Batasi transfer data di seluruh Wilayah AWS - AWS Bimbingan Preskriptif

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Batasi transfer data di seluruh Wilayah AWS

Survei

Kami akan senang mendengar dari Anda. Harap berikan umpan balik tentang AWS PRA dengan mengikuti survei singkat.

Dengan pengecualian dua peran AWS Identity and Access Management (IAM), kebijakan kontrol layanan ini menolak panggilan API ke regional Layanan AWS Wilayah AWS selain eu-west-1 dan. eu-central-1 SCP ini dapat membantu mencegah pembuatan layanan AWS penyimpanan dan pemrosesan di Wilayah yang tidak disetujui. Ini dapat membantu mencegah data pribadi ditangani oleh Layanan AWS di Wilayah tersebut sama sekali. Kebijakan ini menggunakan NotAction parameter karena menyumbang global Layanan AWS, seperti IAM, dan layanan yang terintegrasi dengan layanan global, seperti AWS Key Management Service (AWS KMS) dan Amazon CloudFront. Dalam nilai parameter, Anda dapat menentukan layanan global dan layanan lain yang tidak berlaku sebagai pengecualian. Untuk informasi selengkapnya tentang bagaimana kebijakan ini dapat membantu melindungi privasi dan data pribadi di organisasi Anda, lihat AWS Organizations di panduan ini.

{
    "Version": "2012-10-17",		 	 	 		 	 	 
    "Statement": [
        {
            "Sid": "DenyAllOutsideEU",
            "Effect": "Deny",
            "NotAction": [
                "a4b:*",
                "acm:*",
                "aws-marketplace-management:*",
                "aws-marketplace:*",
                "aws-portal:*",
                "budgets:*",
                "ce:*",
                "chime:*",
                "cloudfront:*",
                "config:*",
                "cur:*",
                "directconnect:*",
                "ec2:DescribeRegions",
                "ec2:DescribeTransitGateways",
                "ec2:DescribeVpnGateways",
                "fms:*",
                "globalaccelerator:*",
                "health:*",
                "iam:*",
                "importexport:*",
                "kms:*",
                "mobileanalytics:*",
                "networkmanager:*",
                "organizations:*",
                "pricing:*",
                "route53:*",
                "route53domains:*",
                "route53-recovery-cluster:*",
                "route53-recovery-control-config:*",
                "route53-recovery-readiness:*",
                "s3:GetAccountPublic*",
                "s3:ListAllMyBuckets",
                "s3:ListMultiRegionAccessPoints",
                "s3:PutAccountPublic*",
                "shield:*",
                "sts:*",
                "support:*",
                "trustedadvisor:*",
                "waf-regional:*",
                "waf:*",
                "wafv2:*",
                "wellarchitected:*"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestedRegion": [
                        "eu-central-1",
                        "eu-west-1"
                    ]
                },
                "ArnNotLike": {
                    "aws:PrincipalARN": [
                        "arn:aws:iam::*:role/Role1AllowedToBypassThisSCP",
                        "arn:aws:iam::*:role/Role2AllowedToBypassThisSCP"
                    ]
                }
            }
        }
    ]
}