AWS Cloud9 non è più disponibile per i nuovi clienti. I clienti esistenti di AWS Cloud9 possono continuare a utilizzare il servizio normalmente. Ulteriori informazioni

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identity and Access Management per AWS Cloud9

AWS Identity and Access Management (IAM) è un software Servizio AWS che aiuta un amministratore a controllare in modo sicuro l'accesso alle AWS risorse. Gli amministratori IAM controllano chi può essere autenticato (effettuato l'accesso) e autorizzato (disporre delle autorizzazioni) a utilizzare le risorse. AWS Cloud9 IAM è uno Servizio AWS strumento che puoi utilizzare senza costi aggiuntivi.

Destinatari

Il modo in cui utilizzi AWS Identity and Access Management (IAM) varia in base al tuo ruolo:

Autenticazione con identità

L'autenticazione è il modo in cui accedi AWS utilizzando le tue credenziali di identità. Devi autenticarti come utente IAM o assumendo un ruolo IAM. Utente root dell'account AWS

Puoi accedere come identità federata utilizzando credenziali provenienti da una fonte di identità come AWS IAM Identity Center (IAM Identity Center), autenticazione Single Sign-On o credenziali. Google/Facebook Per maggiori informazioni sull’accesso, consultare la sezione Come accedere a Account AWS nella Guida per l’utente di Accedi ad AWS .

Per l'accesso programmatico, AWS fornisce un SDK e una CLI per firmare crittograficamente le richieste. Per ulteriori informazioni, consulta AWS Signature Version 4 per le richieste API nella Guida per l’utente IAM.

Account AWS utente root

Quando si crea un Account AWS, si inizia con un'identità di accesso denominata utente Account AWS root che ha accesso completo a tutte Servizi AWS le risorse. Si consiglia vivamente di non utilizzare l’utente root per le attività quotidiane. Per le attività che richiedono le credenziali come utente root, consulta Attività che richiedono le credenziali dell’utente root nella Guida per l’utente IAM.

Identità federata

Come procedura ottimale, richiedi agli utenti umani di utilizzare la federazione con un provider di identità per accedere Servizi AWS utilizzando credenziali temporanee.

Un'identità federata è un utente della directory aziendale, del provider di identità Web o Directory Service che accede Servizi AWS utilizzando le credenziali di una fonte di identità. Le identità federate assumono ruoli che forniscono credenziali temporanee.

Per la gestione centralizzata degli accessi, consigliamo di utilizzare AWS IAM Identity Center. Per ulteriori informazioni, consulta Cos’è IAM Identity Center? nella Guida per l’utente di AWS IAM Identity Center .

Utenti e gruppi IAM

Un utente IAM è un’identità che dispone di autorizzazioni specifiche per una singola persona o applicazione. Ti consigliamo di utilizzare credenziali temporanee invece di utenti IAM con credenziali a lungo termine. Per ulteriori informazioni, consulta Richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee nella Guida per l'utente IAM.

Un gruppo IAM specifica una raccolta di utenti IAM e semplifica la gestione delle autorizzazioni per gestire gruppi di utenti di grandi dimensioni. Per ulteriori informazioni, consulta Casi d’uso per utenti IAM nella Guida per l’utente IAM.

Ruoli IAM

Un ruolo IAM è un’identità con autorizzazioni specifiche che fornisce credenziali temporanee. Puoi assumere un ruolo passando da un ruolo utente a un ruolo IAM (console) o chiamando un'operazione AWS CLI o AWS API. Per ulteriori informazioni, consulta Metodi per assumere un ruolonella Guida per l’utente IAM.

I ruoli IAM sono utili per l'accesso federato degli utenti, le autorizzazioni utente IAM temporanee, l'accesso tra account, l'accesso tra servizi e le applicazioni in esecuzione su Amazon. EC2 Per maggiori informazioni, consultare Accesso a risorse multi-account in IAM nella Guida per l’utente IAM.

Gestione dell’accesso tramite policy

Puoi controllare l'accesso AWS creando policy e collegandole a identità o risorse. AWS Una policy definisce le autorizzazioni quando è associata a un'identità o a una risorsa. AWS valuta queste politiche quando un preside effettua una richiesta. La maggior parte delle politiche viene archiviata AWS come documenti JSON. Per maggiori informazioni sui documenti delle policy JSON, consulta Panoramica delle policy JSON nella Guida per l’utente IAM.

Utilizzando le policy, gli amministratori specificano chi ha accesso a cosa definendo quale principale può eseguire azioni su quali risorse e in quali condizioni.

Per impostazione predefinita, utenti e ruoli non dispongono di autorizzazioni. Un amministratore IAM crea le policy IAM e le aggiunge ai ruoli, che gli utenti possono quindi assumere. Le policy IAM definiscono le autorizzazioni indipendentemente dal metodo utilizzato per eseguirle.

Policy basate sull’identità

Le policy basate su identità sono documenti di policy di autorizzazione JSON che è possibile collegare a un’identità (utente, gruppo o ruolo). Tali policy controllano le operazioni autorizzate per l’identità, nonché le risorse e le condizioni in cui possono essere eseguite. Per informazioni su come creare una policy basata su identità, consultare Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente nella Guida per l’utente IAM.

