使用政策管理 Amazon Q 開發人員的存取權

預設情況下，使用者和角色沒有使用 Amazon Q 的權限。管理IAM員可以透過授予IAM身分權限來管理 Amazon Q 開發人員及其功能的存取。

系統管理員授與使用者存取權的最快方法是透過 AWS 受管理的原則。此AmazonQFullAccess政策可附加至IAM身分，以授與 Amazon Q 開發人員及其功能的完整存取權。如需此政策的詳細資訊，請參閱 AWS Amazon Q 開發人員的受管政策。

若要管理IAM身分可與 Amazon Q Developer 一起執行的特定動作，管理員可以建立自訂政策來定義使用者、群組或角色擁有的許可。您也可以使用服務控制政策 (SCPs) 來控制組織中可用的 Amazon Q 功能。

如需您可以使用政策控制的所有 Amazon Q 許可清單，請參閱Amazon Q 開發人員許可參考。

政策最佳實務

以身分識別為基礎的政策決定某人是否可以在您的帳戶中建立、存取或刪除 Amazon Q 開發人員資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

如需中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

指派許可

若要提供存取權，請新增權限至您的使用者、群組或角色：

使用服務控制政策管理存取 (SCPs)

服務控制原則 (SCPs) 是一種可用來管理組織權限的組織原則類型。您可以透過建立指定部分或所有 Amazon Q 動作的許可來控制組織中可用的 Amazon Q 開發人員功能。SCP

如需有關使用SCPs來控制組織中存取的詳細資訊，請參閱使用AWS Organizations 者指南中的建立、更新和刪除服務控制原則和附加與卸離服務控制原則。

以下是拒絕存取 Amazon 問題SCP的範例。此政策限制存取 Amazon Q chat、主控台錯誤疑難排解和網路疑難排解。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Q 資源的資料周長

對於某些功能，Amazon Q 會將成品上傳到 AWS 服務擁有的 Amazon S3 儲存貯體。如果您使用資料周長控制環境中對 Amazon S3 的存取，則可能需要明確允許存取這些儲存貯體，才能使用對應的 Amazon Q 功能。

下表列出 Amazon Q 需要存取URL之每個 Amazon S3 儲存貯體的和，以及使用每個儲存貯體的功能。ARN您可以使用儲存貯體ARN或儲存貯體URL允許列出這些儲存貯體，具體取決於您控制 Amazon S3 存取的方式。

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/