View a markdown version of this page

Izin pengguna - Amazon Q Developer
Izinkan pengguna mengakses Amazon Q dengan langganan Amazon Q Developer ProIzinkan akses Amazon Q ke kunci yang dikelola pelangganIzinkan pengguna untuk mengobrol dengan Amazon QIzinkan pengguna menggunakan Amazon Q CLI dengan AWS CloudShellIzinkan pengguna untuk menjalankan transformasi pada baris perintahIzinkan pengguna mendiagnosis kesalahan konsol dengan Amazon QIzinkan pengguna membuat kode dari perintah CLI dengan Amazon QIzinkan pengguna untuk mengobrol tentang sumber daya dengan Amazon QIzinkan Amazon Q melakukan tindakan atas nama Anda dalam obrolanIzinkan pengguna menggunakan artefak Q di Amazon Q (pratinjau)Izinkan Amazon Q mengakses data biaya dan memberikan rekomendasi pengoptimalan biayaTolak izin Amazon Q untuk melakukan tindakan tertentu atas nama AndaIzinkan izin Amazon Q untuk melakukan tindakan tertentu atas nama AndaIzinkan izin Amazon Q untuk melakukan tindakan atas nama Anda di wilayah tertentuTolak izin Amazon Q untuk melakukan tindakan atas nama AndaIzinkan pengguna untuk mengobrol dengan plugin dari satu penyediaIzinkan pengguna untuk mengobrol dengan plugin tertentuTolak akses ke Amazon QIzinkan pengguna untuk melihat izin mereka

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Izin pengguna

Kebijakan berikut memungkinkan pengguna mengakses fitur Amazon Q Developer di AWS aplikasi dan situs web, termasuk Konsol Manajemen AWS, AWS Console Mobile Application, dan AWS Documentation situs.

Untuk kebijakan yang mengaktifkan akses administratif ke Amazon Q Developer, lihatIzin administrator.

catatan

Pengguna yang mengakses Amazon Q di IDE atau Amazon Q di baris perintah tidak memerlukan izin IAM.

Izinkan pengguna mengakses Amazon Q dengan langganan Amazon Q Developer Pro

Kebijakan contoh berikut memberikan izin untuk menggunakan Amazon Q dengan langganan Amazon Q Developer Pro. Tanpa izin ini, pengguna hanya dapat mengakses tingkat Gratis Amazon Q. Untuk mengobrol dengan Amazon Q atau menggunakan fitur Amazon Q lainnya, pengguna memerlukan izin tambahan, seperti yang diberikan oleh kebijakan contoh di bagian ini.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGetIdentity",
            "Effect": "Allow",
            "Action": [
                "q:GetIdentityMetaData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowSetTrustedIdentity",
            "Effect": "Allow",
            "Action": [
                "sts:SetContext"
            ],
            "Resource": "arn:aws:sts::*:self"
        }
    ]
}

Izinkan akses Amazon Q ke kunci yang dikelola pelanggan

Kebijakan contoh berikut memberikan izin kepada pengguna untuk mengakses fitur yang dienkripsi dengan kunci yang dikelola pelanggan dengan mengizinkan akses Amazon Q ke kunci tersebut. Kebijakan ini diperlukan untuk menggunakan Amazon Q jika administrator telah menyiapkan kunci yang dikelola pelanggan untuk enkripsi.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "QKMSDecryptGenerateDataKeyPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Resource": [
            "arn:aws:kms:us-east-1:111122223333:key/key_id"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                    "q.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Izinkan pengguna untuk mengobrol dengan Amazon Q

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q di konsol.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAmazonQConversationAccess",
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan pengguna menggunakan Amazon Q CLI dengan AWS CloudShell

Kebijakan contoh berikut memberikan izin untuk menggunakan Amazon Q CLI dengan AWS CloudShell.

catatan

A codewhisperer walan adalah nama warisan dari layanan yang digabungkan dengan Amazon Q Developer. Untuk informasi selengkapnya, lihat Ganti nama Pengembang Amazon Q - Ringkasan perubahan.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "codewhisperer:GenerateRecommendations",
                "codewhisperer:ListCustomizations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "q:StartConversation",
                "q:SendMessage"
            ],
            "Resource": "*"
        }
    ]
}

Izinkan pengguna untuk menjalankan transformasi pada baris perintah

Kebijakan contoh berikut memberikan izin untuk mengubah kode dengan alat baris perintah Amazon Q untuk transformasi. Kebijakan ini tidak memengaruhi akses ke Amazon Q pada baris perintah.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
              "qdeveloper:StartAgentSession",
              "qdeveloper:ImportArtifact",
              "qdeveloper:ExportArtifact",
              "qdeveloper:TransformCode"
            ],
            "Resource": "*"
        }
    ]
}