Le policy basate sull’identità possono essere policy in linea (incorporate direttamente in una singola identità) o policy gestite (policy autonome collegate a più identità). Per informazioni su come scegliere tra una policy gestita o una policy inline, consultare Scelta fra policy gestite e policy inline nella Guida per l’utente IAM.

Policy basate sulle risorse

Le policy basate su risorse sono documenti di policy JSON che è possibile collegare a una risorsa. Gli esempi includono le policy di trust dei ruoli IAM e le policy dei bucket di Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. In una policy basata sulle risorse è obbligatorio specificare un’entità principale.

Le policy basate sulle risorse sono policy inline che si trovano in tale servizio. Non è possibile utilizzare le policy AWS gestite di IAM in una policy basata sulle risorse.

Altri tipi di policy

AWS supporta tipi di policy aggiuntivi che possono impostare le autorizzazioni massime concesse dai tipi di policy più comuni:

Più tipi di policy

Quando a una richiesta si applicano più tipi di policy, le autorizzazioni risultanti sono più complicate da comprendere. Per scoprire come si AWS determina se consentire o meno una richiesta quando sono coinvolti più tipi di policy, consulta Logica di valutazione delle policy nella IAM User Guide.

Come AWS Cloud9 funziona con IAM

Prima di utilizzare IAM per gestire l'accesso a AWS Cloud9, scopri con quali funzionalità IAM è disponibile l'uso AWS Cloud9.

Per avere una panoramica di alto livello su come AWS Cloud9 e altri AWS servizi funzionano con la maggior parte delle funzionalità IAM, consulta AWS i servizi che funzionano con IAM nella IAM User Guide.

Politiche basate sull'identità per AWS Cloud9

Supporta le policy basate sull’identità: sì

Le policy basate sull’identità sono documenti di policy di autorizzazione JSON che è possibile allegare a un’identità (utente, gruppo di utenti o ruolo IAM). Tali policy definiscono le operazioni che utenti e ruoli possono eseguire, su quali risorse e in quali condizioni. Per informazioni su come creare una policy basata su identità, consulta Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente nella Guida per l’utente di IAM.

Con le policy basate sull’identità di IAM, è possibile specificare quali operazioni e risorse sono consentite o respinte, nonché le condizioni in base alle quali le operazioni sono consentite o respinte. Per informazioni su tutti gli elementi utilizzabili in una policy JSON, consulta Guida di riferimento agli elementi delle policy JSON IAM nella Guida per l’utente IAM.

Esempi di politiche basate sull'identità per AWS Cloud9

Per visualizzare esempi di politiche basate sull' AWS Cloud9 identità, vedere. Esempi di policy basate su identità per AWS Cloud9

Politiche basate sulle risorse all'interno AWS Cloud9

Supporta le policy basate su risorse: no

Le policy basate su risorse sono documenti di policy JSON che è possibile collegare a una risorsa. Esempi di policy basate sulle risorse sono le policy di attendibilità dei ruoli di IAM e le policy dei bucket di Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. Quando è collegata a una risorsa, una policy definisce le operazioni che un principale può eseguire su tale risorsa e a quali condizioni. In una policy basata sulle risorse è obbligatorio specificare un’entità principale. I principali possono includere account, utenti, ruoli, utenti federati o. Servizi AWS

Per consentire l’accesso multi-account, è possibile specificare un intero account o entità IAM in un altro account come entità principale in una policy basata sulle risorse. Per ulteriori informazioni, consulta Accesso a risorse multi-account in IAM nella Guida per l’utente IAM.

AWS Cloud9 non supporta politiche basate sulle risorse, ma è comunque possibile controllare le autorizzazioni relative alle risorse AWS Cloud9 ambientali per i membri dell'ambiente tramite AWS Cloud9 l'API e l'IDE. AWS Cloud9 AWS Cloud9

Azioni politiche per AWS Cloud9

Supporta le operazioni di policy: si

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento Action di una policy JSON descrive le operazioni che è possibile utilizzare per consentire o negare l’accesso a un criterio. Includere le operazioni in una policy per concedere le autorizzazioni a eseguire l’operazione associata.

Per visualizzare un elenco di AWS Cloud9 azioni, vedere Azioni definite da AWS Cloud9 nel Service Authorization Reference.

Le azioni politiche in AWS Cloud9 uso utilizzano il seguente prefisso prima dell'azione:

account

Per specificare più operazioni in una sola istruzione, occorre separarle con la virgola.

"Action": [
      "account:action1",
      "account:action2"
         ]

Per visualizzare esempi di politiche AWS Cloud9 basate sull'identità, vedere. Esempi di policy basate su identità per AWS Cloud9

Risorse politiche per AWS Cloud9

Supporta le risorse relative alle policy: sì

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento JSON Resource della policy specifica l’oggetto o gli oggetti ai quali si applica l’operazione. Come best practice, specifica una risorsa utilizzando il suo nome della risorsa Amazon (ARN). Per le azioni che non supportano le autorizzazioni a livello di risorsa, utilizzare un carattere jolly (*) per indicare che l’istruzione si applica a tutte le risorse.

"Resource": "*"

Per visualizzare un elenco dei tipi di AWS Cloud9 risorse e relativi ARNs, vedere Resources defined by AWS Cloud9 nel Service Authorization Reference. Per informazioni sulle operazioni con cui è possibile specificare l'ARN di ogni risorsa, consulta la sezione Operazioni definite da AWS Cloud9.

