Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Esempi di policy basate su identità per Direct Connect Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse Direct Connect. Per concedere agli utenti l’autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta [Creazione di policy IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) nella *Guida per l’utente di IAM*. Per dettagli sulle azioni e sui tipi di risorse definiti da Direct Connect, incluso il formato di ARNs per ogni tipo di risorsa, vedere [Azioni, risorse e chiavi di condizione per Direct Connect](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsdirectconnect.html) nel *riferimento di autorizzazione del servizio*. **Topics** + [Best practice per le policy](#security_iam_service-with-iam-policy-best-practices) + [Operazioni, risorse e condizioni](#security_iam_service-dx-id-based-policies) + [Utilizzo della console](#security_iam_id-based-policy-examples-console) + [Consentire agli utenti di visualizzare le loro autorizzazioni](#security_iam_id-based-policy-examples-view-own-permissions) + [Accesso in sola lettura a Direct Connect](#security_iam_id-based-policy-examples-read-access) + [Accesso completo a Direct Connect](#security_iam_id-based-policy-examples-full-access) + [Chiavi di condizione basate su tag](security_iam_resource-based-policy-examples.md) ## Best practice per le policy Le policy basate su identità determinano se qualcuno può creare, accedere o eliminare le risorse Direct Connect nell'account. Queste azioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni: + **Inizia con le politiche AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere le autorizzazioni** agli utenti e ai carichi di lavoro, utilizza le *politiche AWS gestite* che concedono le autorizzazioni per molti casi d'uso comuni. Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per maggiori informazioni, consulta [Policy gestite da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) o [Policy gestite da AWS per le funzioni dei processi](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) nella *Guida per l’utente di IAM*. + **Applicazione delle autorizzazioni con privilegio minimo** - Quando si impostano le autorizzazioni con le policy IAM, concedere solo le autorizzazioni richieste per eseguire un’attività. È possibile farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come *autorizzazioni con privilegio minimo*. Per maggiori informazioni sull’utilizzo di IAM per applicare le autorizzazioni, consulta [Policy e autorizzazioni in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) nella *Guida per l’utente di IAM*. + **Condizioni d’uso nelle policy IAM per limitare ulteriormente l’accesso** - Per limitare l’accesso ad azioni e risorse è possibile aggiungere una condizione alle policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio CloudFormation. Per maggiori informazioni, consultare la sezione [Elementi delle policy JSON di IAM: condizione](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) nella *Guida per l’utente di IAM*. + **Utilizzo dello strumento di analisi degli accessi IAM per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali** - Lo strumento di analisi degli accessi IAM convalida le policy nuove ed esistenti in modo che aderiscano al linguaggio (JSON) della policy IAM e alle best practice di IAM. Lo strumento di analisi degli accessi IAM offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per maggiori informazioni, consultare [Convalida delle policy per il Sistema di analisi degli accessi IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) nella *Guida per l’utente di IAM*. + **Richiedi l'autenticazione a più fattori (MFA**): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungere le condizioni MFA alle policy. Per maggiori informazioni, consultare [Protezione dell’accesso API con MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) nella *Guida per l’utente di IAM*. Per maggiori informazioni sulle best practice in IAM, consulta [Best practice di sicurezza in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) nella *Guida per l’utente di IAM*. ## Operazioni, risorse e chiavi di condizione per Direct Connect Con le policy basate sull’identità di IAM, è possibile specificare quali operazioni e risorse sono consentite o respinte, nonché le condizioni in base alle quali le operazioni sono consentite o respinte. Direct Connect supporta operazioni, risorse e chiavi di condizione specifiche. Per informazioni su tutti gli elementi utilizzati in una policy JSON, consulta [Documentazione di riferimento degli elementi delle policy JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) nella *Guida per l'utente IAM*. ### Azioni Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale **entità principale** può eseguire **operazioni** su quali **risorse** e in quali **condizioni**. L'elemento `Action` di una policy JSON descrive le operazioni che è possibile utilizzare per consentire o negare l'accesso in una policy. Includere le operazioni in una policy per concedere le autorizzazioni a eseguire l’operazione associata. Le operazioni delle policy in Direct Connect utilizzano il seguente prefisso prima dell'operazione: `directconnect:`. Ad esempio, per concedere a qualcuno l'autorizzazione per eseguire un'istanza Amazon EC2 con l'operazione