Izinkan pengguna mendiagnosis kesalahan konsol dengan Amazon Q

Kebijakan contoh berikut memberikan izin untuk mendiagnosis kesalahan konsol dengan Amazon Q.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAmazonQTroubleshooting",
      "Effect": "Allow",
      "Action": [
        "q:StartTroubleshootingAnalysis",
        "q:GetTroubleshootingResults",
        "q:StartTroubleshootingResolutionExplanation",
        "q:UpdateTroubleshootingCommandResult",
        "q:PassRequest",
        "cloudformation:GetResource"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan pengguna membuat kode dari perintah CLI dengan Amazon Q

Kebijakan contoh berikut memberikan izin untuk menghasilkan kode dari perintah CLI yang direkam dengan Amazon Q, yang memungkinkan penggunaan Console-to-Code fitur tersebut.

JSON
{
   "Version":"2012-10-17",
   "Statement": [
       {
         "Sid": "AllowAmazonQConsoleToCode",
         "Effect": "Allow",
         "Action": "q:GenerateCodeFromCommands",
         "Resource": "*"
       }
   ]
}

Izinkan pengguna untuk mengobrol tentang sumber daya dengan Amazon Q

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q tentang sumber daya, dan memungkinkan Amazon Q mengambil informasi sumber daya atas nama Anda. Amazon Q hanya memiliki izin untuk mengakses sumber daya yang memiliki izin identitas IAM Anda.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAmazonQPassRequest",
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation",
        "q:PassRequest"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowCloudControlReadAccess",
      "Effect": "Allow",
      "Action": [
         "cloudformation:GetResource",
         "cloudformation:ListResources"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan Amazon Q melakukan tindakan atas nama Anda dalam obrolan

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q, dan memungkinkan Amazon Q melakukan tindakan atas nama Anda. Amazon Q hanya memiliki izin untuk melakukan tindakan yang diizinkan untuk dilakukan oleh identitas IAM Anda.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAmazonQPassRequest",
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation",
        "q:PassRequest"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan pengguna menggunakan artefak Q di Amazon Q (pratinjau)

Kebijakan contoh berikut memberikan izin untuk menggunakan artefak Amazon Q, yang memungkinkan Anda menyelesaikan pekerjaan multi-layanan di Amazon Q. Kebijakan ini mencakup izin untuk Amazon Q, IAM, dan. CloudFormation

Selain izin ini, Anda harus memiliki akses ke sumber daya yang Anda tanyakan. Amazon Q tidak akan pernah mengakses sumber daya yang tidak dapat diakses oleh identitas IAM Anda.

penting

Kebijakan contoh ini mencakup tindakan IAM (iam:CreateRole,, iam:CreatePolicyiam:AttachRolePolicy, daniam:PutRolePolicy) dengan sumber daya tak terbatas. Beberapa alur kerja Amazon Q menyertakan langkah-langkah yang membuat atau mengonfigurasi peran IAM sebagai bagian dari menghubungkan layanan AWS (misalnya, membuat peran yang memberikan akses instans EC2 ke S3). Izin ini diperlukan agar langkah-langkah tersebut dapat dijalankan dengan sukses. Jika identitas Anda sudah memiliki akses administrator, izin ini sudah diberikan. Untuk identitas non-administrator, hanya berikan kebijakan ini kepada pengguna tepercaya di akun Anda. Jika Anda tidak memerlukan alur kerja yang membuat atau mengubah peran IAM, Anda dapat menghapus tindakan IAM dari kebijakan ini — langkah-langkah yang memerlukan izin IAM akan menampilkan kesalahan izin.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AllowAmazonQPassRequest",
            "Effect": "Allow",
            "Action": [
                "q:StartConversation",
                "q:SendMessage",
                "q:GetConversation",
                "q:ListConversations",
                "q:UpdateConversation",
                "q:DeleteConversation",
                "q:PassRequest"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowQArtifactsAccess",
            "Effect": "Allow",
            "Action": [
                "q:GetArtifact",
                "q:CreateArtifact",
                "q:GetArtifactActionResult",
                "q:PerformArtifactAction",
                "iam:CreateRole",
                "iam:CreatePolicy",
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy",
                "cloudformation:GetResource",
                "cloudformation:ListResources",
                "cloudformation:CancelResourceRequest",
                "cloudformation:CreateResource",
                "cloudformation:GetResourceRequestStatus",
                "cloudformation:ListResourceRequests",
                "cloudformation:UpdateResource"
            ],
            "Resource": "*"
        }
    ]
}

Izinkan Amazon Q mengakses data biaya dan memberikan rekomendasi pengoptimalan biaya