Per visualizzare esempi di politiche AWS Cloud9 basate sull'identità, vedere. Esempi di policy basate su identità per AWS Cloud9

Chiavi relative alle condizioni delle politiche per AWS Cloud9

Supporta le chiavi di condizione delle policy specifiche del servizio: sì

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento Condition specifica quando le istruzioni vengono eseguite in base a criteri definiti. È possibile compilare espressioni condizionali che utilizzano operatori di condizione, ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'utente IAM.

Per visualizzare un elenco di chiavi di AWS Cloud9 condizione, consulta Condition keys for AWS Cloud9 nel Service Authorization Reference. Per sapere con quali azioni e risorse puoi utilizzare una chiave di condizione, vedi Azioni definite da AWS Cloud9.

Per visualizzare esempi di politiche AWS Cloud9 basate sull'identità, vedere. Esempi di policy basate su identità per AWS Cloud9

ACLs in AWS Cloud9

Supporti ACLs: no

Le liste di controllo degli accessi (ACLs) controllano quali principali (membri dell'account, utenti o ruoli) dispongono delle autorizzazioni per accedere a una risorsa. ACLs sono simili alle politiche basate sulle risorse, sebbene non utilizzino il formato del documento di policy JSON.

ABAC con AWS Cloud9

Supporta ABAC (tag nelle policy): sì

Il controllo degli accessi basato su attributi (ABAC) è una strategia di autorizzazione che definisce le autorizzazioni in base agli attributi, chiamati tag. Puoi allegare tag a entità e AWS risorse IAM, quindi progettare politiche ABAC per consentire operazioni quando il tag del principale corrisponde al tag sulla risorsa.

Per controllare l’accesso basato su tag, fornire informazioni sui tag nell’elemento condizione di una policy utilizzando le chiavi di condizione aws:ResourceTag/key-name, aws:RequestTag/key-name o aws:TagKeys.

Se un servizio supporta tutte e tre le chiavi di condizione per ogni tipo di risorsa, il valore per il servizio è Sì. Se un servizio supporta tutte e tre le chiavi di condizione solo per alcuni tipi di risorsa, allora il valore sarà Parziale.

Per maggiori informazioni su ABAC, consulta Definizione delle autorizzazioni con autorizzazione ABAC nella Guida per l’utente di IAM. Per visualizzare un tutorial con i passaggi per l’impostazione di ABAC, consulta Utilizzo del controllo degli accessi basato su attributi (ABAC) nella Guida per l’utente di IAM.

Utilizzo di credenziali temporanee con AWS Cloud9

Supporta le credenziali temporanee: sì

Le credenziali temporanee forniscono l'accesso a breve termine alle AWS risorse e vengono create automaticamente quando si utilizza la federazione o si cambia ruolo. AWS consiglia di generare dinamicamente credenziali temporanee anziché utilizzare chiavi di accesso a lungo termine. Per ulteriori informazioni, consulta Credenziali di sicurezza temporanee in IAM e Servizi AWS compatibili con IAM nelle Guida per l’utente IAM.

Sessioni di accesso diretto per AWS Cloud9

Supporta l’inoltro delle sessioni di accesso (FAS): sì

Le sessioni di accesso inoltrato (FAS) utilizzano le autorizzazioni del principale chiamante an Servizio AWS, combinate con la richiesta di effettuare richieste Servizio AWS ai servizi downstream. Per i dettagli delle policy relative alle richieste FAS, consulta la pagina Inoltro sessioni di accesso.

Ruoli di servizio per AWS Cloud9

Supporta i ruoli di servizio: sì

Un ruolo di servizio è un ruolo IAM che un servizio assume per eseguire operazioni per tuo conto. Un amministratore IAM può creare, modificare ed eliminare un ruolo di servizio dall’interno di IAM. Per maggiori informazioni, consulta la sezione Creare un ruolo per delegare le autorizzazioni a una persona Servizio AWS nella Guida per l’utente di IAM.

Ruoli collegati ai servizi per AWS Cloud9

Supporta i ruoli collegati al servizio: Sì

Un ruolo collegato al servizio è un tipo di ruolo di servizio collegato a un. Servizio AWS Il servizio può assumere il ruolo per eseguire un’azione per tuo conto. I ruoli collegati al servizio vengono visualizzati nel tuo account Account AWS e sono di proprietà del servizio. Un amministratore IAM può visualizzare le autorizzazioni per i ruoli collegati al servizio, ma non modificarle.

Per ulteriori informazioni su come creare e gestire i ruoli collegati ai servizi, consulta Servizi AWS supportati da IAM. Trova un servizio nella tabella che include un Yes nella colonna Service-linked role (Ruolo collegato ai servizi). Scegli il collegamento Sì per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Esempi di policy basate su identità per AWS Cloud9

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse AWS Cloud9 . Per concedere agli utenti l’autorizzazione a eseguire operazioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy IAM (console) nella Guida per l’utente IAM.

Per informazioni dettagliate sulle azioni e sui tipi di risorse definiti da AWS Cloud9, incluso il formato di ARNs per ogni tipo di risorsa, vedere Azioni, risorse e chiavi di condizione AWS Cloud9 nel Service Authorization Reference.

