MALZ: ruoli utente IAM predefiniti SALZ: ruolo utente IAM predefinito

Ruolo utente IAM in AMS

Un ruolo IAM è simile a quello di un utente IAM, in quanto è un' AWS identità con politiche di autorizzazione che determinano ciò che l'identità può e non può fare AWS. Tuttavia, invece di essere associato in modo univoco a una persona, un ruolo è destinato a essere assunto da chiunque.

Attualmente esiste un ruolo utente AMS predefinitoCustomer_ReadOnly_Role, per gli account AMS standard e un ruolo aggiuntivo, customer_managed_ad_user_role per gli account AMS con Managed Active Directory.

Le politiche di ruolo stabiliscono le autorizzazioni CloudWatch e le azioni di registro di Amazon S3, l'accesso alla console AMS, le restrizioni di sola lettura per la Servizi AWS maggior parte, l'accesso limitato alla console S3 dell'account e l'accesso al tipo di modifica AMS.

Inoltre, Customer_ReadOnly_Role dispone di autorizzazioni mutative per le istanze riservate che consentono di prenotare le istanze. Ha alcuni vantaggi in termini di risparmio, quindi, se sai che avrai bisogno di un certo numero di EC2 istanze Amazon per un lungo periodo di tempo, puoi chiamarle. APIs Per ulteriori informazioni, consulta Amazon EC2 Reserved Instances.

Nota

L'obiettivo del livello di servizio (SLO) di AMS per la creazione di policy IAM personalizzate per gli utenti IAM è di quattro giorni lavorativi, a meno che non si voglia riutilizzare una policy esistente. Se desideri modificare il ruolo utente IAM esistente o aggiungerne uno nuovo, invia rispettivamente una RFC IAM: Update Entity o IAM: Create Entity.

Se non conosci i ruoli Amazon IAM, consulta Ruoli IAM per informazioni importanti.

Multi-Account Landing Zone (MALZ): per visualizzare le politiche relative ai ruoli utente predefinite e non personalizzate di AMS per i ruoli utente, vedere, successivo. MALZ: ruoli utente IAM predefiniti

MALZ: ruoli utente IAM predefiniti

Dichiarazioni sulle policy JSON per i ruoli utente predefiniti multi-account AMS multi-account landing zone.

Nota

I ruoli utente sono personalizzabili e possono differire in base all'account. Vengono fornite istruzioni su come trovare il proprio ruolo.

Questi sono esempi dei ruoli utente MALZ predefiniti. Per assicurarti di avere le policy impostate di cui hai bisogno, esegui il comando AWS get-roleo accedi alla console AWS Management -> IAM e scegli Ruoli nel riquadro di navigazione.

Ruoli principali dell'account OU

Un account principale è un account di infrastruttura gestito da Malz. Gli account AMS multi-account landing zone Gli account Core includono un account di gestione e un account di rete.

Account Core OU: ruoli e politiche comuni
Ruolo	Politica o politiche
AWSManagedServicesReadOnlyRole	ReadOnlyAccess(Politica gestita AWS pubblica).
AWSManagedServicesCaseRole	ReadOnlyAccess
AWSManagedServicesCaseRole	AWSSupportAccesso (AWS Managed Policy pubblica).
AWSManagedServicesChangeManagementRole (versione dell'account principale)	ReadOnlyAccess
	AWSSupportAccesso
	AMSChangeManagementReadOnlyPolicy
	AMSChangeManagementInfrastructurePolicy

Account Core OU: ruoli e politiche dell'account di gestione
Ruolo	Politica o politiche
AWSManagedServicesBillingRole	AMSBillingPolitica (AMSBillingPolitica).
AWSManagedServicesReadOnlyRole	ReadOnlyAccess(Politica gestita AWS pubblica).
AWSManagedServicesCaseRole	ReadOnlyAccess
AWSManagedServicesCaseRole	AWSSupportAccesso (AWS Managed Policy pubblica).
AWSManagedServicesChangeManagementRole (versione dell'account di gestione)	ReadOnlyAccess
	AWSSupportAccesso
	AMSChangeManagementReadOnlyPolicy
	AMSChangeManagementInfrastructurePolicy
	AMSMasterAccountSpecificChangeManagementInfrastructurePolicy