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q tentang biaya Anda dan memungkinkan Amazon Q mengakses data biaya Anda dan memberikan analisis biaya dan rekomendasi pengoptimalan. Kebijakan ini mencakup izin untuk AWS Cost Explorer, AWS Cost Optimization Hub, AWS Compute Optimizer, AWS Budgets, AWS Free Tier, AWS Pricing, dan Rencana Tabungan dan rekomendasi reservasi.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAmazonQChatAndPassRequest",
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation",
        "q:PassRequest"
      ],
      "Resource": "*"
   },
    {
      "Sid": "AllowCostExplorerAccess",
      "Effect": "Allow",
      "Action": [
        "ce:GetCostAndUsage",
        "ce:GetCostAndUsageWithResources",
        "ce:GetCostForecast",
        "ce:GetUsageForecast",
        "ce:GetTags",
        "ce:GetCostCategories",
        "ce:GetDimensionValues",
        "ce:GetSavingsPlansUtilization",
        "ce:GetSavingsPlansCoverage",
        "ce:GetSavingsPlansUtilizationDetails",
        "ce:GetReservationUtilization",
        "ce:GetReservationCoverage",
        "ce:GetSavingsPlansPurchaseRecommendation",
        "ce:GetReservationPurchaseRecommendation",
        "ce:GetRightsizingRecommendation",
        "ce:GetAnomalies",
       "ce:GetCostAndUsageComparisons",
       "ce:GetCostComparisonDrivers"
      ],
      "Resource": "*"
   },
    {
      "Sid": "AllowCostOptimizationHubAccess",
      "Effect": "Allow",
      "Action": [
        "cost-optimization-hub:GetRecommendation",
        "cost-optimization-hub:ListRecommendations",
        "cost-optimization-hub:ListRecommendationSummaries"
      ],
      "Resource": "*"
   },
    {
      "Sid": "AllowComputeOptimizerAccess",
      "Effect": "Allow",
      "Action": [
        "compute-optimizer:GetAutoScalingGroupRecommendations",
        "compute-optimizer:GetEBSVolumeRecommendations",
        "compute-optimizer:GetEC2InstanceRecommendations",
        "compute-optimizer:GetECSServiceRecommendations",
        "compute-optimizer:GetRDSDatabaseRecommendations",
        "compute-optimizer:GetLambdaFunctionRecommendations",
        "compute-optimizer:GetIdleRecommendations",
        "compute-optimizer:GetLicenseRecommendations",
        "compute-optimizer:GetEffectiveRecommendationPreferences"
      ],
      "Resource": "*"
   },
    {
      "Sid": "AllowBudgetsAccess",
      "Effect": "Allow",
      "Action": [
        "budgets:ViewBudget"
      ],
      "Resource": "*"
   },
    {
      "Sid": "AllowFreeTierAccess",
      "Effect": "Allow",
      "Action": [
        "freetier:GetFreeTierUsage",
        "freetier:GetAccountPlanState",
        "freetier:ListAccountActivities",
       "freetier:GetAccountActivity"
      ],
      "Resource": "*"
   },
    {
      "Sid": "AllowPricingAccess",
      "Effect": "Allow",
      "Action": [
        "pricing:GetProducts",
        "pricing:GetAttributeValues",
        "pricing:DescribeServices"
      ],
      "Resource": "*"
   }
  ]
}

Tolak izin Amazon Q untuk melakukan tindakan tertentu atas nama Anda

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q, dan mengizinkan Amazon Q melakukan tindakan apa pun atas nama Anda yang diizinkan untuk dilakukan oleh identitas IAM Anda, kecuali untuk tindakan Amazon EC2. Kebijakan ini menggunakan kunci kondisi aws:CalledVia global untuk menentukan bahwa tindakan Amazon EC2 hanya ditolak saat Amazon Q memanggilnya.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation",
        "q:PassRequest"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "ec2:*"
      ],
      "Resource": "*",
      "Condition": {
            "ForAnyValue:StringEquals": {
               "aws:CalledVia": ["q.amazonaws.com"]
            }
       }
    }
  ]
}

