使用政策管理对 Amazon Q 开发者的访问权限

默认情况下，用户和角色无权使用 Amazon Q。IAM管理员可以通过向IAM身份授予权限来管理对 Amazon Q Developer 及其功能的访问权限。

管理员向用户授予访问权限的最快方法是通过 AWS 托管策略。该AmazonQFullAccess政策可以附加到IAM身份，以授予对 Amazon Q Developer 及其功能的完全访问权限。有关此策略的更多信息，请参阅“AWS 适用于 Amazon Q 开发者的托管政策”。

要管理IAM身份可以通过 Amazon Q Developer 执行的特定操作，管理员可以创建自定义策略来定义用户、群组或角色拥有的权限。您还可以使用服务控制策略 (SCPs) 来控制您的组织中提供的 Amazon Q 功能。

有关您可以通过策略控制的所有 Amazon Q 权限的列表，请参阅Amazon Q 开发者权限参考。

策略最佳实践

基于身份的策略决定是否有人可以在您的账户中创建、访问或删除 Amazon Q Developer 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关中最佳做法的更多信息IAM，请参阅《IAM用户指南》IAM中的安全最佳实践。

分配权限

要提供访问权限，请为您的用户、组或角色添加权限：

使用服务控制策略管理访问权限 (SCPs)

服务控制策略 (SCPs) 是一种组织策略，可用于管理组织中的权限。您可以通过创建一个来指定部分或全部 Amazon Q 操作的权限SCP，从而控制组织中可用的哪些 Amazon Q 开发者功能。

有关使用SCPs控制组织中的访问权限的更多信息，请参阅《AWS Organizations 用户指南》中的创建、更新和删除服务控制策略以及附加和分离服务控制策略。

以下是拒绝访问 Amazon Q 的示例。此政策限制访问 Amazon Q 聊天、控制台错误故障排除和网络故障排除。SCP

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Q 资源的数据边界

对于某些功能，Amazon Q 会将项目上传到 AWS 服务拥有的 Amazon S3 存储桶。如果您使用数据边界来控制环境中对 Amazon S3 的访问，则可能需要明确允许访问这些存储桶才能使用相应的 Amazon Q 功能。

下表列出了 Amazon Q 需要访问URL的每个 Amazon S3 存储桶的和，以及使用每个存储桶的功能。ARN您可以使用存储桶ARN或存储桶URL将这些存储桶列入许可名单，具体取决于您如何控制 Amazon S3 的访问权限。

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/