Account Core OU: ruoli e politiche degli account di rete
Ruolo	Politica o politiche
AWSManagedServicesReadOnlyRole	ReadOnlyAccess(Politica gestita AWS pubblica).
AWSManagedServicesCaseRole	ReadOnlyAccess
AWSManagedServicesCaseRole	AWSSupportAccesso (AWS Managed Policy pubblica).
AWSManagedServicesChangeManagementRole (versione dell'account di rete)	ReadOnlyAccess
	AWSSupportAccesso
	AMSChangeManagementReadOnlyPolicy
	AMSChangeManagementInfrastructurePolicy
	AMSNetworkingAccountSpecificChangeManagementInfrastructurePolicy

Ruoli dell'account dell'applicazione

I ruoli degli account dell'applicazione vengono applicati agli account specifici dell'applicazione.

Account dell'applicazione: ruoli e politiche
Ruolo	Politica o politiche
AWSManagedServicesReadOnlyRole	ReadOnlyAccess(Politica gestita AWS pubblica).
AWSManagedServicesCaseRole	ReadOnlyAccess
AWSManagedServicesCaseRole	AWSSupportAccesso (AWS Managed Policy pubblica). Questa policy fornisce l'accesso a tutte le operazioni e le risorse di supporto. Per informazioni, consulta Getting Started with AWS Support.
AWSManagedServicesSecurityOpsRole	ReadOnlyAccess
	AWSSupportEsempio di accesso Questa politica fornisce l'accesso a tutte le operazioni e le risorse di supporto.
	`AWSCertificateManagerFullAccess`informazioni, (AWS Managed Policy pubblica)
	`AWSWAFFullAccess`informazioni, (policy AWS Managed pubblica). Questa policy garantisce l'accesso completo alle risorse AWS WAF.
	AMSSecretsManagerSharedPolicy
AWSManagedServicesChangeManagementRole (versione dell'account dell'applicazione)	ReadOnlyAccess
	AWSSupportAccesso (AWS Managed Policy pubblica). Questa policy fornisce l'accesso a tutte le operazioni e le risorse di supporto. Per informazioni, consulta Getting Started with AWS Support.
	AMSSecretsManagerSharedPolicy
	AMSChangeManagementPolicy
	AMSReservedInstancesPolicy
	AMSS3Policy
AWSManagedServicesAdminRole	ReadOnlyAccess
	AWSSupportAccesso
	AMSChangeManagementInfrastructurePolicy
	AWSMarketplaceManageSubscriptions
	AMSSecretsManagerSharedPolicy
	AMSChangeManagementPolicy
	AWSCertificateManagerFullAccess
	AWSWAFFullAccesso
	AMSS3Policy
	AMSReservedInstancesPolicy

Esempi di policy

Vengono forniti esempi per la maggior parte delle politiche utilizzate. Per visualizzare la ReadOnlyAccess policy (lunga pagine in quanto fornisce l'accesso in sola lettura a tutti i AWS servizi), puoi utilizzare questo link, se disponi di un account AWS attivo:. ReadOnlyAccess Inoltre, qui è inclusa una versione ridotta.

AMSBillingPolitica

AMSBillingPolicy

Il nuovo ruolo Fatturazione può essere utilizzato dal reparto contabilità per visualizzare e modificare le informazioni di fatturazione o le impostazioni dell'account nell'account di gestione. Per accedere a informazioni come Contatti alternativi, visualizzare l'utilizzo delle risorse dell'account o tenere sotto controllo la fatturazione o persino modificare i metodi di pagamento, utilizzi questo ruolo. Questo nuovo ruolo comprende tutte le autorizzazioni elencate nella pagina Web delle azioni IAM di AWS Billing.

