails",
                "ce:GetReservationUtilization",
                "ce:GetReservationCoverage",
                "ce:GetSavingsPlansPurchaseRecommendation",
                "ce:GetReservationPurchaseRecommendation",
                "ce:GetRightsizingRecommendation",
                "ce:GetAnomalies",
               "ce:GetCostAndUsageComparisons",
               "ce:GetCostComparisonDrivers"
            ],
            "Resource": "*"
       },
        {
            "Sid": "AllowCostOptimizationHubAccess",
            "Effect": "Allow",
            "Action": [
                "cost-optimization-hub:GetRecommendation",
                "cost-optimization-hub:ListRecommendations",
                "cost-optimization-hub:ListRecommendationSummaries"
            ],
            "Resource": "*"
       },
        {
            "Sid": "AllowComputeOptimizerAccess",
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:GetAutoScalingGroupRecommendations",
                "compute-optimizer:GetEBSVolumeRecommendations",
                "compute-optimizer:GetEC2InstanceRecommendations",
                "compute-optimizer:GetECSServiceRecommendations",
                "compute-optimizer:GetRDSDatabaseRecommendations",
                "compute-optimizer:GetLambdaFunctionRecommendations",
                "compute-optimizer:GetIdleRecommendations",
                "compute-optimizer:GetLicenseRecommendations",
                "compute-optimizer:GetEffectiveRecommendationPreferences"
            ],
            "Resource": "*"
       },
        {
            "Sid": "AllowBudgetsAccess",
            "Effect": "Allow",
            "Action": [
                "budgets:ViewBudget"
            ],
            "Resource": "*"
       },
        {
            "Sid": "AllowFreeTierAccess",
            "Effect": "Allow",
            "Action": [
                "freetier:GetFreeTierUsage",
                "freetier:GetAccountPlanState",
                "freetier:ListAccountActivities",
               "freetier:GetAccountActivity"
            ],
            "Resource": "*"
       },
        {
            "Sid": "AllowPricingAccess",
            "Effect": "Allow",
            "Action": [
                "pricing:GetProducts",
                "pricing:GetAttributeValues",
                "pricing:DescribeServices"
            ],
            "Resource": "*"
       }
    ]
}

Você pode reduzir o escopo dessa política para conceder acesso somente a recursos específicos de gerenciamento de custos. Por exemplo, se você não quiser que os usuários acessem dados de custo em nível de recurso, você pode remover a ce:GetCostAndUsageWithResources ação ou adicionar uma declaração de negação explícita.

q: PassRequest permissão

q:PassRequesté uma permissão do Amazon Q Developer que permite que o Amazon Q Developer chame AWS APIs em seu nome. Quando você adiciona a permissão q:PassRequest a uma identidade do IAM, o Amazon Q Developer ganha permissão para chamar qualquer API que a identidade do IAM tenha permissão para chamar. Por exemplo, se uma função do IAM tiver a ce:GetCostAndUsage permissão e a q:PassRequest permissão, o Amazon Q Developer pode chamar a GetCostAndUsage API quando um usuário que assume essa função do IAM solicita que o Amazon Q Developer recupere dados de custo e uso do Cost Explorer.

Você também pode permitir que as entidades principais do IAM acessem o explorador de custos e usem o Amazon Q Developer, mas restringir o uso dos recursos de análise e otimização de custos do Amazon Q Developer, usando a chave de condição global aws:CalledVia. A política do IAM a seguir fornece um exemplo do uso dessa chave de condição:

{
    "Version": "2012-10-17",
    "Statement": [
        {
           "Sid": "AllowQDeveloperAccess",
            "Effect": "Allow",
            "Action": [
                "q:StartConversation",
                "q:SendMessage",
                "q:GetConversation",
                "q:ListConversations",
                "q:PassRequest"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCostExplorerAccess",
            "Effect": "Allow",
            "Action": [
                "ce:*"
            ],
            "Resource": "*"
       },   
        {
           "Sid": "DenyCostExplorerAccessViaAmazonQ",
            "Effect": "Deny",
            "Action": [
                "ce:*"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "q.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Multi-account acesso

Para usuários de AWS organizações, os administradores de contas de gerenciamento podem restringir o acesso dos usuários de contas membros aos dados do Cost Explorer e do Cost Optimization Hub (incluindo acesso a descontos, créditos e reembolsos) usando as preferências de gerenciamento de custos no console de gerenciamento de custos e AWS cobrança. Essas preferências se aplicam ao Amazon Q Developer da mesma forma que se aplicam ao console de gerenciamento, ao SDK e à CLI. O Amazon Q Developer respeita as preferências existentes dos clientes.

Cross-region chamadas

Os dados dos serviços do Hub de Otimização de Custos e do Explorador de Custos são hospedados na região Leste dos EUA (Norte da Virgínia). Os dados do AWS Compute Optimizer são hospedados na AWS região em que os recursos subjacentes, como instâncias do EC2, estão localizados. Os dados fornecidos pelas APIs da lista de AWS preços são hospedados em us-east-1, eu-central-1 e ap-south-1 (observe que AWS as APIs da lista de preços não fornecem dados específicos do cliente). As solicitações de gerenciamento de custos no Amazon Q Developer podem exigir chamadas entre regiões. Para obter mais informações, consulte o Cross-region processamento no Amazon Q Developer no Guia do usuário do Amazon Q Developer.

Proteção de dados

Podemos usar determinados conteúdos do nível gratuito do Amazon Q Developer para melhorar o serviço. O Amazon Q Developer pode usar esse conteúdo, por exemplo, para fornecer respostas melhores a perguntas comuns, corrigir problemas operacionais do Amazon Q Developer, para depuração ou para treinamento de modelos. O conteúdo que AWS pode ser usado para melhorar o serviço inclui, por exemplo, suas perguntas para o Amazon Q Developer e as respostas e o código que o Amazon Q Developer gera. Não usamos conteúdo do Amazon Q Developer Pro ou do Amazon Q Business para melhorar o serviço.

A forma como você desativa o nível gratuito do Amazon Q Developer usando conteúdo para melhorar o serviço depende do ambiente em que você usa o Amazon Q. Para o console de AWS gerenciamento, o aplicativo móvel do AWS console, os AWS sites e o AWS chatbot, configure uma política de exclusão de serviços de IA nas organizações. AWS Para obter mais informações, consulte Políticas de exclusão dos serviços de IA no Guia do usuário do AWS Organizations.