本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # AWS HealthOmics 的安全性 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性： + **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。在[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用於 AWS HealthOmics 的合規計劃，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 AWS HealthOmics 時套用共同責任模型。下列主題說明如何設定 AWS HealthOmics 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 AWS HealthOmics 資源。 **Topics** + [中的資料保護 AWS HealthOmics](data-protection.md) + [HealthOmics 中的身分和存取管理](security-iam.md) + [的合規驗證 AWS HealthOmics](compliance-validation.md) + [HealthOmics 中的彈性](disaster-recovery-resiliency.md) + [AWS HealthOmics 和介面 VPC 端點 (AWS PrivateLink)](vpc-interface-endpoints.md) # 中的資料保護 AWS HealthOmics AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 AWS HealthOmics 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 AWS HealthOmics 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 靜態加密 **Topics** + [AWS 擁有的金鑰](#AWS-owned-cmk) + [客戶自管金鑰](#customer-owned-cmk) + [建立客戶受管金鑰](#creating-co-cmk) + [使用客戶受管金鑰所需的 IAM 許可](#required-iam-cmk) + [進一步了解](#more-info-kms) 為了保護靜態敏感客戶資料， 預設會使用服務擁有的 AWS Key Management Service (AWS KMS) 金鑰 AWS HealthOmics 提供加密。也支援客戶受管金鑰。若要進一步了解客戶受管金鑰，請參閱 [Amazon Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html)。 所有 HealthOmics 資料存放區 （儲存和分析） 都支援使用客戶受管金鑰。建立資料存放區之後，就無法變更加密組態。如果資料存放區使用 AWS 擁有的金鑰，則會將其表示為 AWS\$1OWNED\$1KMS\$1KEY，而且您不會看到用於靜態加密的特定金鑰。 對於 HealthOmics 工作流程，暫存檔案系統不支援客戶受管金鑰；不過，所有資料都會使用 XTS-AES-256 區塊加密演算法自動加密靜態資料，以加密檔案系統。用於啟動工作流程執行的 IAM 使用者和角色也必須能夠存取用於工作流程輸入和輸出儲存貯體的 AWS KMS 金鑰。工作流程不使用授予，而且 AWS KMS 加密僅限於輸入和輸出 Amazon S3 儲存貯體。用於工作流程 APIs 的 IAM 角色也必須能夠存取所使用的 AWS KMS 金鑰，以及輸入和輸出 Amazon S3 儲存貯體。您可以使用 IAM 角色和許可來控制存取或 AWS KMS 政策。若要進一步了解，請參閱 [的身分驗證和存取控制 AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/control-access.html)。 當您 AWS Lake Formation 搭配 HealthOmics Analytics 使用 時，與 Lake Formation 相關聯的任何解密許可也會授予輸入和輸出 Amazon S3 儲存貯體。如需有關 如何 AWS Lake Formation 管理許可的詳細資訊，請參閱 [AWS Lake Formation 文件](https://docs.aws.amazon.com/lake-formation/latest/dg/register-encrypted.html)。 HealthOmics Analytics 授予 Lake Formation kms:Decrypt 讀取 Amazon S3 儲存貯體中加密資料的許可。只要您有透過 Lake Formation 查詢資料的許可，您就可以讀取加密的資料。對資料的存取是透過 Lake Formation 中的資料存取控制來控制，而不是透過 KMS 金鑰政策。若要進一步了解，請參閱 Lake Formation 文件中的[AWS 整合式 AWS 服務請求](https://docs.aws.amazon.com/lake-formation/latest/dg/access-control-underlying-data.html)。 ### AWS 擁有的金鑰 根據預設，HealthOmics 會使用 AWS 擁有的金鑰 自動加密靜態資料，因為此資料可能包含敏感資訊，例如個人身分識別資訊 (PII) 或受保護醫療資訊 (PHI)。 AWS 擁有的金鑰 不會存放在您的帳戶中。它們是 AWS 擁有和管理用於多個 AWS 帳戶的 KMS 金鑰集合的一部分。 AWS 服務可以使用 AWS 擁有的金鑰 來保護您的資料。您無法檢視、管理或存取 AWS 擁有的金鑰，或稽核其使用方式。不過，您不需要進行任何工作或變更任何程式，即可保護加密資料的金鑰。 您不需要支付每月費用或使用費 AWS 擁有的金鑰，也不會計入您帳戶的 AWS KMS 配額。如需詳細資訊，請參閱[AWS 受管金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#AWS-owned-cmk)。 ### 客戶自管金鑰 HealthOmics 支援使用您建立、擁有和管理的對稱客戶受管金鑰，以透過現有 AWS 擁有的加密新增第二層加密。您可以完全控制此層加密，因此能執行以下任務： + 建立和維護金鑰政策、IAM 政策和授權 + 輪換金鑰密碼編譯資料 + 啟用和停用金鑰政策 + 新增 標籤 + 建立金鑰別名 + 安排金鑰供刪除 您也可以使用 CloudTrail 來追蹤 HealthOmics AWS KMS 代表您傳送到 的請求。需支付額外費用 AWS KMS 。如需詳細資訊，請參閱[客戶受管金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk)。 ### 建立客戶受管金鑰 您可以使用 AWS 管理主控台或 AWS KMS APIs 來建立對稱客戶受管金鑰。 