Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Identity-based contoh kebijakan untuk Pusat Identitas IAM
Topik ini memberikan contoh kebijakan IAM yang dapat Anda buat untuk memberikan izin kepada pengguna dan peran untuk mengelola Pusat Identitas IAM.
Bagian dalam topik ini membahas hal berikut:
Contoh kebijakan kustom
Bagian ini memberikan contoh kasus penggunaan umum yang memerlukan kebijakan IAM khusus. Kebijakan contoh ini adalah kebijakan berbasis identitas, yang tidak menentukan elemen Principal. Ini karena dengan kebijakan berbasis identitas, Anda tidak menentukan kepala sekolah yang mendapatkan izin. Sebagai gantinya, Anda melampirkan kebijakan ke kepala sekolah. Saat Anda melampirkan kebijakan izin berbasis identitas ke peran IAM, prinsipal yang diidentifikasi dalam kebijakan kepercayaan peran akan mendapatkan izin tersebut. Anda dapat membuat kebijakan berbasis identitas di IAM dan melampirkannya ke pengguna, grup, peran. and/or Anda juga dapat menerapkan kebijakan ini ke pengguna Pusat Identitas IAM saat membuat kumpulan izin di Pusat Identitas IAM.
Gunakan contoh ini saat Anda membuat kebijakan untuk lingkungan Anda dan pastikan untuk menguji kasus uji positif (“akses diberikan”) dan negatif (“akses ditolak”) sebelum Anda menerapkan kebijakan ini di lingkungan produksi Anda. Untuk informasi selengkapnya tentang pengujian kebijakan IAM, lihat Menguji kebijakan IAM dengan simulator kebijakan IAM di Panduan Pengguna IAM.
Contoh 1: Izinkan pengguna untuk melihat Pusat Identitas IAM
Kebijakan izin berikut memberikan izin baca-saja kepada pengguna sehingga pengguna dapat melihat semua pengaturan dan informasi direktori yang dikonfigurasi di Pusat Identitas IAM.
Kebijakan ini disediakan untuk tujuan contoh saja. Di lingkungan produksi, sebaiknya gunakan kebijakan terkel ViewOnlyAccess AWS ola untuk Pusat Identitas IAM.
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"ds:DescribeDirectories",
"ds:DescribeTrusts",
"iam:ListPolicies",
"organizations:DescribeOrganization",
"organizations:DescribeAccount",
"organizations:ListParents",
"organizations:ListChildren",
"organizations:ListAccounts",
"organizations:ListRoots",
"organizations:ListAccountsForParent",
"organizations:ListDelegatedAdministrators",
"organizations:ListOrganizationalUnitsForParent",
"sso:ListManagedPoliciesInPermissionSet",
"sso:ListPermissionSetsProvisionedToAccount",
"sso:ListAccountAssignments",
"sso:ListAccountsForProvisionedPermissionSet",
"sso:ListPermissionSets",
"sso:DescribePermissionSet",
"sso:GetInlinePolicyForPermissionSet",
"sso-directory:DescribeDirectory",
"sso-directory:SearchUsers",
"sso-directory:SearchGroups"
],
"Resource": "*"
}
]
}
Contoh 2: Izinkan pengguna untuk mengelola izin Akun AWS di Pusat Identitas IAM
Kebijakan izin berikut memberikan izin untuk mengizinkan pengguna membuat, mengelola, dan menerapkan kumpulan izin untuk Anda Akun AWS.
