**Ti presentiamo una nuova esperienza di console per AWS WAF** Ora puoi utilizzare l'esperienza aggiornata per accedere alle AWS WAF funzionalità da qualsiasi punto della console. Per ulteriori dettagli, consulta [Lavorare con la console](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html). Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Usare IAM con AWS Shield Questa sezione spiega come utilizzare IAM con AWS Shield. AWS Identity and Access Management (IAM) è un software Servizio AWS che aiuta un amministratore a controllare in modo sicuro l'accesso alle AWS risorse. Gli amministratori IAM controllano chi può essere *autenticato* (effettuato l'accesso) e *autorizzato* (dispone delle autorizzazioni) a utilizzare le risorse Shield. IAM è uno Servizio AWS strumento che puoi utilizzare senza costi aggiuntivi. **Topics** + [Destinatari](#security_iam_audience) + [Autenticazione con identità](#security_iam_authentication) + [Gestione dell’accesso tramite policy](#security_iam_access-manage) + [Come AWS Shield funziona con IAM](shd-security_iam_service-with-iam.md) + [Esempi di policy basate sull'identità per AWS Shield](shd-security_iam_id-based-policy-examples.md) + [AWS politiche gestite per AWS Shield](shd-security-iam-awsmanpol.md) + [Risoluzione dei problemi di AWS Shield identità e accesso](shd-security_iam_troubleshoot.md) + [Utilizzo di ruoli collegati ai servizi per Shield Advanced](shd-using-service-linked-roles.md) ## Destinatari Il modo in cui usi AWS Identity and Access Management (IAM) varia a seconda del lavoro svolto in Shield. **Utente del servizio**: se utilizzi il servizio Shield per svolgere il tuo lavoro, l'amministratore ti fornisce le credenziali e le autorizzazioni necessarie. Man mano che utilizzi più funzionalità Shield per svolgere il tuo lavoro, potresti aver bisogno di autorizzazioni aggiuntive. La comprensione della gestione dell’accesso consente di richiedere le autorizzazioni corrette all’amministratore. Se non riesci ad accedere a una funzionalità di Shield, consulta[Risoluzione dei problemi di AWS Shield identità e accesso](shd-security_iam_troubleshoot.md). **Amministratore del servizio**: se sei responsabile delle risorse Shield della tua azienda, probabilmente hai pieno accesso a Shield. È tuo compito determinare a quali funzionalità e risorse Shield devono accedere gli utenti del servizio. Devi quindi inviare le richieste all’amministratore IAM per modificare le autorizzazioni degli utenti del servizio. Esamina le informazioni contenute in questa pagina per comprendere i concetti di base relativi a IAM. Per saperne di più su come la tua azienda può utilizzare IAM con Shield, consulta[Come AWS Shield funziona con IAM](shd-security_iam_service-with-iam.md). **Amministratore IAM**: se sei un amministratore IAM, potresti voler conoscere i dettagli su come scrivere policy per gestire l'accesso a Shield. Per visualizzare esempi di policy basate sull'identità Shield che puoi utilizzare in IAM, consulta. [Esempi di policy basate sull'identità per AWS Shield](shd-security_iam_id-based-policy-examples.md) ## Autenticazione con identità L'autenticazione è il modo in cui accedi AWS utilizzando le tue credenziali di identità. Devi autenticarti come utente IAM o assumendo un ruolo IAM. Utente root dell'account AWS Puoi accedere come identità federata utilizzando credenziali provenienti da una fonte di identità come AWS IAM Identity Center (IAM Identity Center), autenticazione Single Sign-On o credenziali. Google/Facebook Per ulteriori informazioni sull’accesso, consulta [Come accedere all’ Account AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l’utente di Accedi ad AWS *. Per l'accesso programmatico, AWS fornisce un SDK e una CLI per firmare crittograficamente le richieste. Per ulteriori informazioni, consulta [AWS Signature Version 4 per le richieste API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) nella *Guida per l’utente di IAM*. ### Account AWS utente root Quando si crea un Account AWS, si inizia con un'identità di accesso denominata *utente Account AWS root* che ha accesso completo a tutte Servizi AWS le risorse. Consigliamo vivamente di non utilizzare l’utente root per le attività quotidiane. Per le attività che richiedono le credenziali dell’utente root, consulta [Attività che richiedono le credenziali dell’utente root](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) nella *Guida per l’utente IAM*. ### Identità federata Come procedura ottimale, richiedi agli utenti umani di utilizzare la federazione con un provider di identità per accedere Servizi AWS utilizzando credenziali temporanee. Un'*identità federata* è un utente della directory aziendale, del provider di identità Web o Directory Service che accede Servizi AWS utilizzando le credenziali di una fonte di identità. Le identità federate assumono ruoli che forniscono credenziali temporanee. Per la gestione centralizzata degli accessi, si consiglia di utilizzare AWS IAM Identity Center. Per ulteriori informazioni, consulta [Che cos’è il Centro identità IAM?