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare AWS Cloud9 risorse nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consultare Best practice di sicurezza in IAM nella Guida per l’utente IAM.

Utilizzo della console di AWS Cloud9

Per accedere alla AWS Cloud9 console, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle AWS Cloud9 risorse del tuo. Account AWS Se si cra una policy basata sull’identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario consentire autorizzazioni minime per la console per gli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è opportuno concedere l’accesso solo alle operazioni che corrispondono all’operazione API che stanno cercando di eseguire.

Per garantire che utenti e ruoli possano ancora utilizzare la AWS Cloud9 console, allega anche la policy AWS Cloud9 ConsoleAccess o la policy ReadOnly AWS gestita alle entità. Per maggiori informazioni, consulta Aggiunta di autorizzazioni a un utente nella Guida per l’utente di IAM.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Risoluzione dei problemi AWS Cloud9 di identità e accesso

Utilizza le seguenti informazioni per aiutarti a diagnosticare e risolvere i problemi più comuni che potresti riscontrare quando lavori con un AWS Cloud9 IAM.

Non sono autorizzato a eseguire alcuna azione in AWS Cloud9

Se ricevi un errore che indica che non sei autorizzato a eseguire un’operazione, le tue policy devono essere aggiornate per poter eseguire l’operazione.

L’errore di esempio seguente si verifica quando l’utente IAM mateojackson prova a utilizzare la console per visualizzare i dettagli relativi a una risorsa my-example-widget fittizia ma non dispone di autorizzazioni awes:GetWidget fittizie.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: awes:GetWidget on resource: my-example-widget

In questo caso, la policy per l’utente mateojackson deve essere aggiornata per consentire l’accesso alla risorsa my-example-widget utilizzando l’azione awes:GetWidget.

Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ti ha fornito le credenziali di accesso.

Non sono autorizzato a eseguire iam: PassRole

Se ricevi un errore che indica che non sei autorizzato a eseguire l'operazione iam:PassRole, le tue policy devono essere aggiornate per poter passare un ruolo a AWS Cloud9.

Alcuni Servizi AWS consentono di passare un ruolo esistente a quel servizio invece di creare un nuovo ruolo di servizio o un ruolo collegato al servizio. Per eseguire questa operazione, è necessario disporre delle autorizzazioni per trasmettere il ruolo al servizio.

L'errore di esempio seguente si verifica quando un utente IAM denominato marymajor cerca di utilizzare la console per eseguire un'operazione in AWS Cloud9. Tuttavia, l'operazione richiede che il servizio disponga delle autorizzazioni concesse da un ruolo di servizio. Mary non dispone delle autorizzazioni per trasmettere il ruolo al servizio.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In questo caso, le policy di Mary devono essere aggiornate per poter eseguire l’operazione iam:PassRole.

Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ti ha fornito le credenziali di accesso.

Voglio consentire a persone esterne a me di accedere Account AWS alle mie AWS Cloud9 risorse

È possibile creare un ruolo con il quale utenti in altri account o persone esterne all’organizzazione possono accedere alle tue risorse. È possibile specificare chi è attendibile per l’assunzione del ruolo. Per i servizi che supportano politiche basate sulle risorse o liste di controllo degli accessi (ACLs), puoi utilizzare tali politiche per concedere alle persone l'accesso alle tue risorse.

Per maggiori informazioni, consulta gli argomenti seguenti:

Come AWS Cloud9 funziona con le risorse e le operazioni IAM

AWS Identity and Access Management viene utilizzato per gestire le autorizzazioni che consentono di lavorare sia con ambienti di AWS Cloud9 sviluppo che con altre Servizi AWS risorse.

AWS Cloud9 risorse e operazioni

Nel AWS Cloud9, la risorsa principale è un ambiente di AWS Cloud9 sviluppo. In una policy, devi utilizzare un Amazon Resource Name (ARN) per identificare la risorsa a cui si applica la policy stessa. La tabella seguente elenca l'ambiente ARNs. Per ulteriori informazioni, consulta Amazon Resource Names (ARNs) e AWS Service Namespaces nel. Riferimenti generali di Amazon Web Services

Ad esempio, nell'istruzione puoi indicare un ambiente specifico utilizzando il relativo nome della risorsa Amazon (ARN) come segue:

"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX"

Per specificare tutte le risorse, utilizza il carattere jolly (*) nell'elemento Resource.

"Resource": "*"

Per specificare più risorse in un'unica istruzione, separa i rispettivi Amazon Resource Names (ARNs) con una virgola.

"Resource": [
  "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX",
  "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
]

AWS Cloud9 fornisce una serie di operazioni per lavorare con AWS Cloud9 le risorse. Per un elenco, consulta AWS Cloud9 riferimento alle autorizzazioni.

Informazioni sulla proprietà delle risorse

L' Account AWS account possiede le risorse create nell'account, indipendentemente da chi ha creato le risorse.

Considera i casi d'uso e gli scenari seguenti:

Gestione dell'accesso alle risorse

La policy delle autorizzazioni descrive chi ha accesso a quali risorse.

Le policy allegate a un'identità IAM; vengono definite policy basate su identità (o policy IAM). Le politiche allegate a una risorsa vengono chiamate politiche basate sulle risorse. AWS Cloud9 supporta politiche basate sull'identità e sulle risorse.