請遵循 AWS Key Management Service 開發人員指南中[建立對稱客戶受管金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk)的步驟。 金鑰政策會控制客戶受管金鑰的存取權限。每個客戶受管金鑰都必須只有一個金鑰政策，其中包含決定誰可以使用金鑰及其使用方式的陳述式。當您建立客戶受管金鑰時，您可以指定金鑰政策。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的[管理客戶受管金鑰的存取](https://docs.aws.amazon.com/kms/latest/developerguide/control-access-overview.html#managing-access)。 若要搭配 HealthOmics Analytics 資源使用客戶受管金鑰，呼叫委託人需要在金鑰政策中執行 [kms:CreateGrant](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateGrant.html) 操作。這可讓系統使用 FAS 字符來建立對客戶受管金鑰的授予，以控制對指定 KMS 金鑰的存取。此金鑰可讓使用者存取 HealthOmics 所需的 [kms:grant](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html#terms-grant-operations ) 操作。如需詳細資訊，請參閱[使用授予](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)。 對於 HealthOmics 分析，呼叫委託人必須允許下列 API 操作： + kms:CreateGrant 將授予新增至特定客戶受管金鑰，允許存取 HealthOmics Analytics 中的授予操作。 + kms:DescribeKey 提供驗證金鑰所需的客戶受管金鑰詳細資訊。這是所有 操作的必要項目。 + kms:GenerateDataKey 提供存取權，以加密所有寫入操作的靜態資源。此外，此動作提供客戶受管金鑰詳細資訊，服務可用來驗證發起人是否具有使用該金鑰的存取權。 + kms:Decrypt 可讓您存取加密資源的讀取或搜尋操作。 若要將客戶受管金鑰與 HealthOmics 儲存資源搭配使用，必須在金鑰政策中允許 HealthOmics 服務主體和呼叫主體。這可讓服務驗證發起人是否有權存取 金鑰，並使用 服務主體來使用客戶受管金鑰執行存放區管理。對於 HealthOmics 儲存，服務主體的金鑰政策必須允許下列 API 操作： + kms:DescribeKey 提供驗證金鑰所需的客戶受管金鑰詳細資訊。這是所有 操作的必要項目。 + kms:GenerateDataKey 提供存取權，以加密所有寫入操作的靜態資源。此外，此動作提供客戶受管金鑰詳細資訊，服務可用來驗證發起人是否具有使用該金鑰的存取權。 + kms:Decrypt 可讓您存取加密資源的讀取或搜尋操作。 下列範例顯示政策陳述式，允許服務主體建立並使用客戶受管金鑰加密的 HealthOmics 序列或參考存放區，並與之互動： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "omics.amazonaws.com" }, "Action": [ "kms:Decrypt", "kms:DescribeKey", "kms:Encrypt", "kms:GenerateDataKey*" ], "Resource": "*" } ] } ``` ------ 下列範例顯示為資料存放區建立許可以從 Amazon S3 儲存貯體解密資料的政策。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "omics:GetReference", "omics:GetReferenceMetadata" ], "Resource": [ "arn:aws:omics:us-east-1:123456789012:referenceStore/*" ] }, { "Effect": "Allow", "Action": [ "s3:GetObject" ], "Resource": [ "arn:aws:s3:::[[s3path]]/*" ] }, { "Effect": "Allow", "Action": [ "kms:Decrypt" ], "Resource": [ "arn:aws:kms:us-east-1:123456789012:key/key_id" ], "Condition": { "StringEquals": { "kms:ViaService": [ "s3.us-east-1.amazonaws.com" ] } } } ] } ``` ------ ### 使用客戶受管金鑰所需的 IAM 許可 建立資源時，例如使用客戶受管金鑰進行 AWS KMS 加密的資料存放區，金鑰政策和 IAM 使用者或角色的 IAM 政策都有必要的許可。 您可以使用 [kms:ViaService 條件金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/policy-conditions.html#conditions-kms-via-service)，將 KMS 金鑰的使用限制為僅來自 HealthOmics 的請求。 如需金鑰政策的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的[啟用 IAM 政策](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html#key-policy-default-allow-root-enable-iam)。 **Topics** + [Analytics API 許可](#analytics-permissions) + [儲存 API 許可](#storage-permissions) + [HealthOmics 如何在 AWS KMS 中使用授予](#grants-kms) + [監控 AWS HealthOmics 的加密金鑰](#monitoring-kms) #### Analytics API 許可 對於 HealthOmics 分析，建立存放區的 IAM 使用者或角色必須具有 kms:CreateGrant、 kms:GenerateDataKey、 kms:Decrypt 和 kms:DescribeKey 許可，以及必要的 HealthOmics 許可。 #### 儲存 API 許可 對於 HealthOmics 儲存 APIs，呼叫下列 API 操作的 IAM 使用者或角色需要列出的許可： **CreateReferenceStore、CreateSequenceStore** 若要建立存放區，IAM 呼叫者必須具有`kms:DescribeKey`許可加上必要的 HealthOmics 許可。HealthOmics 服務主體會呼叫 `kms:GenerateDataKeyWithoutPlaintext` 來執行資料載入和存取的存取驗證檢查。 **StartReadSetImportJob、StartReferenceImportJob** 若要開始資料匯入任務，IAM 發起人必須擁有儲存體上 KMS 金鑰的 `kms:Decrypt` 和 `kms:GenerateDataKey` 許可，才能匯入，以及包含要匯入物件的 Amazon S3 儲存貯體上的 `kms:Decrypt` 許可。此外，傳遞至呼叫的角色必須具有 Amazon S3 儲存貯體的`kms:Decrypt`許可，其中包含要匯入的物件。IAM 發起人也必須具有將角色傳遞至任務的許可。 **CreateMultipartReadSetUpload、UploadReadSetPart、 CompleteMultipartReadSetUpload** 若要完成分段上傳，IAM 發起人必須具有 `kms:Decrypt`和 ，`kms:GenerateDataKey`才能建立、上傳和完成分段上傳。 **StartReadSetExportJob** 若要啟動資料匯出任務，IAM 發起人必須具有儲存體上 KMS 金鑰的`kms:Decrypt`許可，才能從接收物件的 Amazon S3 儲存貯體匯出 和 `kms:GenerateDataKey`和 `kms:Decrypt`許可。此外，傳入呼叫的角色必須具有接收物件之 Amazon S3 儲存貯體的`kms:Decrypt`許可。IAM 發起人也必須具有將角色傳遞至任務的許可。 **StartReadsetActivationJob** 若要啟動讀取集啟用任務，IAM 發起人必須擁有 物件的 `kms:Decrypt`和 `kms:GenerateDataKey`許可。 **GetReference、GetReadSet** 若要從存放區讀取物件，IAM 呼叫者必須具有物件的`kms:Decrypt`許可。 **讀取集合 S3 GetObject** 若要使用 Amazon S3 `GetObject` API 從存放區讀取物件，IAM 呼叫者必須具有物件的`kms:Decrypt`許可。為客戶受管金鑰和 AWS 擁有的金鑰 組態設定此許可。 #### HealthOmics 如何在 AWS KMS 中使用授予 HealthOmics Analytics 需要[授予](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)才能使用客戶受管 KMS 金鑰。HealthOmics 工作流程不需要或使用授予。HealthOmics Storage 會直接從服務委託人使用客戶受管金鑰，因此請勿使用授予。當您建立使用客戶受管金鑰加密的分析存放區時，HealthOmics 分析會透過傳送 [CreateGrant](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateGrant.html) 請求至 AWS KMS 來代表您建立授予。AWS KMS 中的授予用於授予 HealthOmics 存取客戶帳戶中 KMS 金鑰的權限。 不建議撤銷或淘汰 HealthOmics 分析代表您建立的授予。如果您撤銷或淘汰授予 HealthOmics 在帳戶中使用 AWS KMS 金鑰許可的授予，HealthOmics 無法存取此資料、加密推送到資料存放區的新資源，或在提取時解密這些資源。 當您撤銷或淘汰 HealthOmics 的授予時，變更會立即發生。若要撤銷存取權，建議您刪除資料存放區，而不是撤銷授予。當您刪除資料存放區時，HealthOmics 會代表您淘汰授予。 #### 監控 AWS HealthOmics 的加密金鑰 您可以使用 CloudTrail 來追蹤在使用客戶受管金鑰時 AWS KMS 代表您 AWS HealthOmics 傳送至 的請求。CloudTrail 日誌中的日誌項目會在 userAgent 欄位中顯示 HealthOmics.amazonAWS.com，以清楚區分 HealthOmics 提出的請求。 下列範例是 CreateGrant、GenerateDataKey、Decrypt 和 DescribeKey 的 CloudTrail 事件，用於監控 HealthOmics 呼叫 AWS KMS 的操作，以存取客戶受管金鑰加密的資料。 以下也說明如何使用 CreateGrant 來允許 HealthOmics 分析存取客戶提供的 KMS 金鑰，讓 HealthOmics 能夠使用該 KMS 金鑰來加密所有靜態客戶資料。 您不需要建立自己的授予。HealthOmics 透過傳送 CreateGrant 請求到 AWS KMS 來代表您建立授予。中的授予 AWS KMS 用於授予 HealthOmics 存取客戶帳戶中 AWS KMS 金鑰的權限。 ``` { "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "xx:test", "arn": "arn:AWS:sts::555555555555:assumed-role/user-admin/test", "accountId": "xx", "accessKeyId": "xxx", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "xxxx", "arn": "arn:AWS:iam::555555555555:role/user-admin", "accountId": "555555555555", "userName": "user-admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2022-11-11T01:36:17Z", "mfaAuthenticated": "false" } }, "invokedBy": "apigateway.amazonAWS.com" }, "eventTime": "2022-11-11T02:34:41Z", "eventSource": "kms.amazonAWS.com", "eventName": "CreateGrant", "AWSRegion": "us-west-2", "sourceIPAddress": "apigateway.amazonAWS.com", "userAgent": "apigateway.amazonAWS.com", "requestParameters": { "granteePrincipal": "AWS Internal", "keyId": "arn:AWS:kms:us-west-2:555555555555:key/a6e87d77-cc3e-4a98-a354-e4c275d775ef", "operations": [ "CreateGrant", "RetireGrant", "Decrypt", "GenerateDataKey" ] }, "responseElements": { "grantId": "4869b81e0e1db234342842af9f5531d692a76edaff03e94f4645d493f4620ed7", "keyId": "arn:AWS:kms:us-west-2:245126421963:key/xx-cc3e-4a98-a354-e4c275d775ef" }, "requestID": "d31d23d6-b6ce-41b3-bbca-6e0757f7c59a", "eventID": "3a746636-20ef-426b-861f-e77efc56e23c", "readOnly": false, "resources": [ { "accountId": "245126421963", "type": "AWS::KMS::Key", "ARN": "arn:AWS:kms:us-west-2:245126421963:key/xx-cc3e-4a98-a354-e4c275d775ef" } ], "eventType": "AWSApiCall", "managementEvent": true, "recipientAccountId": "245126421963", "eventCategory": "Management" } ``` 下列範例示範如何使用 GenerateDataKey，確保使用者擁有在儲存資料之前加密資料的必要許可。 ``` { "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "EXAMPLEUSER", "arn": "arn:AWS:sts::111122223333:assumed-role/Sampleuser01", "accountId": "111122223333", "accessKeyId": "EXAMPLEKEYID", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "EXAMPLEROLE", "arn": "arn:AWS:iam::111122223333:role/Sampleuser01", "accountId": "111122223333", "userName": "Sampleuser01" }, "webIdFederationData": {}, "attributes": { "creationDate": "2021-06-30T21:17:06Z", "mfaAuthenticated": "false" } }, "invokedBy": "omics.amazonAWS.com" }, "eventTime": "2021-06-30T21:17:37Z", "eventSource": "kms.amazonAWS.com", "eventName": "GenerateDataKey", "AWSRegion": "us-east-1", "sourceIPAddress": "omics.amazonAWS.com", "userAgent": "omics.amazonAWS.com", "requestParameters": { "keySpec": "AES_256", "keyId": "arn:AWS:kms:us-east-1:111122223333:key/EXAMPLE_KEY_ARN" }, "responseElements": null, "requestID": "EXAMPLE_ID_01", "eventID": "EXAMPLE_ID_02", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:AWS:kms:us-east-1:111122223333:key/EXAMPLE_KEY_ARN" } ], "eventType": "AWSApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" } ``` ### 進一步了解 下列資源提供有關靜態資料加密的詳細資訊。 如需 [AWS Key Management Service 基本概念](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html)的詳細資訊，請參閱 AWS KMS 文件。 如需 AWS KMS 文件中[安全最佳實務](https://docs.aws.amazon.com/kms/latest/developerguide/best-practices.html)的詳細資訊。 ## 傳輸中加密 AWS HealthOmics 使用 TLS 1.2\$1 透過公有端點和後端服務加密傳輸中的資料。 # HealthOmics 中的身分和存取管理 AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 AWS HealthOmics 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS HealthOmics 如何使用 IAM](security_iam_service-with-iam.md) + [的身分型政策範例 AWS HealthOmics](security_iam_id-based-policy-examples.md) + [AWS 的 受管政策 AWS HealthOmics](security-iam-awsmanpol.md) + [對 AWS HealthOmics 身分和存取進行故障診斷](security_iam_troubleshoot.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS HealthOmics 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS HealthOmics 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS HealthOmics](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分可完整存取所有 AWS 服務 和資源。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者，以 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 的形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS HealthOmics 如何使用 IAM 在您使用 IAM 管理對 AWS HealthOmics 的存取之前，請先了解哪些 IAM 功能可與 AWS HealthOmics 搭配使用。 **您可以搭配 使用的 IAM 功能 AWS HealthOmics** | IAM 功能 | HealthOmics 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 否 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC （政策中的標籤） ](#security_iam_service-with-iam-tags) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [主體許可](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 是 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 否 | 若要全面了解 HealthOmics 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** # 預防跨服務混淆代理人 混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。 