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) nella *Guida per l’utente di AWS IAM Identity Center *. ### Utenti e gruppi IAM Un *[utente IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* è una identità che dispone di autorizzazioni specifiche per una singola persona o applicazione. Ti consigliamo di utilizzare credenziali temporanee invece di utenti IAM con credenziali a lungo termine. *Per ulteriori informazioni, consulta [Richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) nella Guida per l'utente IAM.* Un [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) specifica una raccolta di utenti IAM e semplifica la gestione delle autorizzazioni per gestire gruppi di utenti di grandi dimensioni. Per ulteriori informazioni, consulta [Casi d’uso per utenti IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) nella *Guida per l’utente di IAM*. ### Ruoli IAM Un *[ruolo IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* è un’identità con autorizzazioni specifiche che fornisce credenziali temporanee. Puoi assumere un ruolo [passando da un ruolo utente a un ruolo IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) o chiamando un'operazione AWS CLI o AWS API. Per ulteriori informazioni, consulta [Metodi per assumere un ruolo](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) nella *Guida per l’utente di IAM*. I ruoli IAM sono utili per l’accesso degli utenti federati, le autorizzazioni utente IAM temporanee, l’accesso multi-account, l’accesso multi-servizio e le applicazioni in esecuzione su Amazon EC2. Per maggiori informazioni, consultare [Accesso a risorse multi-account in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) nella *Guida per l’utente IAM*. ## Gestione dell’accesso tramite policy Puoi controllare l'accesso AWS creando policy e associandole a AWS identità o risorse. Una policy definisce le autorizzazioni quando è associata a un'identità o a una risorsa. AWS valuta queste politiche quando un preside effettua una richiesta. La maggior parte delle politiche viene archiviata AWS come documenti JSON. Per maggiori informazioni sui documenti delle policy JSON, consulta [Panoramica delle policy JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) nella *Guida per l’utente IAM*. Utilizzando le policy, gli amministratori specificano chi ha accesso a cosa definendo quale **principale** può eseguire **azioni** su quali **risorse** e in quali **condizioni**. Per impostazione predefinita, utenti e ruoli non dispongono di autorizzazioni. Un amministratore IAM crea le policy IAM e le aggiunge ai ruoli, che gli utenti possono quindi assumere. Le policy IAM definiscono le autorizzazioni indipendentemente dal metodo utilizzato per eseguirle. ### Policy basate sull’identità Le policy basate su identità sono documenti di policy di autorizzazione JSON che è possibile collegare a un’identità (utente, gruppo o ruolo). Tali policy controllano le operazioni autorizzate per l’identità, nonché le risorse e le condizioni in cui possono essere eseguite. Per informazioni su come creare una policy basata su identità, consultare [Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) nella *Guida per l’utente IAM*. Le policy basate su identità possono essere *policy in linea* (con embedding direttamente in una singola identità) o *policy gestite* (policy autonome collegate a più identità). Per informazioni su come scegliere tra una policy gestita o una policy inline, consulta [Scegliere tra policy gestite e policy in linea](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) nella *Guida per l’utente di IAM*. ### Policy basate sulle risorse Le policy basate su risorse sono documenti di policy JSON che è possibile collegare a una risorsa. Gli esempi includono le *policy di trust dei ruoli* IAM e le *policy dei bucket* di Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. In una policy basata sulle risorse è obbligatorio [specificare un’entità principale](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Le policy basate sulle