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sso:AttachManagedPolicyToPermissionSet",
"sso:CreateAccountAssignment",
"sso:CreatePermissionSet",
"sso:DeleteAccountAssignment",
"sso:DeleteInlinePolicyFromPermissionSet",
"sso:DeletePermissionSet",
"sso:DetachManagedPolicyFromPermissionSet",
"sso:ProvisionPermissionSet",
"sso:PutInlinePolicyToPermissionSet",
"sso:UpdatePermissionSet"
],
"Resource": "*"
},
{
"Sid": "IAMListPermissions",
"Effect": "Allow",
"Action": [
"iam:ListRoles",
"iam:ListPolicies"
],
"Resource": "*"
},
{
"Sid": "AccessToSSOProvisionedRoles",
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:CreateRole",
"iam:DeleteRole",
"iam:DeleteRolePolicy",
"iam:DetachRolePolicy",
"iam:GetRole",
"iam:ListAttachedRolePolicies",
"iam:ListRolePolicies",
"iam:PutRolePolicy",
"iam:UpdateRole",
"iam:UpdateRoleDescription"
],
"Resource": "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/*"
},
{
"Effect": "Allow",
"Action": [
"iam:GetSAMLProvider"
],
"Resource": "arn:aws:iam::*:saml-provider/AWSSSO_*_DO_NOT_DELETE"
}
]
}
Izin tambahan yang tercantum di bawah "Sid": "AccessToSSOProvisionedRoles" bagian"Sid": "IAMListPermissions", dan diperlukan hanya untuk memungkinkan pengguna membuat tugas di akun AWS Organizations manajemen. Dalam kasus tertentu, Anda mungkin juga perlu menambahkan iam:UpdateSAMLProvider ke bagian ini.
Contoh 3: Izinkan pengguna mengelola aplikasi di Pusat Identitas IAM
Kebijakan izin berikut memberikan izin untuk memungkinkan pengguna melihat dan mengonfigurasi aplikasi di Pusat Identitas IAM, termasuk aplikasi SaaS pra-terintegrasi dari dalam katalog Pusat Identitas IAM.
sso:AssociateProfileOperasi yang digunakan dalam contoh kebijakan berikut diperlukan untuk pengelolaan penugasan pengguna dan grup ke aplikasi. Hal ini juga memungkinkan pengguna untuk menetapkan pengguna dan grup Akun AWS dengan menggunakan kumpulan izin yang ada. Jika pengguna harus mengelola Akun AWS akses dalam Pusat Identitas IAM, dan memerlukan izin yang diperlukan untuk mengelola kumpulan izin, lihatContoh 2: Izinkan pengguna untuk mengelola izin Akun AWS di Pusat Identitas IAM.
Pada Oktober 2020, banyak dari operasi ini hanya tersedia melalui AWS
konsol. Kebijakan contoh ini mencakup tindakan “baca” seperti daftar, dapatkan, dan pencarian, yang relevan dengan pengoperasian konsol bebas kesalahan untuk kasus ini.
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sso:AssociateProfile",
"sso:CreateApplicationInstance",
"sso:ImportApplicationInstanceServiceProviderMetadata",
"sso:DeleteApplicationInstance",
"sso:DeleteProfile",
"sso:DisassociateProfile",
"sso:GetApplicationTemplate",
"sso:UpdateApplicationInstanceServiceProviderConfiguration",
"sso:UpdateApplicationInstanceDisplayData",
"sso:DeleteManagedApplicationInstance",
"sso:UpdateApplicationInstanceStatus",
"sso:GetManagedApplicationInstance",
"sso:UpdateManagedApplicationInstanceStatus",
"sso:CreateManagedApplicationInstance",
"sso:UpdateApplicationInstanceSecurityConfiguration",
"sso:UpdateApplicationInstanceResponseConfiguration",
"sso:GetApplicationInstance",
"sso:CreateApplicationInstanceCertificate",
"sso:UpdateApplicationInstanceResponseSchemaConfiguration",
"sso:UpdateApplicationInstanceActiveCertificate",
"sso:DeleteApplicationInstanceCertificate",
"sso:ListApplicationInstanceCertificates",
"sso:ListApplicationTemplates",
"sso:ListApplications",
"sso:ListApplicationInstances",
"sso:ListDirectoryAssociations",
"sso:ListProfiles",
"sso:ListProfileAssociations",
"sso:ListInstances",
"sso:GetProfile",
"sso:GetSSOStatus",
"sso:GetSsoConfiguration",
"sso-directory:DescribeDirectory",
"sso-directory:DescribeUsers",
"sso-directory:ListMembersInGroup",
"sso-directory:SearchGroups",
"sso-directory:SearchUsers"
],
"Resource": "*"
}
]
}
Contoh 4: Izinkan pengguna mengelola pengguna dan grup di direktori Pusat Identitas Anda
Kebijakan izin berikut memberikan izin untuk mengizinkan pengguna membuat, melihat, memodifikasi, dan menghapus pengguna dan grup di Pusat Identitas IAM.