Izinkan izin Amazon Q untuk melakukan tindakan tertentu atas nama Anda

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q, dan mengizinkan Amazon Q melakukan tindakan apa pun atas nama Anda yang diizinkan untuk dilakukan oleh identitas IAM Anda, kecuali tindakan Amazon EC2. Kebijakan ini memberikan izin identitas IAM Anda untuk melakukan tindakan Amazon EC2 apa pun, tetapi hanya mengizinkan Amazon Q untuk melakukan tindakan tersebutec2:describeInstances. Kebijakan ini menggunakan kunci kondisi aws:CalledVia global untuk menentukan bahwa Amazon Q hanya diizinkan memanggilec2:describeInstances, dan bukan tindakan Amazon EC2 lainnya.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation",
        "q:PassRequest"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": "*",
      "Condition": {
            "ForAnyValue:StringNotEquals": {
               "aws:CalledVia": ["q.amazonaws.com"]
            }
       }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:describeInstances"
      ],
      "Resource": "*",
       "Condition": {
            "ForAnyValue:StringEquals": {
               "aws:CalledVia": ["q.amazonaws.com"]
            }
       }
    }
  ]
}

Izinkan izin Amazon Q untuk melakukan tindakan atas nama Anda di wilayah tertentu

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan Amazon Q, dan memungkinkan Amazon Q untuk melakukan panggilan hanya ke us-east-1 dan Wil us-west-2 ayah saat melakukan tindakan atas nama Anda. Amazon Q tidak dapat melakukan panggilan ke Wilayah lain. Untuk informasi selengkapnya tentang cara menentukan Wilayah mana yang dapat Anda lakukan panggilan, lihat aws: RequestedRegion di Panduan AWS Identity and Access Management Pengguna.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "q:StartConversation",
        "q:SendMessage",
        "q:GetConversation",
        "q:ListConversations",
        "q:UpdateConversation",
        "q:DeleteConversation",
        "q:PassRequest"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
            "aws:RequestedRegion": [ 
                "us-east-1", 
                "us-west-2"
            ] 
        } 
      }
    }
  ]
}

Tolak izin Amazon Q untuk melakukan tindakan atas nama Anda

Kebijakan contoh berikut mencegah Amazon Q melakukan tindakan atas nama Anda.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQPassRequest",
      "Effect": "Deny",
      "Action": [
        "q:PassRequest"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan pengguna untuk mengobrol dengan plugin dari satu penyedia

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan plugin apa pun dari penyedia tertentu yang dikonfigurasi administrator, ditentukan oleh plugin ARN dengan nama penyedia plugin dan karakter wildcard ()*. Jika plugin dihapus dan dikonfigurasi ulang, pengguna dengan izin ini akan mempertahankan akses ke plugin yang baru dikonfigurasi. Untuk menggunakan kebijakan ini, ganti yang berikut di ARN di Resource bidang:

  • AWS-region— Wilayah AWS Tempat plugin dibuat.

  • AWS-account-ID— ID AWS akun akun tempat plugin Anda dikonfigurasi.

  • plugin-provider— Nama penyedia plugin yang ingin Anda izinkan akses ke, sepertiCloudZero,Datadog, atauWiz. Bidang penyedia plugin peka huruf besar/kecil.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAmazonQConversationAccess",
            "Effect": "Allow",
            "Action": [
                "q:StartConversation",
                "q:SendMessage",
                "q:GetConversation",
                "q:ListConversations",
                "q:UpdateConversation",
                "q:DeleteConversation"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowAmazonQPluginAccess",
            "Effect": "Allow",
            "Action": [
                "q:UsePlugin"
            ],
            "Resource": "arn:aws:qdeveloper:us-east-1:111122223333:plugin/plugin-provider/*"
        }
    ]
}

Izinkan pengguna untuk mengobrol dengan plugin tertentu

Kebijakan contoh berikut memberikan izin untuk mengobrol dengan plugin tertentu, yang ditentukan oleh plugin ARN. Jika plugin dihapus dan dikonfigurasi ulang, pengguna tidak akan memiliki akses ke plugin baru kecuali plugin ARN diperbarui dalam kebijakan ini. Untuk menggunakan kebijakan ini, ganti yang berikut di ARN di Resource bidang:

  • AWS-region— Wilayah AWS Tempat plugin dibuat.

  • AWS-account-ID— ID AWS akun akun tempat plugin Anda dikonfigurasi.

  • plugin-provider— Nama penyedia plugin yang ingin Anda izinkan akses ke, sepertiCloudZero,Datadog, atauWiz. Bidang penyedia plugin peka huruf besar/kecil.

  • plugin-ARN— ARN plugin yang ingin Anda izinkan aksesnya.

Tolak akses ke Amazon Q

Kebijakan contoh berikut menolak semua izin untuk menggunakan Amazon Q.

catatan

Saat Anda menolak akses ke Amazon Q, ikon Amazon Q dan panel obrolan akan tetap muncul di AWS konsol, AWS situs web, halaman AWS dokumentasi, atau AWS Console Mobile Application.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan pengguna untuk melihat izin mereka

Contoh ini menunjukkan cara membuat kebijakan yang mengizinkan pengguna IAM melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}