risorse sono policy inline che si trovano in tale servizio. Non è possibile utilizzare le policy AWS gestite di IAM in una policy basata sulle risorse. ### Liste di controllo degli accessi () ACLs Le liste di controllo degli accessi (ACLs) controllano quali principali (membri dell'account, utenti o ruoli) dispongono delle autorizzazioni per accedere a una risorsa. ACLs sono simili alle politiche basate sulle risorse, sebbene non utilizzino il formato del documento di policy JSON. Amazon S3 e Amazon VPC sono esempi di servizi che supportano. AWS WAF ACLs Per ulteriori informazioni ACLs, consulta la [panoramica della lista di controllo degli accessi (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) nella *Amazon Simple Storage Service Developer Guide*. ### Altri tipi di policy AWS supporta tipi di policy aggiuntivi che possono impostare le autorizzazioni massime concesse dai tipi di policy più comuni: + **Limiti delle autorizzazioni**: imposta il numero massimo di autorizzazioni che una policy basata su identità ha la possibilità di concedere a un’entità IAM. Per ulteriori informazioni, consulta [Limiti delle autorizzazioni per le entità IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) nella *Guida per l’utente di IAM*. + **Politiche di controllo del servizio (SCPs)**: specificano le autorizzazioni massime per un'organizzazione o un'unità organizzativa in. AWS Organizations Per ulteriori informazioni, consultare [Policy di controllo dei servizi](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) nella *Guida per l’utente di AWS Organizations *. + **Politiche di controllo delle risorse (RCPs)**: imposta le autorizzazioni massime disponibili per le risorse nei tuoi account. Per ulteriori informazioni, consulta [Politiche di controllo delle risorse (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) nella *Guida per l'AWS Organizations utente*. + **Policy di sessione**: policy avanzate passate come parametro quando si crea una sessione temporanea per un ruolo o un utente federato. Per maggiori informazioni, consultare [Policy di sessione](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) nella *Guida per l’utente IAM*. ### Più tipi di policy Quando a una richiesta si applicano più tipi di policy, le autorizzazioni risultanti sono più complicate da comprendere. Per scoprire come si AWS determina se consentire o meno una richiesta quando sono coinvolti più tipi di policy, consulta [Logica di valutazione delle policy](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) nella *IAM User Guide*. # Come AWS Shield funziona con IAM Questa sezione spiega come utilizzare le funzionalità di IAM con AWS Shield. Prima di utilizzare IAM per gestire l'accesso a Shield, scopri quali funzionalità IAM sono disponibili per l'uso con Shield. **Funzionalità IAM che puoi utilizzare con AWS Shield** | Funzionalità IAM | Supporto Shield | | --- | --- | | [Policy basate sull’identità](#shd-security_iam_service-with-iam-id-based-policies) | Sì | | [Policy basate su risorse](#shd-security_iam_service-with-iam-resource-based-policies) | No | | [Operazioni di policy](#shd-security_iam_service-with-iam-id-based-policies-actions) | Sì | | [Risorse relative alle policy](#shd-security_iam_service-with-iam-id-based-policies-resources) | Sì | | [Chiavi di condizione della policy (specifica del servizio)](#shd-security_iam_service-with-iam-id-based-policies-conditionkeys) | Sì | | [ACLs](#shd-security_iam_service-with-iam-acls) | No | | [ABAC (tag nelle policy)](#shd-security_iam_service-with-iam-tags) | Parziale | | [Credenziali temporanee](#shd-security_iam_service-with-iam-roles-tempcreds) | Sì | | [Inoltro delle sessioni di accesso (FAS)](#shd-security_iam_service-with-iam-principal-permissions) | Sì | | [Ruoli di servizio](#shd-security_iam_service-with-iam-roles-service) | Sì | | [Ruoli collegati al servizio](#shd-security_iam_service-with-iam-roles-service-linked) | Sì | Per avere una visione di alto livello di come Shield e altri AWS servizi funzionano con la maggior parte delle funzionalità IAM, consulta [AWS i servizi che funzionano con IAM nella IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) *User Guide*. ## Politiche basate sull'identità per Shield Questa sezione fornisce esempi di policy basate sull'identità per. AWS Shield **Supporta le policy basate sull’identità:** sì Le policy basate sull'identità sono documenti di policy di autorizzazione JSON che è possibile allegare a un'identità (utente, gruppo di utenti o ruolo IAM). Tali policy definiscono le