本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

限制代理的访问权限 AWS Account

AWS DevOps 代理在事件调查和预防性评估期间使用 IAM 角色来发现和描述 AWS 资源。您可以通过配置附加到这些角色的 IAM 策略来控制代理的访问级别。应用程序拓扑并未显示代理可以访问的所有内容，IAM 策略是真正限制代理可以访问的 AWS 服务 API 和资源的唯一方法。

了解 IAM 角色 AWS DevOps 代理人

AWS DevOps 代理使用 IAM 角色访问两种类型账户中的资源：

对于任一类型的帐户，您都可以限制代理可以访问哪些 AWS 服务，限制对这些服务中特定资源的访问权限，并控制代理可以在哪些区域运行。

了解权限护栏

AWS DevOps 代理在访问您的 AWS 资源时为其创建的每个会话设置权限护栏。这种护栏起着上限的作用——它定义了代理可以使用的最大权限集，无论您授予IAM角色什么权限。

工作原理

当代理担任您的 IAM 角色时，它会传递一项会话策略，限制该会话的有效权限。有效权限是以下内容的交叉点：

两个层中都必须存在权限才能生效。如果您为角色添加了未包含在护栏中的权限，则代理无法使用该权限。

默认权限

AIDevOpsAgentAccessPolicy托管策略提供代理用于调查的默认只读权限集。这些权限包含在护栏中，因此无需额外配置即可使用。

将权限扩展到默认权限之外

默认AIDevOpsAgentAccessPolicy托管策略仅授予护栏允许范围的一部分。护栏还允许ReadOnlyAccess AWS 托管策略中的所有操作，以及一些额外的权限。要使用护栏允许但默认策略不授予的权限，请将其作为内联策略添加到您的角色中。

例如，要允许代理在调查期间从您的 S3 存储桶读取对象，请向您的角色添加内联策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-application-bucket",
        "arn:aws:s3:::my-application-bucket/*"
      ]
    }
  ]
}

由于s3:GetObject和包含s3:ListBucket在护栏中，因此该内联政策生效。您可以将范围限定Resource为特定的存储桶，以遵循最小权限原则。

支持的额外权限

您可以通过将 guardrail 支持的任何权限作为内联策略添加到您的角色中来启用该权限。默认情况下，这些权限不被授予——你必须明确选择加入。

我们已经进行了全面测试和验证，只有AIDevOpsAgentAccessPolicy托管策略中的权限才能安全地用于代理。护栏支持的其他权限尚未通过代理测试。为他们提供支持属于责任AWS 共担模式。您负责评估这些操作是否适合代理对您的资源执行操作。调整它们的范围，使其遵循最小特权原则。

下表列出了护栏在ReadOnlyAccess托管策略之外支持的其他权限。

权限被护栏封锁

如果您为角色添加了不在护栏中的权限，则代理无法使用该权限。这是设计使然，护栏可以防止代理在其预定范围之外执行操作，即使角色本来允许。

例如，诸如s3:PutObjectec2:TerminateInstances、或之类的写入操作dynamodb:DeleteItem不包含在护栏中。即使您的角色授予了这些权限，代理也无法执行这些操作。

Summary

该模型可确保代理在明确定义的安全边界内运行，同时使您可以灵活地扩展其功能，以适应您的特定用例。

选择资源边界

限制资源访问权限时，您需要为代理提供足够的权限才能成功调查应用程序事件。这包括：

支持基础设施可能包括：

如果您限制访问范围过窄，则代理可能无法确定源自您定义边界之外的支持基础设施的根本原因。

限制服务访问权限

您可以通过修改附加到代理角色的 IAM 策略来限制代理可以访问的 AWS 服务。创建自定义策略时，请遵循以下最佳实践：

限制特定服务的策略示例：

json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:GetMetricData",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:DescribeAlarms",
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "ec2:DescribeInstances",
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

限制资源访问权限

要将代理限制为服务中的特定资源，请在您的 IAM 策略中使用资源级权限。这允许您仅授予对匹配特定模式的资源的访问权限。

使用资源 ARN 模式：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "arn:aws:lambda:*:*:function:production-*"
    }
  ]
}

此示例限制代理只能访问名称以 “production-” 开头的 Lambda 函数。

使用基于标签的限制：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "production"
        }
      }
    }
  ]
}

此示例限制代理只能访问带有标签的 EC2 实例Environment=production。

限制区域访问

要限制代理可以访问的 AWS 区域，请在您的 IAM 策略中使用aws:RequestedRegion条件密钥：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "lambda:Get*",
        "cloudwatch:Get*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": [
            "us-east-1",
            "us-west-2"
          ]
        }
      }
    }
  ]
}

此示例限制代理只能访问 us-east-1 和 us-west-2 区域中的资源。

创建自定义 IAM 策略

当您创建代理空间或添加辅助账户时，您可以选择使用策略模板创建自定义 IAM 角色。这使您可以实现最小权限原则。

创建代理空间时

从 AWS 管理控制台中的 DevOps 代理控制台中...

编辑代理空间时

从 AWS 管理控制台中的 DevOps 代理控制台中...

自定义策略最佳实践