本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
使用政策管理对 Amazon Q 开发者的访问权限
注意
此页面上的信息与访问 Amazon Q Developer 有关。有关管理亚马逊 Q 企业版访问权限的信息,请参阅 Amazon Q Business 用户指南中的亚马逊 Q 企业版基于身份的政策示例。
本主题中的政策和示例特定于、、 AWS 网站 AWS Management Console AWS Console Mobile Application AWS Documentation AWS Chatbot、和中的 Amazon Q IDEs。与 Amazon Q 集成的其他服务可能需要不同的策略或设置。有关更多信息,请参阅包含 Amazon Q 功能或集成的服务的文档。
默认情况下,用户和角色无权使用 Amazon Q。IAM管理员可以通过向IAM身份授予权限来管理对 Amazon Q Developer 及其功能的访问权限。
管理员向用户授予访问权限的最快方法是通过 AWS 托管策略。该AmazonQFullAccess
政策可以附加到IAM身份,以授予对 Amazon Q Developer 及其功能的完全访问权限。有关此策略的更多信息,请参阅“AWS 适用于 Amazon Q 开发者的托管政策”。
要管理IAM身份可以通过 Amazon Q Developer 执行的特定操作,管理员可以创建自定义策略来定义用户、群组或角色拥有的权限。您还可以使用服务控制策略 (SCPs) 来控制您的组织中提供的 Amazon Q 功能。
有关您可以通过策略控制的所有 Amazon Q 权限的列表,请参阅Amazon Q 开发者权限参考。
策略最佳实践
基于身份的策略决定是否有人可以在您的账户中创建、访问或删除 Amazon Q Developer 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时,请遵循以下指南和建议:
-
开始使用 AWS 托管策略并转向最低权限权限 — 要开始向用户和工作负载授予权限,请使用为许多常见用例授予权限的AWS 托管策略。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息,请参阅《IAM用户指南》中的AWS 托AWS 管策略或工作职能托管策略。
-
应用最低权限权限-使用IAM策略设置权限时,仅授予执行任务所需的权限。为此,您可以定义在特定条件下可以对特定资源执行的操作,也称为最低权限许可。有关使用应用权限IAM的更多信息,请参阅《IAM用户指南》IAM中的策略和权限。
-
使用IAM策略中的条件进一步限制访问权限-您可以在策略中添加条件以限制对操作和资源的访问权限。例如,您可以编写一个策略条件来指定所有请求都必须使用发送SSL。如果服务操作是通过特定的方式使用的,则也可以使用条件来授予对服务操作的访问权限 AWS 服务,例如 AWS CloudFormation。有关更多信息,请参阅《IAM用户指南》中的IAMJSON策略元素:条件。
-
使用 A IAM ccess Analyzer 验证您的IAM策略以确保权限的安全性和功能性 — A IAM ccess Analyzer 会验证新的和现有的策略,以便策略符合IAM策略语言 (JSON) 和IAM最佳实践。IAMAccess Analyzer 提供了 100 多项策略检查和可行的建议,可帮助您制定安全和实用的策略。有关更多信息,请参阅《IAM用户指南》中的 IAMAccess Analyzer 策略验证。
-
需要多重身份验证 (MFA)-如果您的场景需要IAM用户或 root 用户 AWS 账户,请打开MFA以提高安全性。要要求MFA何时调用API操作,请在策略中添加MFA条件。有关更多信息,请参阅《IAM用户指南》中的配置MFA受保护的API访问权限。
有关中最佳做法的更多信息IAM,请参阅《IAM用户指南》IAM中的安全最佳实践。
分配权限
要提供访问权限,请为您的用户、组或角色添加权限:
-
中的用户和群组 AWS IAM Identity Center:
创建权限集合。按照《AWS IAM Identity Center 用户指南》中创建权限集的说明进行操作。
-
IAM通过身份提供商管理的用户:
创建适用于身份联合验证的角色。按照《IAM用户指南》中为第三方身份提供商创建角色(联合)中的说明进行操作。
-
IAM用户:
-
创建您的用户可以担任的角色。按照《用户指南》中为IAM用户创建角色中的IAM说明进行操作。
-
(不推荐使用)将策略直接附加到用户或将用户添加到用户组。按照《用户指南》中向用户(控制台)添加权限中的IAM说明进行操作。
-
使用服务控制策略管理访问权限 (SCPs)
服务控制策略 (SCPs) 是一种组织策略,可用于管理组织中的权限。您可以通过创建一个来指定部分或全部 Amazon Q 操作的权限SCP,从而控制组织中可用的哪些 Amazon Q 开发者功能。
有关使用SCPs控制组织中的访问权限的更多信息,请参阅《AWS Organizations 用户指南》中的创建、更新和删除服务控制策略以及附加和分离服务控制策略。
以下是拒绝访问 Amazon Q 的示例。此政策限制访问 Amazon Q 聊天、控制台错误故障排除和网络故障排除。SCP
注意
拒绝访问 Amazon Q 不会禁用 AWS 控制台、 AWS 网站、 AWS 文档页面或 Amazon Q 图标或聊天面板 AWS Console Mobile Application。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyAmazonQFullAccess", "Effect": "Deny", "Action": [ "q:*" ], "Resource": "*" } ] }
Amazon Q 资源的数据边界
对于某些功能,Amazon Q 会将项目上传到 AWS 服务拥有的 Amazon S3 存储桶。如果您使用数据边界来控制环境中对 Amazon S3 的访问,则可能需要明确允许访问这些存储桶才能使用相应的 Amazon Q 功能。
下表列出了 Amazon Q 需要访问URL的每个 Amazon S3 存储桶的和,以及使用每个存储桶的功能。ARN您可以使用存储桶ARN或存储桶URL将这些存储桶列入许可名单,具体取决于您如何控制 Amazon S3 的访问权限。
亚马逊 S3 存储桶 ARN | 亚马逊 S3 存储桶 URL | 描述 |
---|---|---|
|
|
用于上传用于亚马逊 Q 代码扫描的项目的 Amazon S3 存储桶 |
|
|
用于上传项目的 Amazon S3 存储桶 Amazon Q Developer Agent for code transformation |
|
|
用于上传项目的 Amazon S3 存储桶 Amazon Q Developer Agent for software development |