JSON


{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "aws-portal:ViewBilling",
                "aws-portal:ModifyBilling"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToBilling"
        },
        {
            "Action": [
                "aws-portal:ViewAccount",
                "aws-portal:ModifyAccount"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToAccountSettings"
        },
        {
            "Action": [
                "budgets:ViewBudget",
                "budgets:ModifyBudget"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToAccountBudget"
        },
        {
            "Action": [
                "aws-portal:ViewPaymentMethods",
                "aws-portal:ModifyPaymentMethods"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToPaymentMethods"
        },
        {
            "Action": [
                "aws-portal:ViewUsage"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToUsage"
        },
        {
            "Action": [
                "cur:DescribeReportDefinitions",
                "cur:PutReportDefinition",
                "cur:DeleteReportDefinition",
                "cur:ModifyReportDefinition"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToCostAndUsageReport"
        },
        {
            "Action": [
                "pricing:DescribeServices",
                "pricing:GetAttributeValues",
                "pricing:GetProducts"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToPricing"
        },
        {
            "Action": [
                "ce:*",
                "compute-optimizer:*"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToCostExplorerComputeOptimizer"
        },
        {
            "Action": [
                "purchase-orders:ViewPurchaseOrders",
                "purchase-orders:ModifyPurchaseOrders"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToPurchaseOrders"
        },
        {
            "Action": [
                "redshift:AcceptReservedNodeExchange",
                "redshift:PurchaseReservedNodeOffering"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAccessToRedshiftAction"
        },
        {
            "Action": "savingsplans:*",
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AWSSavingsPlansFullAccess"
        }
    ]
}

AMSChangeManagementReadOnlyPolicy

AMSChangeManagementReadOnlyPolicy

Autorizzazioni per visualizzare tutti i tipi di modifica AMS e la cronologia dei tipi di modifica richiesti.

AMSMasterAccountSpecificChangeManagementInfrastructurePolicy

AMSMasterAccountSpecificChangeManagementInfrastructurePolicy

Autorizzazioni per richiedere il tipo di modifica Deployment | Managed landing zone | Management account | Create application account (con VPC).

AMSNetworkingAccountSpecificChangeManagementInfrastructurePolicy

AMSNetworkingAccountSpecificChangeManagementInfrastructurePolicy

Autorizzazioni per richiedere l'account Deployment | Managed landing zone | Networking | Create application route table.

AMSChangeManagementInfrastructurePolicy

AMSChangeManagementInfrastructurePolicy(per gestione | Altro | Altro CTs)

AMSSecretsManagerSharedPolicy

AMSSecretsManagerSharedPolicy

Autorizzazioni per la visualizzazione di dati segreti passwords/hashes condivisi da AMS AWS Secrets Manager (ad esempio password di accesso all'infrastruttura per il controllo).

Autorizzazioni per creare dati segreti da condividere con AMS password/hashes . (ad esempio, chiavi di licenza per prodotti che devono essere distribuiti).

AMSChangeManagementPolicy

AMSChangeManagementPolicy

Autorizzazioni per richiedere e visualizzare tutti i tipi di modifica AMS e la cronologia dei tipi di modifica richiesti.

AMSReservedInstancesPolicy

AMSReservedInstancesPolicy

Autorizzazioni per gestire le istanze EC2 riservate di Amazon; per informazioni sui prezzi, consulta Amazon EC2 Reserved Instances.

AMSS3Politica

AMSS3Policy

Autorizzazioni per creare ed eliminare file da bucket Amazon S3 esistenti.

Nota

Queste autorizzazioni non garantiscono la possibilità di creare bucket S3; ciò deve essere fatto con il tipo Deployment | Advanced stack components | S3 storage | Create change.