我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容金鑰，以限制 AWS HealthOmics 為資源提供其他服務的許可。 若要避免 HealthOmics 擔任之角色中的混淆代理人問題，請在角色的信任政策`aws:SourceArn``arn:aws:omics:region:accountNumber:*`中將 的值設為 。萬用字元 (`*`) 會套用所有 HealthOmics 資源的條件。 下列信任關係政策會授予 HealthOmics 存取 資源的權限，並使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰來防止混淆代理人問題。當您為 HealthOmics 建立角色時，請使用此政策。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": [ "omics.amazonaws.com" ] }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "123456789012" }, "ArnLike": { "aws:SourceArn": "arn:aws:omics:us-east-1:123456789012:*" } } } ] } ``` ------ ## HealthOmics 的身分型政策 **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### HealthOmics 的身分型政策範例 若要檢視 AWS HealthOmics 身分型政策的範例，請參閱 [的身分型政策範例 AWS HealthOmics](security_iam_id-based-policy-examples.md)。 ## HealthOmics 中的資源型政策 **支援資源型政策：**否 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## HealthOmics 的政策動作 **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 若要查看 HealthOmics 動作的清單，請參閱*《服務授權參考*》中的 [AWS HealthOmics 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awshealthomics.html#awshealthomics-actions-as-permissions)。 HealthOmics 中的政策動作在動作之前使用以下字首： ``` omics ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "omics:action1", "omics:action2" ] ``` 若要檢視 AWS HealthOmics 身分型政策的範例，請參閱 [的身分型政策範例 AWS HealthOmics](security_iam_id-based-policy-examples.md)。 ## HealthOmics 的政策資源 **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要查看 HealthOmics 資源類型及其 ARNs的清單，請參閱*服務授權參考*中的 [AWS HealthOmics 定義的資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awshealthomics.html.html#awshealthomics-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS HealthOmics 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awshealthomics.html#awshealthomics-actions-as-permissions)。 若要檢視 AWS HealthOmics 身分型政策的範例，請參閱 [的身分型政策範例 AWS HealthOmics](security_iam_id-based-policy-examples.md)。 ## HealthOmics 的政策條件索引鍵 HealthOmics 不支援政策條件索引鍵。 ## HealthOmics 中的存取控制清單 (ACLs) **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 ## 具有 HealthOmics 的屬性型存取控制 (ABAC) **支援 ABAC (政策中的標籤)：**是 屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 如需標記 HealthOmics 資源的詳細資訊，請參閱 [在 HealthOmics 中標記資源](tagging.md)。 下列範例示範如何撰寫 IAM 政策，拒絕在沒有特定標籤的情況下存取資源。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "omics:*" ], "Resource": [ "*" ], "Condition": { "Null": { "aws:RequestTag/MyCustomTag": "true" } } } ] } ``` ------ ## 搭配 HealthOmics 使用臨時登入資料 **支援臨時憑證：**是 臨時登入資料提供對 AWS 資源的短期存取，並在您使用聯合或切換角色時自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## HealthOmics 的跨服務主體許可 **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## HealthOmics 的服務角色 **支援服務角色：**是 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 HealthOmics 功能。只有在 HealthOmics 提供指引時，才能編輯服務角色。 ## HealthOmics 的服務連結角色 **支援服務連結角色：**否 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 如需建立或管理服務連結角色的詳細資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。 # 的身分型政策範例 AWS HealthOmics 根據預設，使用者和角色沒有建立或修改 AWS HealthOmics 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。 