Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS Resource Groups esempi di politiche basate sull'identità

Per impostazione predefinita, i responsabili IAM, come ruoli e utenti, non sono autorizzati a creare o modificare le risorse dei Resource Groups. Inoltre, non possono eseguire attività utilizzando l' AWS API Console di gestione AWS, AWS CLI, o. Un amministratore IAM deve creare politiche IAM che concedano ai principali il permesso di eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. L'amministratore deve quindi allegare tali politiche ai principali che richiedono tali autorizzazioni.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy nella scheda JSON nella Guida per l’utente IAM.

Best practice delle policy

Identity-based le politiche stabiliscono se qualcuno può creare, accedere o eliminare le risorse dei gruppi di risorse nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l’utente di IAM.

Utilizzo della console e dell'API Resource Groups

Per accedere alla console AWS Resource Groups e all'API di Tag Editor, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse dei gruppi di risorse nel tuo AWS account. Se crei una policy basata sull'identità che è più restrittiva delle autorizzazioni minime richieste, i comandi della console e dell'API non funzioneranno come previsto per i principali (ruoli o utenti IAM) con tale policy.

Per garantire che tali entità possano ancora utilizzare i gruppi di risorse, allega la seguente policy (o una policy che contenga le autorizzazioni elencate nella seguente policy) alle entità. Per ulteriori informazioni, consulta Aggiunta di autorizzazioni a un utente nella Guida per l'utente di IAM:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "resource-groups:*",
        "cloudformation:DescribeStacks",
        "cloudformation:ListStackResources",
        "tag:GetResources",
        "tag:TagResources",
        "tag:UntagResources",
        "tag:getTagKeys",
        "tag:getTagValues",
        "resource-explorer:List*"
      ],
      "Resource": "*"
    }
  ]
}

Per ulteriori informazioni sulla concessione dell'accesso ai gruppi di risorse, consulta questa Concessione delle autorizzazioni per l'utilizzo AWS Resource Groups e Tag Editor guida.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o a livello di programmazione utilizzando l'API or. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Visualizzazione dei gruppi in base ai tag

Puoi utilizzare le condizioni della tua politica basata sull'identità per controllare l'accesso alle risorse dei gruppi di risorse in base ai tag. Questo esempio mostra come è possibile creare una politica che consenta di visualizzare una risorsa, in questo esempio un gruppo di risorse. Tuttavia, l'autorizzazione viene concessa solo se il tag di gruppo project ha lo stesso valore del project tag associato al mittente chiamante.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "resource-groups:GetGroup",
            "Resource": "arn:aws:resource-groups:us-east-1:111122223333:group/group_name",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/project": "${aws:PrincipalTag/project}"}
            }
        }
    ]
}

Puoi allegare questa politica ai principali del tuo account. Se un principale con la chiave project e il valore del tag alpha tenta di visualizzare un gruppo di risorse, anche il gruppo deve essere taggatoproject=alpha. Altrimenti all'utente viene negato l'accesso. La chiave di tag di condizione project corrisponde a Project e project perché i nomi delle chiavi di condizione non effettuano la distinzione tra maiuscole e minuscole. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l'utente di IAM.