AWS Cloud9 不再向新客户提供。 AWS Cloud9 的现有客户可以继续正常使用该服务。了解更多
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
AWS Cloud9的其他设置选项
在 Tea m Setup 或 E nterprise S etup 中，您创建了群组并直接向这些群组添加了 AWS Cloud9 访问权限。这是为了确保这些组中的用户可以访问 AWS Cloud9。在本主题中，您添加更多的访问权限，以限制这些组中的用户可以创建的环境类型。这可以帮助控制与 AWS 账户和组织相关的成本。 AWS Cloud9
要添加这些访问权限，您可以创建一组自己的策略，定义您要实施的 AWS 访问权限。我们将其中每个策略称为客户管理型策略。然后，您将这些客户管理型策略附加到用户所属的组。在某些情况下，您还必须分离已附加到这些组的现有 AWS 托管策略。要进行此设置，请按照本主题中的步骤操作。
注意
以下过程仅涵盖为 AWS Cloud9 用户附加和分离策略。这些过程假设您已经有一个单独的 AWS Cloud9 用户组和 AWS Cloud9 管理员组。这些过程还假设您在 AWS Cloud9 管理员组中只有有限数量的用户。此 AWS 安全最佳实践可以帮助您更好地控制、跟踪和解决 AWS 资源访问问题。
步骤 1：创建客户托管式策略
您可以使用 AWS Management Console 或 AWS Command Line Interface (AWS CLI) 创建客户托管式策略。
注意
此步骤仅用于为 IAM 组创建托管式策略。要在中为群组创建自定义权限集 AWS IAM Identity Center，请跳过此步骤并按照《AWS IAM Identity Center 用户指南》中创建权限集中的说明进行操作。在本主题中，按照说明创建自定义权限集。如需了解相关的自定义权限策略，请参阅本主题后面的使用 AWS Cloud9的团队的客户托管式策略示例。
步骤 1.1：使用控制台创建客户管理型策略
-
如果您尚未登录 AWS Management Console，请登录。
我们建议您使用您 AWS 账户中的管理员用户的凭证登录。如果您无法执行此操作，请咨询您的 AWS 账户 管理员。
-
打开 IAM 管理控制台。为此，请在控制台的导航栏中选择 Service（服务）。然后，选择 IAM。
-
在服务导航窗格中，选择策略。
-
选择创建策略。
-
在 JSON 选项卡中，粘贴我们建议的客户托管式策略示例之一。
注意
您还可以创建自己的客户托管式策略。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略参考和 AWS 服务的文档
。 -
选择查看策略。
-
在查看策略页面上，为策略键入名称和可选的描述，然后选择创建策略。
对您要创建的每个其他客户管理型策略重复此步骤。然后，向前跳到使用控制台向组添加客户管理型策略。
步骤 1.2：使用创建客户托管策略 AWS CLI
-
在运行的计算机上 AWS CLI，创建一个描述策略的文件（例如
policy.json）。如果您创建具有不同文件名的文件，请在整个过程中使用此名称进行替换。
-
将我们建议的客户托管式策略示例之一粘贴到
policy.json文件中。注意
您还可以创建自己的客户托管式策略。有关更多信息，请参阅《IAM 用户指南》和 AWS 服务的文档
中的 IAM JSON 策略参考。 -
从终端或命令提示符处，切换到包含
policy.json文件的目录。 -
运行 IAM
create-policy命令，为策略和policy.json文件指定名称。aws iam create-policy --policy-document file://policy.json --policy-name MyPolicy在上述命令中，将
MyPolicy替换为策略的名称。
步骤 2：向组添加客户托管式策略
您可以使用 AWS Management Console或 AWS 命令行界面（AWS CLI）向组添加客户管理型策略。有关更多信息，请参阅团队使用的客户托管策略示例 AWS Cloud9。
注意
此步骤仅用于将客户托管式策略添加到 IAM 组。要向中的群组添加自定义权限集 AWS IAM Identity Center，请跳过此步骤，改为按照《用户指南》中分配用户访问权限中的AWS IAM Identity Center 说明进行操作。
步骤 2.1：使用控制台在组中添加客户管理型策略
-
使用之前步骤中打开的 IAM 控制台，在服务的导航窗格中，选择 Groups（组）。
-
选择组名。
-
在 Permissions（权限）选项卡中，在 Manged Policies（托管式策略）处，选择 Attach Policy（附加策略）。
-
在策略名称列表中，选择要附加到组的各个客户管理型策略旁的复选框。如果在列表中没有看到特定策略名称，请在 Filter（筛选条件）框中输入策略名称以显示该名称。
-
选择附加策略。
步骤 2.2：使用将客户托管策略添加到群组中 AWS CLI
注意
如果您使用的是AWS 托管临时凭证，则无法在 AWS Cloud9 IDE 中使用终端会话来运行本节中的部分或全部命令。为了解决 AWS 安全最佳实践， AWS 托管临时证书不允许运行某些命令。相反，您可以从单独安装的 AWS Command Line Interface (AWS CLI) 中运行这些命令。
运行 IAM attach-group-policy 命令，在命令中指定组的名称和策略的 Amazon Resource Name (ARN)。
aws iam attach-group-policy --group-name MyGroup --policy-arn arn:aws:iam::123456789012:policy/MyPolicy
在上述命令中，将 MyGroup 替换为组的名称。123456789012替换为 AWS 账户 ID。并将 MyPolicy 替换为客户管理型策略的名称。
后续步骤