如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 如需 AWS HealthOmics 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [AWS HealthOmics 的動作、資源和條件金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awshealthomics.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 HealthOmics 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS HealthOmics 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 HealthOmics 主控台 若要存取 AWS HealthOmics 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 AWS HealthOmics 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。 ## 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # AWS 的 受管政策 AWS HealthOmics AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。 AWS 服務 當新的 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策：AmazonOmicsFullAccess 您可以將`AmazonOmicsFullAccess`政策連接至 IAM 身分，讓其完整存取 HealthOmics。 此政策會授予所有 HealthOmics 動作的完整存取許可。當您建立註釋或變體存放區時，Omics 也會讓您透過 Resource Access Manager (RAM) 主控台中的資源共享邀請存取該存放區。如需透過 Lake Formation 進行資源共用邀請的詳細資訊，請參閱 [Lake Formation 中的跨帳戶資料共用](https://docs.aws.amazon.com/lake-formation/latest/dg/cross-account-permissions.html)。對於 Omics 管理員政策，您也需要下列許可才能存取 Amazon S3 儲存貯體。 + PutObject + GetObject + ListBucket + AbortMultipartUpload + ListMultipartUploadParts ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "omics:*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "ram:AcceptResourceShareInvitation", "ram:GetResourceShareInvitations" ], "Resource": "*", "Condition": { "StringEquals": { "aws:CalledViaLast": "omics.amazonaws.com" } } }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": "omics.amazonaws.com" } } } ] } ``` ------ ## AWS 受管政策：AmazonOmicsReadOnlyAccess 當您想要將該身分的許可限制為唯讀存取時，您可以將`AWSOmicsReadOnlyAccess`政策連接到 IAM 身分。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "omics:Get*", "omics:List*" ], "Resource": "*" } ] } ``` ------ ## HealthOmics AWS 受管政策的更新 檢視自此服務開始追蹤這些變更以來 HealthOmics AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 HealthOmics 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | AmazonOmicsFullAccess - 新增政策 | HealthOmics 新增了新的政策，以授予使用者所有動作和資源的完整存取權。若要進一步了解，請參閱 [AmazonOmicsFullAccess](#security-iam-awsmanpol-AmazonOmicsFullAccess)。 | 2023 年 2 月 23 日 | | HealthOmics 已開始追蹤變更 | HealthOmics 開始追蹤其 AWS 受管政策的變更。 | 2022 年 11 月 29 日 | | AmazonOmicsReadOnlyAccess - 新增政策 | HealthOmics 新增了限制唯讀存取的新政策。若要進一步了解，[AmazonOmicsReadOnlyAccess](#security-iam-awsmanpol-AmazonOmicsReadOnlyAccess)。 | 2022 年 11 月 29 日 | # 對 AWS HealthOmics 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 AWS HealthOmics 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 HealthOmics 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 以外的人員 AWS 帳戶 存取我的 HealthOmics 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 HealthOmics 中執行動作 如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。 下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `omics:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: omics:GetWidget on resource: my-example-widget ``` 在此情況下，必須更新 `mateojackson` 使用者的政策，允許使用 `omics:GetWidget` 動作存取 `my-example-widget` 資源。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 AWS HealthOmics。