AWSSupportAccesso

AWSSupportAccess

Accesso completo a Supporto. Per informazioni, consulta Guida introduttiva a Supporto. Per informazioni su Premium Support, vedere Supporto.

AWSMarketplaceManageSubscriptions

AWSMarketplaceManageSubscriptions(Politica AWS gestita dal pubblico)

Autorizzazioni per sottoscrivere, annullare l'iscrizione e visualizzare Marketplace AWS gli abbonamenti.

AWSCertificateManagerFullAccess

AWSCertificateManagerFullAccess

Accesso completo a. AWS Certificate Manager Per ulteriori informazioni, consulta AWS Certificate Manager.

AWSCertificateManagerFullAccessinformazioni, (Public AWS Managed Policy).

AWSWAFFullAccesso

AWSWAFFullAccess

Accesso completo a AWS WAF. Per ulteriori informazioni, vedere AWS WAF - Web Application Firewall.

AWSWAFFullAccessinformazioni, (politica AWS gestita dal pubblico). Questa politica garantisce l'accesso completo alle AWS WAF risorse.

ReadOnlyAccess

ReadOnlyAccess

Accesso in sola lettura a tutti i AWS servizi e le risorse sulla console. AWS Quando AWS lancia un nuovo servizio, AMS aggiorna la ReadOnlyAccess policy per aggiungere autorizzazioni di sola lettura per il nuovo servizio. Le autorizzazioni aggiornate vengono applicate a tutte le entità principali a cui la policy è collegata.

Ciò non garantisce la possibilità di accedere agli host o agli EC2 host del database.

Se ne hai uno attivo Account AWS, puoi utilizzare questo link ReadOnlyAccessper visualizzare l'intera ReadOnlyAccess politica. L'intera ReadOnlyAccess politica è molto lunga in quanto fornisce l'accesso in sola lettura a tutti. Servizi AWS Di seguito è riportato un estratto parziale della politica. ReadOnlyAccess

Single-Account Landing Zone (SALZ): per visualizzare le politiche relative ai ruoli utente predefinite e non personalizzate di AMS relative ai ruoli utente, vedere, successivo. SALZ: ruolo utente IAM predefinito

SALZ: ruolo utente IAM predefinito

Dichiarazioni di policy JSON per il ruolo utente predefinito di AMS single-account landing zone.

Nota

Il ruolo utente predefinito di SALZ è personalizzabile e potrebbe differire in base all'account. Vengono fornite istruzioni su come trovare il proprio ruolo.

Di seguito è riportato un esempio del ruolo utente SALZ predefinito. Per assicurarti di avere le politiche impostate per te, esegui il get-rolecomando. In alternativa, accedi alla AWS Identity and Access Management console all'indirizzo https://console.aws.amazon.com/iam/, quindi scegli Ruoli.

Il ruolo di sola lettura del cliente è una combinazione di più politiche. Segue una suddivisione del ruolo (JSON).

Politica di audit di Managed Services:

