As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Exemplos de políticas baseadas em identidade do Explorador de recursos da AWS

Por padrão, as entidades principais do AWS Identity and Access Management (IAM), como perfis, grupos e usuários, não têm permissão para criar ou modificar recursos do Explorador de Recursos. Elas também não podem realizar tarefas usando o AWS Management Console, a AWS Command Line Interface (AWS CLI) ou a API do AWS. Um administrador do IAM deve criar políticas do IAM que concedam às entidades principais permissão para executar operações da API específicas nos recursos especificados de que elas precisam. O administrador deve atribuir essas políticas às entidades principais do IAM que requerem essas permissões.

Para fornecer o acesso, adicione as permissões aos seus usuários, grupos ou perfis:

Para saber como criar uma política baseada em identidade do IAM usando esses exemplos de documentos de política JSON, consulte Criar políticas na guia JSON no Manual do usuário do IAM.

Práticas recomendadas de políticas

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do Explorador de Recursos na sua conta. Essas ações podem incorrer em custos para a Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as práticas recomendadas do IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.

Usar o console do Explorador de Recursos

Para que as entidades principais pesquisem no console do Explorador de recursos da AWS, elas devem ter um conjunto mínimo de permissões. Se você não criar uma política baseada em identidade com as permissões mínimas necessárias, o console do Explorador de Recursos não funcionará como pretendido para as entidades principais da conta.

Você pode usar a política gerenciada pela AWS denominada AWSResourceExplorerReadOnlyAccess para conceder a capacidade de usar o console do Explorador de Recursos para pesquisar usando qualquer visualização da conta. Para conceder permissões para só pesquisar com uma única visualização, consulte Conceder acesso às visualizações do Explorador de Recursos para pesquisa e os exemplos nas duas próximas seções.

Não é necessário conceder permissões mínimas do console para perfis que fazem chamadas somente à AWS CLI ou à API da AWS. Em vez disso, você pode escolher conceder acesso apenas às ações que correspondem às operações da API que as entidades principais precisam realizar.

Conceder acesso a uma visualização com base em tags

Neste exemplo, você deseja conceder acesso a uma visualização do Explorador de Recursos na sua Conta da AWS às entidades principais da conta. Para fazer isso, você atribui as políticas baseadas em identidade do IAM às entidades principais que você deseja que sejam capazes pesquisar no Explorador de Recursos. O exemplo a seguir de política do IAM concede acesso a qualquer solicitação em que a tag Search-Group anexada à entidade principal que faz a chamada corresponda exatamente ao valor dessa mesma tag anexada à visualização usada na solicitação.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "resource-explorer-2:GetView",
                "resource-explorer-2:Search"
            ],
            "Resource": "arn:aws:resource-explorer-2:*:*:view/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Search-Group": "${aws:PrincipalTag/Search-Group}"}
            }
        }
    ]
}

Você pode atribuir essa política às entidades principais do IAM na sua conta. Se uma entidade principal com a tag Search-Group=A tentar pesquisar usando uma visualização do Explorador de Recursos, a visualização também deverá estar marcada como Search-Group=A. Se não, a entidade principal terá o acesso negado. A chave da tag de condição Search-Group corresponde a Search-group e a search-group porque os nomes de chaves de condição não fazem distinção entre maiúsculas e minúsculas. Para obter mais informações, consulte Elementos de política JSON do IAM: condição no Guia do usuário do IAM.

Conceder acesso para criar uma visualização baseada em tags

Neste exemplo, você deseja permitir que apenas as entidades principais marcadas com a mesma tag que o índice possam criar visualizações na Região da AWS que contém o índice. Para fazer isso, crie permissões baseadas em identidade para permitir que as entidades principais pesquisem com visualizações.

Agora você está pronto para conceder permissões para criar uma visualização. Você pode adicionar as instruções desse exemplo à mesma política de permissão que você usa para conceder permissões de Search às entidades principais apropriadas. As ações são permitidas ou negadas com base nas tags anexadas às entidades principais que chamam as operações e o índice aos quais a visualização deverá ser associada. O exemplo a seguir de política do IAM nega qualquer solicitação para criar uma visualização quando o valor da tag Allow-Create-View anexada à entidade principal que faz a chamada não corresponde exatamente ao valor dessa mesma tag anexada ao índice da região em que a visualização foi criada.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "resource-explorer-2:CreateView",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {"aws:ResourceTag/Allow-Create-View": "${aws:PrincipalTag/Allow-Create-View}"}
            }
        }
    ]
}

Permitir que as entidades principais visualizem suas próprias permissões

Este exemplo mostra como você pode criar uma política que permite que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando a AWS CLI ou a API da AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}