operazioni che utenti e ruoli possono eseguire, su quali risorse e in quali condizioni. Per informazioni su come creare una policy basata su identità, consulta [Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) nella *Guida per l’utente di IAM*. Con le policy basate sull’identità di IAM, è possibile specificare quali operazioni e risorse sono consentite o respinte, nonché le condizioni in base alle quali le operazioni sono consentite o respinte. Per informazioni su tutti gli elementi utilizzabili in una policy JSON, consulta [Guida di riferimento agli elementi delle policy JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) nella *Guida per l’utente IAM*. Per visualizzare esempi di politiche basate sull'identità di Shield, vedere. [Esempi di policy basate sull'identità per AWS Shield](shd-security_iam_id-based-policy-examples.md) ## Politiche basate sulle risorse all'interno di Shield **Supporta le policy basate su risorse:** no Le policy basate su risorse sono documenti di policy JSON che è possibile collegare a una risorsa. Esempi di policy basate sulle risorse sono le *policy di attendibilità dei ruoli* IAM e le *policy di bucket* Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. Quando è collegata a una risorsa, una policy definisce le operazioni che un principale può eseguire su tale risorsa e a quali condizioni. In una policy basata sulle risorse è obbligatorio [specificare un’entità principale](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). I principali possono includere account, utenti, ruoli, utenti federati o. Servizi AWS Per consentire l’accesso multi-account, è possibile specificare un intero account o entità IAM in un altro account come entità principale in una policy basata sulle risorse. Per ulteriori informazioni, consulta [Accesso a risorse multi-account in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) nella *Guida per l’utente IAM*. ## Azioni politiche per Shield **Supporta le operazioni di policy:** si Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale **entità principale** può eseguire **operazioni** su quali **risorse** e in quali **condizioni**. L'elemento `Action` di una policy JSON descrive le operazioni che è possibile utilizzare per consentire o negare l'accesso in una policy. Includere le operazioni in una policy per concedere le autorizzazioni a eseguire l’operazione associata. Per visualizzare un elenco delle azioni Shield, vedere [Azioni definite da AWS Shield](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsshield.html#awsshield-actions-as-permissions) nel *Service Authorization Reference*. Le azioni politiche in Shield utilizzano il seguente prefisso prima dell'azione: ``` shield ``` Per specificare più operazioni in una sola istruzione, occorre separarle con la virgola. ``` "Action": [ "shield:action1", "shield:action2" ] ``` È possibile specificare più azioni tramite caratteri jolly (\$1). Ad esempio, per specificare tutte le azioni in Shield che iniziano con`List`, includi la seguente azione: ``` "Action": "shield:List*" ``` Per visualizzare esempi di politiche basate sull'identità di Shield, vedere. [Esempi di policy basate sull'identità per AWS Shield](shd-security_iam_id-based-policy-examples.md) ## Risorse politiche per Shield **Supporta le risorse relative alle policy:** sì Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale **entità principale** può eseguire **operazioni** su quali **risorse** e in quali **condizioni**. L’elemento JSON `Resource` della policy specifica l’oggetto o gli oggetti ai quali si applica l’operazione. Come best practice, specifica una risorsa utilizzando il suo [nome della risorsa Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Per le azioni che non supportano le autorizzazioni a livello di risorsa, si utilizza un carattere jolly (\$1) per indicare che l’istruzione si applica a tutte le risorse. ``` "Resource": "*" ``` Per visualizzare l'elenco dei tipi di risorse Shield e relativi ARNs, vedere [Resources defined by AWS Shield](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsshield.html#awsshield-resources-for-iam-policies) nel *Service Authorization Reference*. Per informazioni sulle operazioni con cui è possibile specificare l'ARN di ogni risorsa, consulta la sezione [Operazioni definite da AWS Shield](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsshield.html#awsshield-actions-as-permissions). Per consentire o negare l'accesso a un sottoinsieme di risorse Shield, includi l'ARN della risorsa nell'`resource`elemento della tua politica. *Nel AWS Shield, le risorse sono *protezioni* e attacchi.