Policy gestite da AWS per AWS Identity and Access Management e Sistema di analisi degli accessi

Una policy gestita da AWS è una policy autonoma creata e amministrata da AWS. Le policy gestite da AWS sono progettate per fornire autorizzazioni per molti casi d'uso comuni in modo da poter iniziare ad assegnare autorizzazioni a utenti, gruppi e ruoli.

Tenere presente che le policy gestite da AWS potrebbero non concedere autorizzazioni con privilegi minimi per i casi d'uso specifici perché possono essere utilizzate da tutti i clienti AWS. Consigliamo pertanto di ridurre ulteriormente le autorizzazioni definendo policy gestite dal cliente specifiche per i propri casi d'uso.

Non è possibile modificare le autorizzazioni definite nelle policy gestite da AWS. Se AWS aggiorna le autorizzazioni definite in una policy gestita da AWS, l'aggiornamento riguarda tutte le identità principali (utenti, gruppi e ruoli) a cui è collegata la policy. È molto probabile che AWS aggiorni una policy gestita da AWS quando viene lanciato un nuovo Servizio AWS o nuove operazioni API diventano disponibili per i servizi esistenti.

Per ulteriori informazioni, consultare Policy gestite da AWS nella Guida per l'utente di IAM.

IAMReadOnlyAccess

Utilizza la policy gestita IAMReadOnlyAccess per consentire l'accesso in sola lettura alle risorse IAM. Questa policy concede l'autorizzazione per ottenere ed elencare tutte le risorse IAM. Consente di visualizzare dettagli e i report sulle attività per utenti, gruppi, ruoli, policy, provider di identità e dispositivi MFA. Non include la possibilità di creare o eliminare le risorse o di accedere alle risorse di Sistema di analisi degli accessi IAM. Visualizza la policy per l'elenco completo di servizi e operazioni supportati dalla policy.

IAMUserChangePassword

Utilizza la policy gestita IAMUserChangePassword per consentire agli IAM utenti di modificare le loro password.

Configura le Impostazioni dell'account IAM e la Policy sulle password per consentire agli utenti IAM di modificare la password dell'account IAM. Quando consenti questa operazione, IAM collega la policy a ciascun utente.

Per visualizzare la policy JSON, consulta IAMUserChangePassword nella Guida di riferimento alle policy gestite da AWS.

IAMAccessAnalyzerFullAccess

Utilizzo della policy IAMAccessAnalyzerFullAccess gestita da AWS per consentire agli amministratori di accedere a Sistema di analisi degli accessi IAM.

Raggruppamenti di autorizzazioni

Questa policy è raggruppata in istruzioni in base al set di autorizzazioni fornite.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "access-analyzer:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "access-analyzer.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots"
      ],
      "Resource": "*"
    }
  ]
}

IAMAccessAnalyzerReadOnlyAccess

Per consentire l'accesso in sola lettura ad Sistema di analisi degli accessi IAM, utilizza la policy gestita da AWS IAMAccessAnalyzerReadOnlyAccess.

Per consentire l'accesso in sola lettura a Sistema di analisi degli accessi IAM per AWS Organizations, crea una policy gestita dal cliente che consenta le operazioni Describe e List dalla policy gestita da AWS IAMAccessAnalyzerFullAccess.

Autorizzazioni a livello di servizio

Questa policy fornisce accesso in sola lettura a Sistema di analisi degli accessi IAM. In questa policy non sono incluse altre autorizzazioni di servizio.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "IAMAccessAnalyzerReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "access-analyzer:CheckAccessNotGranted",
        "access-analyzer:CheckNoNewAccess",
        "access-analyzer:Get*",
        "access-analyzer:List*",
        "access-analyzer:ValidatePolicy"
      ],
      "Resource": "*"
    }
  ]
}

AccessAnalyzerServiceRolePolicy

Non è possibile collegare AccessAnalyzerServiceRolePolicy alle entità IAM. Questa policy è collegata a un ruolo collegato ai servizi che consente a Sistema di analisi degli accessi IAM di eseguire operazioni per tuo conto. Per ulteriori informazioni, consulta la sezione Utilizzo dei ruoli collegati ai servizi per AWS Identity and Access Management e Sistema di analisi degli accessi.

Raggruppamenti di autorizzazioni

Questa policy consente l'accesso a Sistema di analisi degli accessi IAM per analizzare i metadati delle risorse da più Servizi AWS.

Per visualizzare la policy JSON, consulta AccessAnalyzerServiceRolePolicy nella Guida di riferimento alle policy gestite da AWS.

IAMAuditRootUserCredentials

Utilizza la policy gestita da AWS IAMAuditRootUserCredentials per ridurre l'ambito delle autorizzazioni quando esegui un'attività con privilegi su un account membro AWS Organizations per verificare lo stato delle credenziali dell'utente root di un account membro. È possibile elencare oppure ottenere informazioni sulle credenziali dei singoli utenti root, ad esempio:

Non è possibile collegare IAMAuditRootUserCredentialsalle entità IAM. Questa policy è allegata a AssumeRoot per eseguire attività con privilegi su un account membro dell'organizzazione. Per ulteriori informazioni, consulta Gestire centralmente l'accesso root per gli account membri.

