Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS kebijakan yang dikelola untuk AWS Identity and Access Management, Penganalisis Akses IAM, dan manajer akses akun

Kebijakan AWS terkelola adalah kebijakan mandiri yang dibuat dan dikelola oleh AWS. AWS kebijakan terkelola dirancang untuk memberikan izin untuk banyak kasus penggunaan umum sehingga Anda dapat mulai menetapkan izin kepada pengguna, grup, dan peran.

Perlu diingat bahwa kebijakan ter AWS kelola mungkin tidak memberikan izin hak istimewa terkecil untuk kasus penggunaan spesifik Anda karena kebijakan tersebut tersedia untuk digunakan semua AWS pelanggan. Kami menyarankan Anda untuk mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola pelanggan yang khusus untuk kasus penggunaan Anda.

Anda tidak dapat mengubah izin yang ditentukan dalam kebijakan AWS terkelola. Jika AWS memperbarui izin yang ditentukan dalam kebijakan AWS terkelola, pembaruan akan memengaruhi semua identitas utama (pengguna, grup, dan peran) yang dilampirkan kebijakan tersebut. AWS kemungkinan besar akan memperbarui kebijakan ter AWS kelola ketika yang baru Layanan AWS diluncurkan atau operasi API baru tersedia untuk layanan yang ada.

Untuk informasi selengkapnya, lihat Kebijakan terkelola AWS dalam Panduan Pengguna IAM.

IAMReadOnlyAccess

Gunakan kebijakan ter IAMReadOnlyAccess kelola untuk mengizinkan akses baca saja ke sumber daya IAM. Kebijakan ini memberikan izin untuk mendapatkan dan mencantumkan semua sumber daya IAM. Ini memungkinkan melihat detail dan laporan aktivitas untuk pengguna, grup, peran, kebijakan, penyedia identitas, dan perangkat MFA. Ini tidak termasuk kemampuan untuk membuat atau menghapus sumber daya atau akses ke sumber daya Penganalisis Akses IAM. Lihat kebijakan untuk daftar lengkap layanan dan tindakan yang didukung oleh kebijakan ini.

IAMUserChangePassword

Gunakan kebijakan ter IAMUserChangePassword kelola untuk mengizinkan pengguna IAM mengubah kata sandi mereka.

Anda mengonfigurasi setelan Akun IAM dan kebijakan Kata Sandi untuk mengizinkan pengguna IAM mengubah kata sandi akun IAM mereka. Saat Anda mengizinkan tindakan ini, IAM melampirkan kebijakan ke setiap pengguna.

Untuk melihat kebijakan JSON, lihat IAMUserChangePassword di Panduan Referensi AWS Kebijakan Terkelola.

IAMAccessAnalyzerFullAccess

Gunakan kebijakan ter IAMAccessAnalyzerFullAccess AWS kelola untuk mengizinkan administrator mengakses Penganalisis Akses IAM.

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "access-analyzer:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "access-analyzer.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots"
      ],
      "Resource": "*"
    }
  ]
}

IAMAccessAnalyzerReadOnlyAccess

Gunakan kebijakan ter IAMAccessAnalyzerReadOnlyAccess AWS kelola untuk mengizinkan akses read-only ke IAM Access Analyzer.

Untuk juga mengizinkan akses read-only ke IAM Access Analyzer untuk AWS Organizations, buat kebijakan yang dikelola pelanggan yang mengizinkan tindakan Deskripsikan dan Daftar dari kebijakan terkel IAMAccessAnalyzerFullAccess AWS ola.

Service-level izin

Kebijakan ini menyediakan akses read-only ke IAM Access Analyzer. Tidak ada izin layanan lain yang disertakan dalam kebijakan ini.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "IAMAccessAnalyzerReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "access-analyzer:CheckAccessNotGranted",
        "access-analyzer:CheckNoNewAccess",
        "access-analyzer:Get*",
        "access-analyzer:List*",
        "access-analyzer:ValidatePolicy"
      ],
      "Resource": "*"
    }
  ]
}

AccessAnalyzerServiceRolePolicy

Anda tidak dapat melampirkan AccessAnalyzerServiceRolePolicy ke entitas IAM Anda. Kebijakan ini dilampirkan ke peran terkait layanan yang memungkinkan IAM Access Analyzer melakukan tindakan atas nama Anda. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk AWS Identity and Access Management dan Penganalisis Akses.

Pengelompokan izin

Kebijakan ini memungkinkan akses ke IAM Access Analyzer untuk menganalisis metadata sumber daya dari beberapa Layanan AWS sumber daya.

Untuk melihat kebijakan JSON, lihat AccessAnalyzerServiceRolePolicy di Panduan Referensi AWS Kebijakan Terkelola.

