View a markdown version of this page

Konfigurasikan izin IAM yang diperlukan untuk menggunakan konsol DataZone manajemen Amazon - Amazon DataZone
Melampirkan kebijakan wajib dan opsional ke pengguna, grup, atau peran untuk akses konsol manajemenMembuat kebijakan khusus untuk izin IAM untuk mengaktifkan pembuatan peran yang disederhanakan konsol layanan manajemenMembuat kebijakan khusus untuk izin mengelola akun yang terkait dengan domain(Opsional) Buat kebijakan khusus untuk izin Pusat AWS Identitas untuk menambah dan menghapus pengguna SSO dan akses grup SSO ke domain(Opsional) Tambahkan prinsipal IAM Anda sebagai pengguna kunci untuk membuat domain Anda dengan kunci yang dikelola pelanggan dari KMS AWS

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasikan izin IAM yang diperlukan untuk menggunakan konsol DataZone manajemen Amazon

Untuk mengakses dan mengonfigurasi DataZone domain, cetak biru, dan pengguna Amazon Anda, dan untuk membuat portal DataZone data Amazon, Anda harus menggunakan konsol manajemen Amazon. DataZone

Anda harus menyelesaikan prosedur berikut untuk mengonfigurasi izin and/or opsional yang diperlukan untuk setiap pengguna, grup, atau peran yang ingin menggunakan konsol DataZone manajemen Amazon.

Melampirkan kebijakan wajib dan opsional ke pengguna, grup, atau peran untuk akses DataZone konsol Amazon

Selesaikan prosedur berikut untuk melampirkan kebijakan kustom yang diperlukan dan opsional ke pengguna, grup, atau peran. Untuk informasi selengkapnya, lihat AWS kebijakan terkelola untuk Amazon DataZone.

  1. Masuk ke Konsol AWS Manajemen dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi, pilih Kebijakan.

  3. Pilih kebijakan berikut untuk dilampirkan ke pengguna, grup, atau peran Anda.

  4. Pilih Tindakan, lalu pilih Lampirkan.

  5. Pilih pengguna, grup, atau peran yang ingin Anda lampirkan kebijakan. Anda bisa menggunakan menu Filter dan kotak pencarian untuk mem-filter daftar entitas utama. Setelah memilih pengguna, grup, atau peran, pilih Lamp irkan kebijakan.

Buat kebijakan khusus untuk izin IAM untuk mengaktifkan pembuatan peran yang disederhanakan konsol DataZone layanan Amazon

Selesaikan prosedur berikut untuk membuat kebijakan sebaris khusus agar memiliki izin yang diperlukan DataZone agar Amazon dapat membuat peran yang diperlukan di konsol AWS manajemen atas nama Anda.

catatan

Untuk informasi praktik terbaik tentang mengonfigurasi izin untuk memungkinkan pembuatan peran layanan, lihat https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Masuk ke Konsol AWS Manajemen dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi, pilih Pengguna atau Grup pengguna.

  3. Dalam daftar, pilih nama pengguna atau grup untuk menyematkan kebijakan.

  4. Pilih tab Izin dan, jika diperlukan, perluas bagian Kebijakan izin.

  5. Pilih Tambah izin dan Buat tautan kebijakan sebaris.

  6. Pada layar Buat Kebijakan, di bagian Editor Kebijakan, pilih JSON.

    Buat dokumen kebijakan dengan pernyataan JSON berikut, lalu pilih Ber ikutnya.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        }
    ]
}

  7. Pada layar Kebijakan Tinjauan, masukkan nama untuk kebijakan tersebut. Jika Anda puas dengan kebijakan ini, pilih Buat kebijakan. Pastikan bahwa tidak ada kesalahan yang muncul di kotak merah yang ada di bagian atas layar. Perbaiki apapun yang dilaporkan.

Buat kebijakan khusus untuk izin mengelola akun yang terkait dengan DataZone domain Amazon

Selesaikan prosedur berikut untuk membuat kebijakan sebaris kustom agar memiliki izin yang diperlukan di AWS akun terkait untuk membuat daftar, menerima, dan menolak pembagian sumber daya domain, lalu mengaktifkan, mengonfigurasi, dan menonaktifkan cetak biru lingkungan di akun terkait. Untuk mengaktifkan pembuatan peran yang disederhanakan konsol DataZone layanan Amazon opsional yang tersedia selama konfigurasi cetak biru, Anda juga Buat kebijakan khusus untuk izin IAM untuk mengaktifkan pembuatan peran yang disederhanakan konsol DataZone layanan Amazon harus melakukannya.

catatan

Untuk informasi praktik terbaik tentang mengonfigurasi izin untuk memungkinkan pembuatan peran layanan, lihat https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Masuk ke Konsol AWS Manajemen dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi, pilih Pengguna atau Grup pengguna.