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetAccountSummary",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyAuditingCredentialsOnNonRootUserResource",
         "Action": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices" ,
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"     
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      } 
   ]
}

Raggruppamenti di autorizzazioni

Questa policy è raggruppata in istruzioni in base al set di autorizzazioni fornite.

IAMCreateRootUserPassword

Utilizza la policy gestita da AWS IAMCreateRootUserPassword per ridurre l'ambito delle autorizzazioni quando esegui un'attività con privilegi su un account membro AWS Organizations per consentire il recupero della password per un account membro senza credenziali dell'utente root.

Non è possibile collegare IAMCreateRootUserPasswordalle entità IAM. Questa policy è allegata a AssumeRoot per eseguire attività con privilegi su un account membro dell'organizzazione. Per ulteriori informazioni, consulta Gestire centralmente l'accesso root per gli account membri.

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyCreatingPasswordOnNonRootUserResource",
         "Action": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"   
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}

Raggruppamenti di autorizzazioni

Questa policy è raggruppata in istruzioni in base al set di autorizzazioni fornite.

IAMDeleteRootUserCredentials

Utilizza la policy gestita da AWS IAMDeleteRootUserCredentials per ridurre l'ambito delle autorizzazioni quando esegui un'attività con privilegi su un account membro AWS Organizations per rimuovere le credenziali dell'utente root, tra cui password, chiavi di accesso, certificati di firma e disattivazione della MFA. Le autorizzazioni con privilegi sono necessarie per questa azione con privilegi in modo da poter visualizzare le informazioni sulle ultime credenziali utilizzate, verificare le ultime informazioni utilizzate per l'utente root dell'account membro ed elencare le autorizzazioni per tutte le credenziali dell'utente root da eliminare.

Non è possibile collegare IAMDeleteRootUserCredentialsalle entità IAM. Questa policy è allegata a AssumeRoot per eseguire attività con privilegi su un account membro dell'organizzazione. Per ulteriori informazioni, consulta Gestire centralmente l'accesso root per gli account membri.

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "DenyAllOtherActionsOnAnyResource",
			"Effect": "Deny",
			"NotAction": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"Resource": "*"
		},
		{
			"Sid": "DenyDeletingRootUserCredentialsOnNonRootUserResource",
			"Effect": "Deny",
			"Action": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"NotResource": "arn:aws:iam::*:root"
		}
	]
}

Raggruppamenti di autorizzazioni

Questa policy è raggruppata in istruzioni in base al set di autorizzazioni fornite.

S3UnlockBucketPolicy

Utilizza la policy gestita da AWS S3UnlockBucketPolicy per ridurre l'ambito delle autorizzazioni quando esegui un'attività con privilegi su un account membro AWS Organizations per rimuovere una policy sui bucket configurata non correttamente che impedisce a tutti i principali di accedere a un bucket Amazon S3.

Non è possibile collegare S3UnlockBucketPolicyalle entità IAM. Questa policy è allegata a AssumeRoot per eseguire attività con privilegi su un account membro dell'organizzazione. Per ulteriori informazioni, consulta Gestire centralmente l'accesso root per gli account membri.

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyManagingBucketPolicyForNonRootCallers",
         "Action": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*",
         "Condition" : {
            "ArnNotLike" : {
               "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

Raggruppamenti di autorizzazioni

Questa policy è raggruppata in istruzioni in base al set di autorizzazioni fornite.

SQSUnlockQueuePolicy

Utilizza la policy gestita da AWS SQSUnlockQueuePolicy per ridurre l'ambito delle autorizzazioni quando esegui un'attività con privilegi su un account membro AWS Organizations per eliminare una policy basata sulle risorse di Amazon Simple Queue Service che impedisce a tutti i principali di accedere a una coda Amazon SQS.

Non è possibile collegare SQSUnlockQueuePolicyalle entità IAM. Questa policy è allegata a AssumeRoot per eseguire attività con privilegi su un account membro dell'organizzazione. Per ulteriori informazioni, consulta Gestire centralmente l'accesso root per gli account membri.

Raggruppamenti di autorizzazioni

Questa policy è raggruppata in istruzioni in base al set di autorizzazioni fornite.

Aggiornamenti di IAM e IAM alle policy gestite da AWS

Visualizza i dettagli sugli aggiornamenti a IAM e alle policy gestite da AWS da quando questi servizi hanno iniziato a monitorare tali modifiche. Per ricevere gli avvisi automatici sulle modifiche apportate a questa pagina, sottoscrivi il feed RSS su IAM e nelle pagine della cronologia di Sistema di analisi degli accessi IAM.