Dalam beberapa kasus, modifikasi langsung ke pengguna dan grup di Pusat Identitas IAM dibatasi. Misalnya, ketika Active Directory, atau penyedia identitas eksternal dengan Penyediaan Otomatis diaktifkan, dipilih sebagai sumber identitas.
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sso-directory:ListGroupsForUser",
"sso-directory:DisableUser",
"sso-directory:EnableUser",
"sso-directory:SearchGroups",
"sso-directory:DeleteGroup",
"sso-directory:AddMemberToGroup",
"sso-directory:DescribeDirectory",
"sso-directory:UpdateUser",
"sso-directory:ListMembersInGroup",
"sso-directory:CreateUser",
"sso-directory:DescribeGroups",
"sso-directory:SearchUsers",
"sso:ListDirectoryAssociations",
"sso-directory:RemoveMemberFromGroup",
"sso-directory:DeleteUser",
"sso-directory:DescribeUsers",
"sso-directory:UpdateGroup",
"sso-directory:CreateGroup"
],
"Resource": "*"
}
]
}
Izin diperlukan untuk menggunakan konsol Pusat Identitas IAM
Agar pengguna dapat bekerja dengan konsol Pusat Identitas IAM tanpa kesalahan, izin tambahan diperlukan. Jika kebijakan IAM telah dibuat yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana dimaksudkan untuk pengguna dengan kebijakan tersebut. Contoh berikut mencantumkan kumpulan izin yang mungkin diperlukan untuk memastikan operasi bebas kesalahan dalam konsol Pusat Identitas IAM.
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sso:DescribeAccountAssignmentCreationStatus",
"sso:DescribeAccountAssignmentDeletionStatus",
"sso:DescribePermissionSet",
"sso:DescribePermissionSetProvisioningStatus",
"sso:DescribeRegisteredRegions",
"sso:GetApplicationInstance",
"sso:GetApplicationTemplate",
"sso:GetInlinePolicyForPermissionSet",
"sso:GetManagedApplicationInstance",
"sso:GetMfaDeviceManagementForDirectory",
"sso:GetPermissionSet",
"sso:GetProfile",
"sso:GetSharedSsoConfiguration",
"sso:GetSsoConfiguration",
"sso:GetSSOStatus",
"sso:GetTrust",
"sso:ListAccountAssignmentCreationStatus",
"sso:ListAccountAssignmentDeletionStatus",
"sso:ListAccountAssignments",
"sso:ListAccountsForProvisionedPermissionSet",
"sso:ListApplicationInstanceCertificates",
"sso:ListApplicationInstances",
"sso:ListApplications",
"sso:ListApplicationTemplates",
"sso:ListDirectoryAssociations",
"sso:ListInstances",
"sso:ListManagedPoliciesInPermissionSet",
"sso:ListPermissionSetProvisioningStatus",
"sso:ListPermissionSets",
"sso:ListPermissionSetsProvisionedToAccount",
"sso:ListProfileAssociations",
"sso:ListProfiles",
"sso:ListTagsForResource",
"sso-directory:DescribeDirectory",
"sso-directory:DescribeGroups",
"sso-directory:DescribeUsers",
"sso-directory:ListGroupsForUser",
"sso-directory:ListMembersInGroup",
"sso-directory:SearchGroups",
"sso-directory:SearchUsers"
],
"Resource": "*"
}
]
}