  3. Dalam daftar, pilih nama pengguna atau grup untuk menyematkan kebijakan.

  4. Pilih tab Izin dan, jika diperlukan, perluas bagian Kebijakan izin.

  5. Pilih Tambah izin dan Buat tautan kebijakan sebaris.

  6. Pada layar Buat Kebijakan, di bagian Editor Kebijakan, pilih JSON. Buat dokumen kebijakan dengan pernyataan JSON berikut, lalu pilih Ber ikutnya.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "datazone:ListEnvironmentBlueprintConfigurations",
                "datazone:PutEnvironmentBlueprintConfiguration",
                "datazone:GetDomain",
                "datazone:ListDomains",
                "datazone:GetEnvironmentBlueprintConfiguration",
                "datazone:ListEnvironmentBlueprints",
                "datazone:GetEnvironmentBlueprint",
                "datazone:ListAccountEnvironments",
                "datazone:DeleteEnvironmentBlueprintConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::*:role/AmazonDataZone",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "datazone.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:RejectResourceShareInvitation",
                "ram:GetResourceShareInvitations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::amazon-datazone*"
        }
    ]
}

  7. Pada layar Kebijakan Tinjauan, masukkan nama untuk kebijakan tersebut. Jika Anda puas dengan kebijakan ini, pilih Buat kebijakan. Pastikan bahwa tidak ada kesalahan yang muncul di kotak merah yang ada di bagian atas layar. Perbaiki apapun yang dilaporkan.

(Opsional) Buat kebijakan khusus untuk AWS Izin Pusat Identitas untuk menambah dan menghapus pengguna SSO dan akses grup SSO ke domain Amazon DataZone

Selesaikan prosedur berikut untuk membuat kebijakan sebaris khusus agar memiliki izin yang diperlukan untuk menambah dan menghapus pengguna SSO dan akses grup SSO ke domain Amazon DataZone Anda.

  1. Masuk ke Konsol AWS Manajemen dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi, pilih Pengguna atau Grup pengguna.

  3. Dalam daftar, pilih nama pengguna atau grup untuk menyematkan kebijakan.

  4. Pilih tab Izin dan, jika diperlukan, perluas bagian Kebijakan izin.

  5. Pilih Tambah izin dan Buat kebijakan sebaris.

  6. Pada layar Buat Kebijakan, di bagian Editor Kebijakan, pilih JSON.

    Buat dokumen kebijakan dengan pernyataan JSON berikut, lalu pilih Ber ikutnya.

    JSON
    
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sso:GetManagedApplicationInstance",
        "sso:ListProfiles",
        "sso:AssociateProfile",
        "sso:DisassociateProfile",
        "sso:GetProfile"
      ],
      "Resource": "*"
    }
  ]
}

  7. Pada layar Kebijakan Tinjauan, masukkan nama untuk kebijakan tersebut. Jika Anda puas dengan kebijakan ini, pilih Buat kebijakan. Pastikan bahwa tidak ada kesalahan yang muncul di kotak merah yang ada di bagian atas layar. Perbaiki apapun yang dilaporkan.

(Opsional) Tambahkan prinsipal IAM Anda sebagai pengguna kunci untuk membuat DataZone domain Amazon Anda dengan kunci yang dikelola pelanggan dari AWS Layanan Manajemen Kunci (KMS)

Sebelum Anda dapat membuat DataZone domain Amazon secara opsional dengan kunci yang dikelola pelanggan (CMK) dari Layanan Manajemen Kunci (KMS), selesaikan prosedur berikut untuk menjadikan prinsipal IAM Anda pengguna AWS kunci KMS Anda.

  1. Masuk ke Konsol AWS Manajemen dan buka konsol KMS di https://console.aws.amazon.com/kms/.

  2. Untuk melihat tombol di akun yang Anda buat dan kelola, di panel navigasi pilih CMK.

  3. Dalam daftar kunci KMS, pilih alias atau ID kunci dari kunci KMS yang ingin Anda periksa.

  4. Untuk menambah atau menghapus pengguna kunci, dan untuk mengizinkan atau AWS melarang akun eksternal menggunakan kunci KMS, gunakan kontrol di bagian Pengguna kunci halaman. Pengguna kunci dapat menggunakan kunci KMS dalam operasi kriptografi, seperti mengenkripsi, mendekripsi, mengenkripsi ulang, dan menghasilkan kunci data.