IAMAuditRootUserCredentials

Gunakan kebijakan IAMAuditRootUserCredentials AWS terkelola untuk mengurangi izin saat Anda melakukan tugas istimewa pada akun AWS Organizations anggota untuk mengaudit status kredensi pengguna root dari akun anggota. Anda dapat membuat daftar atau mendapatkan informasi kredensi pengguna root individu seperti:

Anda tidak dapat melampirkan IAMAuditRootUserCredentials ke entitas IAM Anda. Kebijakan ini dilampirkan AssumeRoot untuk melakukan tugas istimewa pada akun anggota di organisasi Anda. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

JSON

{
   "Version":"2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetAccountSummary",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyAuditingCredentialsOnNonRootUserResource",
         "Action": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices" ,
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"     
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      } 
   ]
}

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

IAMCreateRootUserPassword

Gunakan kebijakan IAMCreateRootUserPassword AWS terkelola untuk mengurangi izin saat Anda melakukan tugas istimewa pada akun AWS Organizations anggota untuk mengizinkan pemulihan kata sandi untuk akun anggota tanpa kredentif pengguna root.

Anda tidak dapat melampirkan IAMCreateRootUserPassword ke entitas IAM Anda. Kebijakan ini dilampirkan AssumeRoot untuk melakukan tugas istimewa pada akun anggota di organisasi Anda. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

JSON

{
   "Version":"2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyCreatingPasswordOnNonRootUserResource",
         "Action": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"   
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

IAMDeleteRootUserCredentials

Gunakan kebijakan IAMDeleteRootUserCredentials AWS terkelola untuk mengurangi izin saat Anda melakukan tugas istimewa pada akun AWS Organizations anggota untuk menghapus kredentif pengguna root termasuk kata sandi, kunci akses, sertifikat penandatanganan, dan menonaktifkan MFA. Izin tambahan diperlukan untuk tindakan istimewa ini, sehingga Anda dapat melihat informasi kredensi yang terakhir digunakan, memverifikasi informasi yang terakhir digunakan untuk pengguna root akun anggota, dan membuat daftar izin untuk semua kredensional pengguna root yang akan dihapus.

Anda tidak dapat melampirkan IAMDeleteRootUserCredentials ke entitas IAM Anda. Kebijakan ini dilampirkan AssumeRoot untuk melakukan tugas istimewa pada akun anggota di organisasi Anda. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "DenyAllOtherActionsOnAnyResource",
			"Effect": "Deny",
			"NotAction": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"Resource": "*"
		},
		{
			"Sid": "DenyDeletingRootUserCredentialsOnNonRootUserResource",
			"Effect": "Deny",
			"Action": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"NotResource": "arn:aws:iam::*:root"
		}
	]
}

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

S3UnlockBucketPolicy

Gunakan kebijakan S3UnlockBucketPolicy AWS terkelola untuk mengurangi izin saat Anda melakukan tugas istimewa pada akun AWS Organizations anggota untuk menghapus kebijakan bucket yang salah dikonfigurasi yang menolak semua prinsipal mengakses bucket Amazon S3.

Anda tidak dapat melampirkan S3UnlockBucketPolicy ke entitas IAM Anda. Kebijakan ini dilampirkan AssumeRoot untuk melakukan tugas istimewa pada akun anggota di organisasi Anda. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

JSON

{
   "Version":"2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyManagingBucketPolicyForNonRootCallers",
         "Action": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*",
         "Condition" : {
            "ArnNotLike" : {
               "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

SQSUnlockQueuePolicy

Gunakan kebijakan SQSUnlockQueuePolicy AWS terkelola untuk mengurangi izin saat Anda melakukan tugas istimewa pada akun AWS Organizations anggota untuk menghapus kebijakan berbasis sumber daya Amazon Simple Queue Service yang menolak semua kepala sekolah mengakses antrian Amazon SQS.

Anda tidak dapat melampirkan SQSUnlockQueuePolicy ke entitas IAM Anda. Kebijakan ini dilampirkan AssumeRoot untuk melakukan tugas istimewa pada akun anggota di organisasi Anda. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

Pengelompokan izin

Kebijakan ini dikelompokkan ke dalam pernyataan berdasarkan kumpulan izin yang diberikan.

AccountAccessManagerServiceRolePolicy

Anda tidak dapat melampirkan AccountAccessManagerServiceRolePolicy ke entitas IAM Anda. Kebijakan ini dilampirkan ke peran terkait layanan yang memungkinkan pengelola akses akun melakukan tindakan atas nama Anda. Untuk informasi selengkapnya, lihat Keamanan di manajer akses akun.

Service-level izin

Kebijakan ini memungkinkan pengelola akses akun untuk mengambil informasi tentang akun Organisasi Anda untuk mempertahankan keanggotaan akun yang akurat untuk manajemen akses. Manajer akses akun menggunakan izin ini untuk mendeteksi kapan akun meninggalkan organisasi Anda, memverifikasi apakah akses layanan tepercaya diaktifkan, dan mengonfirmasi status akun sebelum mengelola hak.

Untuk melihat kebijakan JSON, lihat AccountAccessManagerServiceRolePolicy di Panduan Referensi AWS Kebijakan Terkelola.

IAM, IAM Access Analyzer, dan pembaruan manajer akses akun ke AWS kebijakan terkelola

Lihat detail tentang pembaruan IAM dan kebijakan ter AWS kelola sejak layanan mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman riwayat Dokumen Penganalisis Akses IAM dan IAM.