Ognuna delle seguenti operazioni API richiede solo una policy IAM da allegare all'identità IAM che desidera chiamare queste operazioni API:

Le seguenti operazioni API richiedono una policy basata sulle risorse. Una policy IAM non è obbligatoria, ma AWS Cloud9 utilizza una policy IAM se è collegata all'identità IAM che desidera richiamare queste azioni API. La policy basata sulle risorse deve essere applicata alla risorsa desiderata: AWS Cloud9

Per ulteriori informazioni su ogni operazione API, consulta la Documentazione di riferimento delle API di AWS Cloud9 .

Non è possibile allegare una politica basata sulle risorse direttamente a una risorsa. AWS Cloud9 Al contrario, AWS Cloud9 associa alle risorse le politiche appropriate basate sulle risorse man mano che si aggiungono, modificano, aggiornano o eliminano i membri dell'ambiente. AWS Cloud9

Per concedere a un utente le autorizzazioni per eseguire azioni sulle AWS Cloud9 risorse, alleghi una policy di autorizzazione a un gruppo IAM a cui l'utente appartiene. Ti consigliamo di allegare una policy AWS gestita (predefinita) per AWS Cloud9 ogni volta che è possibile. AWS le politiche gestite contengono set predefiniti di autorizzazioni di accesso per scenari di utilizzo e tipi di utente comuni, ad esempio l'amministrazione completa di un ambiente, gli utenti dell'ambiente e gli utenti che hanno accesso solo in sola lettura a un ambiente. Per un elenco delle politiche AWS gestite per, vedere. AWS Cloud9AWS politiche gestite per AWS Cloud9

Per ulteriori scenari di utilizzo e tipi di utente unici, è possibile creare e allegare le policy gestite dal cliente. Consulta Opzioni di configurazione aggiuntive per AWS Cloud9 e Creazione di politiche gestite dai clienti per AWS Cloud9.

Per allegare una policy IAM (AWS gestita o gestita dal cliente) a un'identità IAM, consulta Allegare le politiche IAM (console) nella IAM User Guide.

Autorizzazioni di sessione per operazioni API

Quando utilizzi l' AWS API AWS CLI or per creare a livello di codice una sessione temporanea per un ruolo o un utente federato, puoi passare le policy di sessione come parametro per estendere l'ambito della sessione di ruolo. Vale a dire, che le autorizzazioni della sessione effettive sono l'intersezione tra le policy basate sull'identità del ruolo e le policy di sessione.

Quando viene effettuata una richiesta di accesso a una risorsa durante una sessione, in mancanza di istruzione Deny e istruzione Allow applicabile nella policy di sessione, il risultato della valutazione della policy è un rifiuto implicito. (Per ulteriori informazioni, consulta Determinare se una richiesta è consentita o rifiutata in un account nella Guida per l'utente di IAM.)

Tuttavia, per le operazioni AWS Cloud9 API che richiedono una politica basata sulle risorse (vedi sopra), le autorizzazioni vengono concesse all'entità IAM che effettua la chiamata se è specificata come nella politica delle risorse. Principal Questa autorizzazione esplicita ha la precedenza sulla negazione implicita della politica di sessione, consentendo così alla sessione di chiamare correttamente l'operazione API. AWS Cloud9

AWS politiche gestite per AWS Cloud9

Una politica AWS gestita è una politica autonoma creata e amministrata da AWS. AWS le politiche gestite sono progettate per fornire autorizzazioni per molti casi d'uso comuni, in modo da poter iniziare ad assegnare autorizzazioni a utenti, gruppi e ruoli.

Tieni presente che le policy AWS gestite potrebbero non concedere le autorizzazioni con il privilegio minimo per i tuoi casi d'uso specifici, poiché sono disponibili per tutti i clienti. AWS Consigliamo pertanto di ridurre ulteriormente le autorizzazioni definendo policy gestite dal cliente specifiche per i propri casi d’uso.

Non è possibile modificare le autorizzazioni definite nelle politiche gestite. AWS Se AWS aggiorna le autorizzazioni definite in una politica AWS gestita, l'aggiornamento ha effetto su tutte le identità principali (utenti, gruppi e ruoli) a cui è associata la politica. AWS è più probabile che aggiorni una policy AWS gestita quando ne Servizio AWS viene lanciata una nuova o quando diventano disponibili nuove operazioni API per i servizi esistenti.

Per maggiori informazioni, consulta Policy gestite da AWS nella Guida per l’utente di IAM.

AWS politica gestita: AWSCloud9 amministratore

È possibile allegare la policy AWSCloud9Administrator alle identità IAM.

Questa politica concede administrative le autorizzazioni che forniscono l'accesso come amministratore a. AWS Cloud9

Dettagli delle autorizzazioni

Questa policy include le seguenti autorizzazioni:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:*",
                "iam:GetUser",
                "iam:ListUsers",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS politica gestita: Utente AWSCloud9

È possibile allegare la policy AWSCloud9User alle identità IAM.

Questa politica concede user le autorizzazioni per creare ambienti di AWS Cloud9 sviluppo e gestire ambienti di proprietà.