API `DescribeVpnGateways` Amazon EC2, è necessario includere l'operazione `ec2:DescribeVpnGateways` nella policy. Le istruzioni della policy devono includere un elemento `Action` o `NotAction`. Direct Connect definisce un proprio insieme di operazioni che descrivono le attività che puoi eseguire con quel servizio. La politica di esempio seguente concede l'accesso in lettura a. Direct Connect ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:Describe*", "ec2:DescribeVpnGateways" ], "Resource": "*" } ] } ``` ------ La politica di esempio seguente concede l'accesso completo a. Direct Connect ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:*", "ec2:DescribeVpnGateways" ], "Resource": "*" } ] } ``` ------ Per visualizzare un elenco di azioni Direct Connect, consulta [Azioni definite da Direct Connect](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsdirectconnect.html#awsdirectconnect-actions-as-permissions) nella *Guida per l'utente IAM*. ### Resources Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale **entità principale** può eseguire **operazioni** su quali **risorse** e in quali **condizioni**. L’elemento JSON `Resource` della policy specifica l’oggetto o gli oggetti ai quali si applica l’operazione. Come best practice, specifica una risorsa utilizzando il suo [nome della risorsa Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Per le azioni che non supportano le autorizzazioni a livello di risorsa, si utilizza un carattere jolly (\$1) per indicare che l’istruzione si applica a tutte le risorse. ``` "Resource": "*" ``` Direct Connect utilizza quanto segue ARNs: **Risorsa di connessione diretta ARNs** | Tipo di risorsa | ARN | | --- | --- | | dxcon | arn:\$1\$1Partition\$1:directconnect:\$1\$1Region\$1:\$1\$1Account\$1:dxcon/\$1\$1ConnectionId\$1 | | dxlag | arn:\$1\$1Partition\$1:directconnect:\$1\$1Region\$1:\$1\$1Account\$1:dxlag/\$1\$1LagId\$1 | | dx-vif | arn:\$1\$1Partition\$1:directconnect:\$1\$1Region\$1:\$1\$1Account\$1:dxvif/\$1\$1VirtualInterfaceId\$1 | | dx-gateway | arn:\$1\$1Partition\$1:directconnect::\$1\$1Account\$1:dx-gateway/\$1\$1DirectConnectGatewayId\$1 | Per ulteriori informazioni sul formato di ARNs, consulta [Amazon Resource Names (ARNs) e AWS Service Namespaces](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html). Ad esempio, per specificare l’interfaccia `dxcon-11aa22bb` nell'istruzione, utilizza il seguente ARN: ``` "Resource": "arn:aws:directconnect:us-east-1:123456789012:dxcon/dxcon-11aa22bb ``` Per specificare tutte le istanze virtuali che appartengono a un account specifico, utilizza il carattere jolly (\$1): ``` "Resource": "arn:aws:directconnect:*:*:dxvif/*" ``` Alcune operazioni Direct Connect, ad esempio quelle per la creazione di risorse, non possono essere eseguite su una risorsa specifica. In questi casi, è necessario utilizzare il carattere jolly (\$1). ``` "Resource": "*" ``` Per visualizzare un elenco dei tipi di risorse Direct Connect e relativi ARNs, consulta [Resource Types Defined by Direct Connect](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsdirectconnect.html#awsdirectconnect-resources-for-iam-policies) nella *IAM User Guide*. Per informazioni sulle operazioni con cui è possibile specificare l'ARN di ogni risorsa, consulta [Operazioni definite da Direct Connect](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsdirectconnect.html#awsdirectconnect-actions-as-permissions). Se una risorsa ARN o un pattern ARN di risorsa diverso da `*` quello specificato nel `Resource` campo dell'informativa della politica IAM per DescribeConnections,,, o DescribeVirtualInterfaces DescribeDirectConnectGateways DescribeInterconnects DescribeLags, allora ciò specificato `Effect` non si verificherà a meno che l'ID della risorsa corrispondente non venga passato anche nella chiamata API. Tuttavia, se si fornisce `*` come risorsa anziché un ID di risorsa specifico nell'informativa sulla politica IAM, quello specificato `Effect` funzionerà. Nell'esempio seguente, nessuna delle due opzioni specificate `Effect` avrà esito positivo se l'`DescribeConnections`azione viene richiamata senza `connectionId` passare la richiesta. ``` "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:DescribeConnections" ], "Resource": [ "arn:aws:directconnect:*:123456789012:dxcon/*" ] }, { "Effect": "Deny", "Action": [ "directconnect:DescribeConnections" ], "Resource": [ "arn:aws:directconnect:*:123456789012:dxcon/example1" ] } ] ``` Tuttavia, nell'esempio seguente, l'`DescribeConnections`azione `"Effect": "Allow"` avrà esito positivo poiché `*` è stata fornita per il `Resource` campo dell'informativa sulla politica IAM, indipendentemente dal fatto che sia `connectionId` stata specificata nella richiesta. ``` "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:DescribeConnections ], "Resource": [ "*" ] } ] ``` ### Chiavi di condizione Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale **entità principale** può eseguire **operazioni** su quali **risorse** e in quali **condizioni**. L’elemento `Condition` specifica quando le istruzioni vengono eseguite in base a criteri definiti. È possibile compilare espressioni condizionali che utilizzano [operatori di condizione](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di [contesto delle condizioni AWS globali nella