ReadOnly Politica IAM di Managed Services

Politica per gli utenti di Managed Services



	{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowCustomerToListTheLogBucketLogs",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::mc-a*-logs-*"
      ],
      "Condition": {
        "StringLike": {
          "s3:prefix": [
            "aws/*",
            "app/*",
            "encrypted",
            "encrypted/",
            "encrypted/app/*"
          ]
        }
      }
    },
    {
      "Sid": "BasicAccessRequiredByS3Console",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Sid": "AllowCustomerToGetLogs",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject*"
      ],
      "Resource": [
        "arn:aws:s3:::mc-a*-logs-*/aws/*",
        "arn:aws:s3:::mc-a*-logs-*/encrypted/app/*"
      ]
    },
    {
      "Sid": "AllowAccessToOtherObjects",
      "Effect": "Allow",
      "Action": [
        "s3:DeleteObject*",
        "s3:Get*",
        "s3:List*",
        "s3:PutObject*"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Sid": "AllowCustomerToListTheLogBucketRoot",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::mc-a*-logs-*"
      ],
      "Condition": {
        "StringEquals": {
          "s3:prefix": [
            "",
            "/"
          ]
        }
      }
    },
    {
      "Sid": "AllowCustomerCWLConsole",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogStreams",
        "logs:DescribeLogGroups"
      ],
      "Resource": [
        "arn:aws:logs:*:*:log-group:*"
      ]
    },
    {
      "Sid": "AllowCustomerCWLAccessLogs",
      "Effect": "Allow",
      "Action": [
        "logs:FilterLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:*:*:log-group:/aws/*",
        "arn:aws:logs:*:*:log-group:/infra/*",
        "arn:aws:logs:*:*:log-group:/app/*",
        "arn:aws:logs:*:*:log-group:RDSOSMetrics:*:*"
      ]
    },
    {
      "Sid": "AWSManagedServicesFullAccess",
      "Effect": "Allow",
      "Action": [
        "amscm:*",
        "amsskms:*"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Sid": "ModifyAWSBillingPortal",
      "Effect": "Allow",
      "Action": [
        "aws-portal:Modify*"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Sid": "DenyDeleteCWL",
      "Effect": "Deny",
      "Action": [
        "logs:DeleteLogGroup",
        "logs:DeleteLogStream"
      ],
      "Resource": [
        "arn:aws:logs:*:*:log-group:*"
      ]
    },
    {
      "Sid": "DenyMCCWL",
      "Effect": "Deny",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:DescribeLogStreams",
        "logs:FilterLogEvents",
        "logs:GetLogEvents",
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:*:*:log-group:/mc/*"
      ]
    },
    {
      "Sid": "DenyS3MCNamespace",
      "Effect": "Deny",
      "Action": [
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::mc-a*-logs-*/encrypted/mc/*",
        "arn:aws:s3:::mc-a*-logs-*/mc/*",
        "arn:aws:s3:::mc-a*-logs-*-audit/*",
        "arn:aws:s3:::mc-a*-internal-*/*",
        "arn:aws:s3:::mc-a*-internal-*"
      ]
    },
    {
      "Sid": "ExplicitDenyS3CfnBucket",
      "Effect": "Deny",
      "Action": [
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::cf-templates-*"
      ]
    },
    {
      "Sid": "DenyListBucketS3LogsMC",
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Deny",
      "Resource": [
        "arn:aws:s3:::mc-a*-logs-*"
      ],
      "Condition": {
        "StringLike": {
          "s3:prefix": [
            "auditlog/*",
            "encrypted/mc/*",
            "mc/*"
          ]
        }
      }
    },
    {
      "Sid": "DenyS3LogsDelete",
      "Effect": "Deny",
      "Action": [
        "s3:Delete*",
        "s3:Put*"
      ],
      "Resource": [
        "arn:aws:s3:::mc-a*-logs-*/*"
      ]
    },
    {
      "Sid": "DenyAccessToKmsKeysStartingWithMC",
      "Effect": "Deny",
      "Action": [
        "kms:*"
      ],
      "Resource": [
        "arn:aws:kms::*:key/mc-*",
        "arn:aws:kms::*:alias/mc-*"
      ]
    },
    {
      "Sid": "DenyListingOfStacksStartingWithMC",
      "Effect": "Deny",
      "Action": [
        "cloudformation:*"
      ],
      "Resource": [
        "arn:aws:cloudformation:*:*:stack/mc-*"
      ]
    },
    {
      "Sid": "AllowCreateCWMetricsAndManageDashboards",
      "Effect": "Allow",
      "Action": [
        "cloudwatch:PutMetricData"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Sid": "AllowCreateandDeleteCWDashboards",
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DeleteDashboards",
        "cloudwatch:PutDashboard"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Politica condivisa di Customer Secrets Manager

Politica di iscrizione al Customer Marketplace

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Gestione del traffico in uscita AMS

Regole firewall di accesso predefinite