Dettagli delle autorizzazioni

Questa policy include le seguenti autorizzazioni:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:UpdateUserSettings",
                "cloud9:GetUserSettings",
                "iam:GetUser",
                "iam:ListUsers",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:CreateEnvironmentEC2",
                "cloud9:CreateEnvironmentSSH"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:OwnerArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserPublicKey"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS politica gestita: AWSCloud9 EnvironmentMember

È possibile allegare la policy AWSCloud9EnvironmentMember alle identità IAM.

Questa politica concede membership autorizzazioni che forniscono la possibilità di entrare a far parte di un ambiente AWS Cloud9 condiviso.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserSettings",
                "cloud9:UpdateUserSettings",
                "iam:GetUser",
                "iam:ListUsers"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS politica gestita: AWSCloud9ServiceRolePolicy

Il ruolo collegato al servizio AWSServiceRoleForAWSCloud9utilizza questa politica per consentire all' AWS Cloud9 ambiente di interagire con Amazon EC2 e CloudFormation le risorse.

Dettagli delle autorizzazioni

AWSCloud9ServiceRolePolicyConcede AWSService RoleFor AWSCloud9 le autorizzazioni necessarie AWS Cloud9 per consentire l'interazione con ( Servizi AWS Amazon EC2 e CloudFormation) necessarie per creare ed eseguire ambienti di sviluppo.

AWS Cloud9 definisce le autorizzazioni dei suoi ruoli collegati ai servizi e solo può AWS Cloud9 assumerne i ruoli. Le autorizzazioni definite includono la policy di trust e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un’altra entità IAM.

Per ulteriori informazioni sull' AWS Cloud9 utilizzo dei ruoli collegati ai servizi, vedere. Utilizzo di ruoli collegati ai servizi per AWS Cloud9

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ec2:RunInstances",
				"ec2:CreateSecurityGroup",
				"ec2:DescribeVpcs",
				"ec2:DescribeSubnets",
				"ec2:DescribeSecurityGroups",
				"ec2:DescribeInstances",
				"ec2:DescribeInstanceStatus",
				"cloudformation:CreateStack",
				"cloudformation:DescribeStacks",
				"cloudformation:DescribeStackEvents",
				"cloudformation:DescribeStackResources"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:TerminateInstances",
				"ec2:DeleteSecurityGroup",
				"ec2:AuthorizeSecurityGroupIngress"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"cloudformation:DeleteStack"
			],
			"Resource": "arn:aws:cloudformation:*:*:stack/aws-cloud9-*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateTags"
			],
			"Resource": [
				"arn:aws:ec2:*:*:instance/*",
				"arn:aws:ec2:*:*:security-group/*"
			],
			"Condition": {
				"StringLike": {
					"aws:RequestTag/Name": "aws-cloud9-*"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"ec2:ResourceTag/aws:cloudformation:stack-name": "aws-cloud9-*"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Resource": [
				"arn:aws:license-manager:*:*:license-configuration:*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:ListInstanceProfiles",
				"iam:GetInstanceProfile"
			],
			"Resource": [
				"arn:aws:iam::*:instance-profile/cloud9/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"
			],
			"Condition": {
				"StringLike": {
					"iam:PassedToService": "ec2.amazonaws.com"
				}
			}
		}
	]
}

AWS Cloud9 aggiornamenti alle politiche gestite AWS

Visualizza i dettagli sugli aggiornamenti delle politiche AWS gestite AWS Cloud9 da quando questo servizio ha iniziato a tenere traccia di queste modifiche. Per ricevere avvisi automatici sulle modifiche a questa pagina, iscriviti al feed RSS nella pagina della cronologia dei AWS Cloud9 documenti.

Creazione di politiche gestite dai clienti per AWS Cloud9

Se nessuna delle politiche AWS gestite soddisfa i requisiti di controllo degli accessi, puoi creare e allegare politiche gestite dai clienti personalizzate.

Per creare una policy gestita dal cliente, consulta Creazione di policy IAM (console) nella Guida per l'utente di IAM.

Specifica degli elementi della policy: effetti, principali, operazioni e risorse

Per ogni AWS Cloud9 risorsa, il servizio definisce una serie di operazioni API. Per concedere le autorizzazioni per queste operazioni API, AWS Cloud9 definisce una serie di azioni che è possibile specificare in una politica.

Di seguito sono elencati gli elementi di base di una policy:

Per ulteriori informazioni sulla sintassi e le descrizioni delle policy IAM, consulta Riferimento alle policy JSON IAM nella Guida per l'utente di IAM.

Per una tabella che mostra tutte le azioni AWS Cloud9 API e le risorse a cui si applicano, consulta laAWS Cloud9 riferimento alle autorizzazioni.

Esempi di policy gestite dal cliente

In questa sezione sono disponibili policy di esempio che concedono le autorizzazioni per le operazioni di AWS Cloud9 . È possibile adattare le seguenti policy IAM di esempio per permettere o rifiutare esplicitamente l'accesso di AWS Cloud9 alle identità IAM.

Per creare o allegare una policy gestita dal cliente a un'identità IAM, consulta la sezione Creazione di policy IAM (console) e Collegamento di policy IAM (console) nella Guida per l'utente di IAM.