Guida](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) per l'*utente IAM*. Direct Connect definisce il proprio set di chiavi di condizione e, inoltre, supporta l'uso di alcune chiavi di condizione globali. Per vedere tutte le chiavi di condizione AWS globali, consulta [AWS Global Condition Context Keys](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) nella *Guida per l'utente IAM*. Puoi utilizzare le chiavi di condizione con la risorsa tag. Per ulteriori informazioni, consultare [Esempio: limitazione dell'accesso a una regione specifica](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ExamplePolicies_EC2.html#iam-example-region). Per visualizzare un elenco delle chiavi di condizione di Direct Connect, consulta [Chiavi di condizione per Direct Connect](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsdirectconnect.html#awsdirectconnect-policy-keys) nella *Guida per l'utente IAM*. Per informazioni su operazioni e risorse con cui è possibile utilizzare una chiave di condizione, consulta [Operazioni definite da Direct Connect](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsdirectconnect.html#awsdirectconnect-actions-as-permissions). ## Utilizzo della console Direct Connect Per accedere alla console Direct Connect, è necessario disporre di un set di autorizzazioni minimo. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse Direct Connect nel tuo AWS account. Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (o ruoli) associate a tale policy. Per garantire che tali entità possano ancora utilizzare la console Direct Connect, allega anche la seguente politica AWS gestita alle entità. Per ulteriori informazioni, consulta [Aggiunta di autorizzazioni a un utente](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) nella *Guida per l'utente di IAM*: ``` directconnect ``` Non è necessario consentire autorizzazioni minime di console per gli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è possibile accedere solo alle operazioni che soddisfano l'operazione API che stai cercando di eseguire. ## Consentire agli utenti di visualizzare le loro autorizzazioni Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Accesso in sola lettura a Direct Connect La seguente politica di esempio concede l'accesso in lettura a. Direct Connect ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:Describe*", "ec2:DescribeVpnGateways" ], "Resource": "*" } ] } ``` ------ ## Accesso completo a Direct Connect La seguente politica di esempio garantisce l'accesso completo a Direct Connect. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:*", "ec2:DescribeVpnGateways" ], "Resource": "*" } ] } ``` ------ # Esempi di policy basate su identità Direct Connect con condizioni basate su tag Puoi controllare l'accesso alle risorse e alle richieste utilizzando le condizioni delle chiavi di tag. Puoi utilizzare una condizione nella policy IAM per controllare se specifiche chiavi di tag possono essere utilizzate su una risorsa o in una richiesta. Per informazioni su come utilizzare i tag con le policy IAM, consulta [Controllo dell'accesso tramite tag](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_iam-tags.html) nella *Guida per l'utente IAM*. ## Associazione di interfacce virtuali Direct Connect in base ai tag L'esempio seguente mostra come è possibile creare una policy che consente di associare un'interfaccia virtuale solo se il tag contiene la chiave di ambiente e i valori di preproduzione o di produzione. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "directconnect:AssociateVirtualInterface" ], "Resource": "arn:aws:directconnect:*:*:dxvif/*", "Condition": { "StringEquals": { "aws:ResourceTag/environment": [ "preprod", "production" ] } } }, { "Effect": "Allow", "Action": "directconnect:DescribeVirtualInterfaces", "Resource": "*" } ] } ``` ------ ## Controllo dell'accesso alle richieste in base ai tag Puoi utilizzare le condizioni nelle tue policy IAM per controllare quali coppie chiave-valore di tag possono essere passate in una richiesta che tagga una risorsa. AWS L'esempio seguente mostra come è possibile creare una policy che consenta di utilizzare l' Direct Connect TagResource azione per allegare tag a un'interfaccia virtuale solo se il tag contiene la chiave di ambiente e i valori di preprod o di produzione. Come best practice, utilizza il modificatore `ForAllValues` con la chiave di condizione `aws:TagKeys` per indicare che nella richiesta è ammesso solo l'ambiente della chiave. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Effect": "Allow", "Action": "directconnect:TagResource", "Resource": "arn:aws:directconnect:*:*:dxvif/*", "Condition": { "StringEquals": { "aws:RequestTag/environment": [ "preprod", "production" ] }, "ForAllValues:StringEquals": {"aws:TagKeys": "environment"} } } } ``` ------ ## Controllo delle chiavi di tag Puoi utilizzare una condizione nelle policy IAM per controllare se specifiche chiavi di tag possono essere utilizzate su una risorsa o in una richiesta. L'esempio seguente mostra come è possibile creare una policy che consente di applicare i tag alle risorse, ma solo con l'ambiente della chiave del tag ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Effect": "Allow", "Action": "directconnect:TagResource", "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": [ "environment" ] } } } } ``` ------