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 AWS HealthOmics 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 HealthOmics 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 AWS HealthOmics 是否支援這些功能，請參閱 [AWS HealthOmics 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《IAM 使用者指南》**中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 的合規驗證 AWS HealthOmics 在多個合規計畫 AWS HealthOmics 中，第三方稽核人員會評估 的安全與 AWS 合規。這包括 HIPAA、FedRAMP 和其他。下表顯示 HealthOmics 服務的合規認證。 | 認證 | 連結 | | --- | --- | | HIPAA | [ HIPAA 合格服務參考](https://aws.amazon.com/compliance/hipaa-eligible-services-reference) | | HiTrust-CSF | [ 健康資訊信任聯盟通用安全架構 ](https://aws.amazon.com/compliance/services-in-scope/HITRUST-CSF/) | | FedRAMP Moderate (East/West) | [ 聯邦風險與授權管理計劃](https://aws.amazon.com/compliance/services-in-scope/FedRAMP) | | ISO/CSA STAR | [ ISO 和 CSA STAR 認證](https://aws.amazon.com/compliance/iso-certified/) | | C5 | [ 雲端運算合規控制目錄](https://aws.amazon.com/compliance/services-in-scope/C5) | | DoD CC SRG IL2 | [ 國防部雲端運算安全需求指南](https://aws.amazon.com/compliance/services-in-scope/DoD_CC_SRG) | | ENS 高級 | [ Esquema Nacional de Seguridad](https://aws.amazon.com/compliance/services-in-scope//ENS-High) | | FINMA | [ 瑞士金融市場監管局](https://aws.amazon.com/compliance/services-in-scope/FINMA) | | ISMAP | [ 資訊系統安全管理和評估計劃](https://aws.amazon.com/compliance/services-in-scope/ISMAP/) | | OSPAR | [ 委外服務供應商的稽核報告](https://aws.amazon.com/compliance/services-in-scope/OSPAR/) | | PCI | [ 支付卡產業資料安全標準](https://aws.amazon.com/compliance/services-in-scope/PCI/) | | 拼法 | [ 銀行關聯 CCI - 第三方資格](https://aws.amazon.com/compliance/services-in-scope/pinakes/) | | PiTuKri | [ 評估雲端服務資訊安全的條件](https://aws.amazon.com/compliance/services-in-scope/PiTuKri/) | | SOC 1、2、3 | [ 系統和組織控制](https://aws.amazon.com/compliance/services-in-scope/SOC/) | 如需特定合規計劃範圍內所有 AWS 服務的清單，請參閱[合規計劃範圍內的 AWS 服務](https://aws.amazon.com/compliance/services-in-scope/)。如需一般資訊，請參閱 [AWS 合規計劃](https://aws.amazon.com/compliance/programs/) 。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 HealthOmics 資料存放區使用範例 ID 進行內部檔案命名和標記資源。在您擷取資料之前，請檢查範例 ID 是否包含任何 PHI 資料。如果是這樣，請在擷取資料之前變更範例 ID。如需詳細資訊，請參閱 AWS [HIPAA 合規](https://aws.amazon.com/compliance/hipaa-compliance)網頁上的指引。 您使用 時的合規責任 AWS HealthOmics 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。 AWS 提供下列資源來協助合規： + [安全與合規快速入門指南](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance)：這些部署指南討論架構考量，並提供在 AWS上部署以安全及合規為重心之基準環境的步驟。 + [HIPAA 安全與合規架構白皮書 ](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html) – 此白皮書說明公司如何使用 AWS 來建立符合 HIPAA 規範的應用程式。 + [AWS 合規資源](https://aws.amazon.com/compliance/resources/) – 此工作手冊和指南集合可能適用於您的產業和據點。 + 《 *AWS Config 開發人員指南*》中的[使用規則評估資源](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html) AWS Config：評估資源組態符合內部實務、產業準則和法規的程度。 + [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) – AWS 此服務提供 內安全狀態的完整檢視 AWS ，協助您檢查是否符合安全產業標準和最佳實務。 # HealthOmics 中的彈性 AWS 全球基礎設施是以 AWS 區域 和 可用區域為基礎建置。 AWS 區域 提供多個實體隔離和隔離的可用區域，這些可用區域與低延遲、高輸送量和高度備援聯網連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域 和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 除了 AWS 全球基礎設施之外，AWS HealthOmics 還提供數種功能，以協助支援您的資料彈性和備份需求。 # AWS HealthOmics 和介面 VPC 端點 (AWS PrivateLink) 您可以建立介面 VPC *端點*， AWS HealthOmics 在 VPC 和 之間建立私有連線。