Informazioni sugli ambienti

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di acquisire informazioni su qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DescribeEnvironments",
      "Resource": "*"
    }
  ]
}

Crea ambienti EC2

Il seguente esempio di dichiarazione politica IAM, allegata a un'entità IAM, consente a tale entità di creare ambienti di AWS Cloud9 EC2 sviluppo nel proprio account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

Crea EC2 ambienti con tipi di EC2 istanze Amazon specifici

L'esempio seguente di dichiarazione politica IAM, allegata a un'entità IAM, consente a tale entità di creare ambienti di AWS Cloud9 EC2 sviluppo nel proprio account. Tuttavia, EC2 gli ambienti possono utilizzare solo la classe specificata di tipi di EC2 istanze Amazon.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:InstanceType": "t3.*"
        }
      }
    }
  ]
}

Crea EC2 ambienti in sottoreti Amazon VPC specifiche

Il seguente esempio di dichiarazione politica IAM, allegata a un'entità IAM, consente a tale entità di creare ambienti di AWS Cloud9 EC2 sviluppo nel proprio account. Tuttavia, EC2 gli ambienti possono utilizzare solo le sottoreti Amazon VPC specificate.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:SubnetId": [
            "subnet-12345678",
            "subnet-23456789"
          ]
        }
      }
    }
  ]
}

Crea un EC2 ambiente con un nome di ambiente specifico

L'esempio seguente di dichiarazione politica IAM, allegata a un'entità IAM, consente a tale entità di creare un ambiente di AWS Cloud9 EC2 sviluppo nel proprio account. Tuttavia, l' EC2 ambiente può utilizzare solo il nome specificato.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:EnvironmentName": "my-demo-environment"
        }
      }
    }
  ]
}

Creazione solo di ambienti SSH

L'esempio seguente di dichiarazione politica IAM, allegata a un'entità IAM, consente a tale entità di creare ambienti di sviluppo AWS Cloud9 SSH nel proprio account. Tuttavia, l'entità non può creare ambienti di AWS Cloud9 EC2 sviluppo.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentSSH",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

Aggiornamento di ambienti o prevenzione aggiornamento di un ambiente

L'esempio seguente di dichiarazione politica IAM, allegata a un'entità IAM, consente a tale entità di modificare le informazioni su qualsiasi ambiente di AWS Cloud9 sviluppo nel proprio account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:UpdateEnvironment",
      "Resource": "*"
    }
  ]
}

La seguente istruzione di policy IAM di esempio, collegata a un'entità IAM, impedisce esplicitamente all'entità di modificare le informazioni sull'ambiente con il nome della risorsa Amazon (ARN) specificato.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:UpdateEnvironment",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Elenchi di membri dell'ambiente

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di acquisire un elenco di membri per qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DescribeEnvironmentMemberships",
      "Resource": "*"
    }
  ]
}

Condivisione di ambienti solo con un utente specifico

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di condividere qualsiasi ambiente nell'account solo con l'utente specificato.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:CreateEnvironmentMembership"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:UserArn": "arn:aws:iam::123456789012:user/MyDemoUser"
        }
      }
    }
  ]
}

Prevenzione della condivisione degli ambienti

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di condividere qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloud9:CreateEnvironmentMembership",
        "cloud9:UpdateEnvironmentMembership"
      ],
      "Resource": "*"
    }
  ]
}

Modifica o prevenzione della modifica delle impostazioni dei membri dell'ambiente

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di modificare le impostazioni dei membri in qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:UpdateEnvironmentMembership",
      "Resource": "*"
    }
  ]
}

La seguente istruzione di policy IAM di esempio, collegata a un'entità IAM, impedisce esplicitamente all'entità di modificare le impostazioni dei membri nell'ambiente con il nome della risorsa Amazon (ARN) specificato.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:UpdateEnvironmentMembership",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Rimozione o prevenzione della rimozione dei membri dell'ambiente

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di rimuovere qualunque membro da qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DeleteEnvironmentMembership",
      "Resource": "*"
    }
  ]
}

La seguente istruzione di policy IAM di esempio, collegata a un'entità IAM, impedisce esplicitamente all'entità di rimuovere qualunque membro dall'ambiente con il nome della risorsa Amazon (ARN) specificato.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:DeleteEnvironmentMembership",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Eliminazione o prevenzione dell'eliminazione di un ambiente

L'istruzione della policy IAM; di esempio, allegata a un'entità IAM, permette all'entità di eliminare qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DeleteEnvironment",
      "Resource": "*"
    }
  ]
}

La seguente istruzione di policy IAM di esempio, collegata a un'entità IAM, impedisce esplicitamente all'entità di eliminare l'ambiente con il nome della risorsa Amazon (ARN) specificato.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:DeleteEnvironment",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Policy IAM personalizzata per la creazione di ambienti SSM

Attualmente esiste un problema di autorizzazioni che si verifica quando si crea un ambiente SSM con le politiche AWSCloud9Administrator o AWSCloud9User allegate. L'esempio seguente di dichiarazione di policy IAM, se collegata a un'entità IAM, consente agli utenti di allegare e utilizzare la policy AWS AWSCloud9Administrator gestita o. AWSCloud9User

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:UpdateUserSettings",
                "cloud9:GetUserSettings",
                "iam:GetUser",
                "iam:ListUsers",
                "iam:ListRoles",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:CreateEnvironmentEC2",
                "cloud9:CreateEnvironmentSSH"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:OwnerArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserPublicKey"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": ["iam:ListInstanceProfilesForRole", "iam:CreateRole"],
            "Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"]
        },
        {
            "Effect": "Allow",
            "Action": ["iam:AttachRolePolicy"],
            "Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"],
            "Condition": {
                "StringEquals": {
                    "iam:PolicyARN": "arn:aws:iam::aws:policy/AWSCloud9SSMInstanceProfile"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:AddRoleToInstanceProfile"
            ],
            "Resource": [
                "arn:aws:iam::*:instance-profile/cloud9/AWSCloud9SSMInstanceProfile"
            ]
        }
    ]
}

AWS Cloud9 riferimento alle autorizzazioni

Puoi utilizzare chiavi AWS di condizione ampie nelle tue AWS Cloud9 politiche per esprimere le condizioni. Per ulteriori informazioni, consulta Elementi delle policy JSON IAM: Condition nella Guida per l'utente di IAM.

Puoi specificare le operazioni nel campo Action della policy. Per specificare un'operazione, utilizza il prefisso cloud9: seguito dal nome dell'operazione API (ad esempio, "Action": "cloud9:DescribeEnvironments"). Per specificare più operazioni in una sola istruzione, separa ciascuna di esse con una virgola (ad esempio, "Action": [ "cloud9:UpdateEnvironment", "cloud9:DeleteEnvironment" ]).

Utilizzo di caratteri jolly

Puoi specificare un ARN, con o senza un carattere jolly (*), come valore della risorsa nel campo Resource della policy. È possibile utilizzare un carattere jolly per specificare più operazioni o risorse. Ad esempio, cloud9:* specifica tutte le AWS Cloud9 azioni e cloud9:Describe* specifica tutte le AWS Cloud9 azioni che iniziano con. Describe

L'esempio seguente permette a un'entità IAM di ottenere informazioni sugli ambienti e sulle appartenenze all'ambiente per qualsiasi ambiente nell'account.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

AWS Cloud9 Operazioni API e autorizzazioni richieste per le azioni

AWS credenziali temporanee gestite

Per un ambiente di AWS Cloud9 EC2 sviluppo, AWS Cloud9 rende disponibili le credenziali di AWS accesso temporanee nell'ambiente. Tali credenziali sono definite credenziali temporanee gestite da AWS . Ciò fornisce i seguenti vantaggi:

Ecco come funzionano le credenziali temporanee AWS gestite ogni volta che un EC2 ambiente tenta di accedere a un Servizio AWS file per conto di un' AWS entità (ad esempio, un utente IAM):

Il proprietario di un EC2 ambiente può attivare o disattivare le credenziali temporanee AWS gestite per quell'ambiente in qualsiasi momento, come segue:

Se disattivi le credenziali temporanee AWS gestite, l'ambiente non può accedervi a nessuna Servizi AWS, indipendentemente dall' AWS entità che effettua la richiesta. Supponiamo tuttavia che tu non possa o non voglia attivare le credenziali temporanee AWS gestite per un ambiente e che tu abbia comunque bisogno dell'ambiente per accedere. Servizi AWS In questo caso, considera le seguenti alternative:

Le alternative precedenti hanno la precedenza su tutte le autorizzazioni consentite (o negate) dalle credenziali temporanee AWS gestite in un ambiente. EC2

Azioni supportate da credenziali temporanee gestite AWS

In un ambiente di AWS Cloud9 EC2 sviluppo, le credenziali temporanee AWS gestite consentono tutte AWS le azioni per tutte AWS le risorse del chiamante Account AWS, con le seguenti restrizioni:

Se AWS Cloud9 non supporta un'azione o una risorsa a cui è necessario accedere in un EC2 ambiente o se le credenziali temporanee AWS gestite sono disattivate per un EC2 ambiente e non puoi riattivarle, prendi in considerazione le seguenti alternative:

Le alternative precedenti hanno la precedenza su tutte le autorizzazioni consentite (o negate) dalle credenziali temporanee AWS gestite in un ambiente. EC2

Creazione e aggiornamento di credenziali temporanee gestite AWS

Per un ambiente di AWS Cloud9 EC2 sviluppo, le credenziali temporanee AWS gestite vengono create la prima volta che si apre l'ambiente.

AWS le credenziali temporanee gestite vengono aggiornate in una delle seguenti condizioni:

Controllo dell'accesso alle credenziali temporanee gestite da AWS

Un collaboratore con credenziali temporanee AWS gestite può utilizzarle AWS Cloud9 per interagire con altri. Servizi AWS Per garantire che vengano fornite solo a collaboratori di fiducia, le credenziali temporanee gestite da AWS vengono disabilitate se un nuovo membro viene aggiunto da un utente diverso dal proprietario dell'ambiente Le credenziali vengono disabilitate mediante l'eliminazione del file ~/.aws/credentials.

Solo il proprietario dell'ambiente può riattivare le credenziali temporanee AWS gestite in modo che possano essere condivise con altri membri. Quando il proprietario dell'ambiente apre l'IDE, una finestra di dialogo conferma che le credenziali temporanee AWS gestite sono disabilitate. Il proprietario dell'ambiente può abilitare di nuovo le credenziali o tenerle disabilitate per tutti i membri.