介面端點採用 [AWS PrivateLink](https://aws.amazon.com/privatelink)技術，可讓您在沒有網際網路閘道、NAT 裝置、VPN 連線或 AWS Direct Connect 連線的情況下，私下存取 HealthOmics API 操作。VPC 中的執行個體不需要公有 IP 地址，即可與 HealthOmics API 操作通訊。VPC 和 HealthOmics 之間的流量不會超出 Amazon 網路。 每個介面端點都是由您子網路中的一或多個[彈性網路介面](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html)表示。 如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的界面 [VPC 端點 (AWS PrivateLink)](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html)。 除了以色列 （特拉維夫） 之外，所有區域的 HealthOmics 都支援 VPC 端點政策。根據預設，允許透過端點完整存取 HealthOmics。 ## HealthOmics VPC 端點的考量事項 為 HealthOmics 設定介面 VPC 端點之前，請務必檢閱《*Amazon VPC 使用者指南*》中的[介面端點屬性和限制](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#vpce-interface-limitations)。 HealthOmics 支援從您的 VPC 呼叫所有 HealthOmics Storage API 動作。 根據預設，HealthOmics 不支援 VPC 端點政策，但您可以為 HealthOmics Storage 操作建立完整 HealthOmics 存取的 VPC 端點。如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用 VPC 端點控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html)。 ## 建立 HealthOmics 的介面 VPC 端點 您可以使用 Amazon VPC 主控台或 AWS Command Line Interface () 為 HealthOmics 服務建立 VPC 端點AWS CLI。如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[建立介面端點](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint)。 使用下列服務名稱為 HealthOmics 建立 VPC 端點： + com.amazonaws.*region*.storage-omics + com.amazonaws.*region*.control-storage-omics + com.amazonaws.*region*.analytics-omics + com.amazonaws.*region*.workflows-omics + com.amazonaws.*region*.tags-omics 美國東部 （維吉尼亞北部） 和美國西部 （奧勒岡） 區域支援 AWS PrivateLink FIPS 端點。對於這些區域，您也可以使用下列服務名稱： + com.amazonaws.*region*.storage-omics-fips + com.amazonaws.*region*.control-storage-omics-fips + com.amazonaws.*region*.analytics-omics-fips + com.amazonaws.*region*.workflows-omics-fips + com.amazonaws.*region*.tags-omics-fips 如果您開啟端點的私有 DNS，您可以使用區域的預設 DNS 名稱向 HealthOmics 提出 API 請求，例如 `omics.us-east-1.amazonaws.com`。 如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[透過介面端點存取服務](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#access-service-though-endpoint)。 ## 為 HealthOmics 建立 VPC 端點政策 您可以將端點政策連接至控制 HealthOmics 存取的 VPC 端點。此政策會指定下列資訊： + 可執行動作的委託人 + 可執行的動作 + 可在其中執行動作的資源 如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用 VPC 端點控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html)。 **範例：HealthOmics 動作的 VPC 端點政策。** 以下是 HealthOmics 端點政策的範例。連接到端點時，此政策會授予所有資源上所有主體對 HealthOmics 動作的存取權。 ------ #### [ API ] ``` { "Statement":[ { "Principal":"*", "Effect":"Allow", "Action":[ "omics:List*" ], "Resource":"*" } ] } ``` ------ #### [ AWS CLI ] ``` aws ec2 modify-vpc-endpoint \ --vpc-endpoint-id vpce-id \ --region us-west-2 \ --policy-document \ "{\"Statement\":[{\"Principal\":\"*\",\"Effect\":\"Allow\",\"Action\":[\"omics:List*\"],\"Resource\":\"*\"}]}" ``` ------ ## 使用 Amazon S3 URIs 存取讀取集的特殊考量 若要在使用私有連線時透過 Amazon S3 URIs 存取讀取集，請在序列存放區上設定 PrivateLink 介面端點。在您設定它們之後，端點具有下列格式： ``` com.amazonaws.region.storage-omics com.amazonaws.region.control-storage-omics ``` 若要使用閘道端點，請遵循 [Amazon S3 的閘道端點](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-s3.html)指南來設定閘道端點。HealthOmics 擁有 Amazon S3 儲存貯體，因此您不需要建立或調整儲存貯體政策。閘道端點依賴連接到存取資料的使用者或角色的政策，但您也可以使用更嚴格的政策來設定端點。這些政策可以包含根據 Amazon S3 存取點 ARN 和 Amazon S3 動作的存取限制。