* A queste risorse sono associati Amazon Resource Names (ARNs) univoci, come illustrato nella tabella seguente. **** | Nome nella AWS Shield console | Nome in AWS Shield SDK/CLI | Formato ARN | | --- | --- | --- | | Evento o attacco | AttackDetail | `arn:aws:shield::account:attack/ID` | | Protezione | Protection | `arn:aws:shield::account:protection/ID` | Per consentire o negare l'accesso a un sottoinsieme di risorse Shield, includi l'ARN della risorsa nell'`resource`elemento della tua politica. Le ARNs for Shield hanno il seguente formato: ``` arn:partition:shield::account:resource/ID ``` Sostituisci le *ID* variabili *account**resource*, e con valori validi. I valori validi possono essere i seguenti: + *account*: L'ID del tuo Account AWS. È necessario specificare un valore. + *resource*: il tipo di risorsa Shield, `attack` oppure`protection`. + *ID*: L'ID della risorsa Shield o un carattere jolly (`*`) per indicare tutte le risorse del tipo specificato associate alla risorsa specificata Account AWS. Ad esempio, il seguente ARN specifica tutte le protezioni per l'account `111122223333`: ``` arn:aws:shield::111122223333:protection/* ``` Le risorse ARNs di Shield hanno il seguente formato: ``` arn:partition:shield:region:account-id:scope/resource-type/resource-name/resource-id ``` Per informazioni generali sulle specifiche ARN, consulta [Amazon Resource Names (ARNs)](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html) nel. Riferimenti generali di Amazon Web Services Di seguito sono elencati i requisiti specifici ARNs delle `wafv2` risorse: + *region*: per le risorse Shield che usi per proteggere CloudFront le distribuzioni Amazon, imposta questa opzione su. `us-east-1` Altrimenti, impostalo sulla regione che stai utilizzando con le tue risorse regionali protette. + *scope*: imposta l'ambito `global` per l'utilizzo con una CloudFront distribuzione Amazon o `regional` per l'utilizzo con una qualsiasi delle risorse regionali AWS WAF supportate. Le risorse regionali sono un'API REST di Amazon API Gateway, un'Application Load Balancer, un'API GraphQL AWS AppSync , un pool di utenti Amazon Cognito, un AWS App Runner servizio e un'istanza Verified Access. AWS + *resource-type*: Specificare uno dei seguenti valori: `attack` per eventi o attacchi, `protection` per protezioni. + *resource-name*: specificate il nome assegnato alla risorsa Shield o specificate un carattere jolly (`*`) per indicare tutte le risorse che soddisfano le altre specifiche dell'ARN. È necessario specificare il nome e l'ID della risorsa o specificare un carattere jolly per entrambi. + *resource-id*: specificate l'ID della risorsa Shield o specificate un carattere jolly (`*`) per indicare tutte le risorse che soddisfano le altre specifiche dell'ARN. È necessario specificare il nome e l'ID della risorsa o specificare un carattere jolly per entrambi. Ad esempio, il seguente ARN specifica tutto il Web ACLs con ambito regionale per l'account `111122223333` in Region: `us-west-1` ``` arn:aws:wafv2:us-west-1:111122223333:regional/webacl/*/* ``` Il seguente ARN specifica il gruppo di regole denominato `MyIPManagementRuleGroup` con ambito globale per l'account `111122223333` in Region: `us-east-1` ``` arn:aws:wafv2:us-east-1:111122223333:global/rulegroup/MyIPManagementRuleGroup/1111aaaa-bbbb-cccc-dddd-example-id ``` Per visualizzare esempi di politiche basate sull'identità di Shield, vedere. [Esempi di policy basate sull'identità per AWS Shield](shd-security_iam_id-based-policy-examples.md) ## Chiavi relative alle condizioni delle policy per Shield **Supporta le chiavi di condizione delle policy specifiche del servizio:** sì Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale **entità principale** può eseguire **operazioni** su quali **risorse** e in quali **condizioni**. L’elemento `Condition` specifica quando le istruzioni vengono eseguite in base a criteri definiti. È possibile compilare espressioni condizionali che utilizzano [operatori di condizione](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di [contesto delle condizioni AWS globali nella Guida](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) per l'*utente IAM*. Per visualizzare un elenco delle chiavi di condizione Shield, vedere [Condition keys for AWS Shield](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsshield.html#awsshield-policy-keys) nel *Service Authorization Reference*. Per sapere con quali azioni e risorse puoi utilizzare una chiave di condizione, vedi [Azioni definite da AWS Shield](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsshield.html#awsshield-actions-as-permissions). Per visualizzare esempi di politiche basate sull'identità di Shield, vedere. [Esempi di policy basate sull'identità per AWS Shield](shd-security_iam_id-based-policy-examples.md) ## ACLs in Shield **Supporti ACLs:** no Le liste di controllo degli accessi (ACLs) controllano quali principali (membri dell'account, utenti o ruoli) dispongono delle autorizzazioni per accedere a una risorsa. ACLs sono simili alle politiche basate sulle risorse, sebbene non utilizzino il formato del documento di policy JSON. ## ABAC con Shield **Supporta ABAC (tag nelle policy):** parzialmente Il controllo degli accessi basato su attributi (ABAC) è una strategia di autorizzazione che definisce le autorizzazioni in base agli attributi, chiamati tag. Puoi allegare tag a entità e AWS risorse IAM, quindi progettare politiche ABAC per consentire operazioni quando il tag del principale corrisponde al tag sulla risorsa. Per controllare l’accesso basato su tag, fornire informazioni sui tag nell’[elemento condizione](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) di una policy utilizzando le chiavi di condizione `aws:ResourceTag/key-name`, `aws:RequestTag/key-name` o `aws:TagKeys`. Se un servizio supporta tutte e tre le chiavi di condizione per ogni tipo di risorsa, il valore per il servizio è **Sì**. Se un servizio supporta tutte e tre le chiavi di condizione solo per alcuni tipi di risorsa, allora il valore sarà **Parziale**. Per maggiori informazioni su ABAC, consulta [Definizione delle autorizzazioni con autorizzazione ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) nella *Guida per l’utente di IAM*. Per visualizzare un tutorial con i passaggi per l’impostazione di ABAC, consulta [Utilizzo del controllo degli accessi basato su attributi (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) nella *Guida per l’utente di IAM*. ## Utilizzo di credenziali temporanee con Shield **Supporta le credenziali temporanee:** sì Le credenziali temporanee forniscono un accesso a breve termine alle AWS risorse e vengono create automaticamente quando si utilizza la federazione o si cambia ruolo. AWS consiglia di generare dinamicamente credenziali temporanee anziché utilizzare chiavi di accesso a lungo termine. Per ulteriori informazioni, consulta [Credenziali di sicurezza temporanee in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) e [Servizi AWS compatibili con IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) nella *Guida per l’utente IAM*. ## Sessioni di accesso diretto per Shield **Supporta l’inoltro delle sessioni di accesso (FAS):** sì Le sessioni di accesso diretto (FAS) utilizzano le autorizzazioni del principale chiamante e Servizio AWS, in combinazione con la richiesta, di effettuare richieste Servizio AWS ai servizi downstream. Per i dettagli delle policy relative alle richieste FAS, consulta [Forward access sessions](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Ruoli di servizio per Shield **Supporta i ruoli di servizio:** sì Un ruolo di servizio è un [ruolo IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) che un servizio assume per eseguire operazioni per tuo conto. Un amministratore IAM può creare, modificare ed eliminare un ruolo di servizio dall’interno di IAM. Per ulteriori informazioni, consulta [Create a role to delegate permissions to an Servizio AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) nella *Guida per l’utente IAM*. **avvertimento** La modifica delle autorizzazioni per un ruolo di servizio potrebbe interrompere la funzionalità Shield. Modifica i ruoli di servizio solo quando Shield fornisce indicazioni in tal senso. ## Ruoli collegati ai servizi per Shield **Supporta i ruoli collegati ai servizi:** sì Un ruolo collegato al servizio è un tipo di ruolo di servizio collegato a un. Servizio AWS Il servizio può assumere il ruolo per eseguire un’operazione per tuo conto. I ruoli collegati al servizio vengono visualizzati nel tuo account Account AWS e sono di proprietà del servizio. Un amministratore IAM può visualizzare le autorizzazioni per i ruoli collegati al servizio, ma non modificarle. Per informazioni dettagliate sulla creazione o la gestione dei ruoli collegati ai servizi Shield, vedere. [Utilizzo di ruoli collegati ai servizi per Shield Advanced](shd-using-service-linked-roles.md) # Esempi di policy basate sull'identità per AWS Shield Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare le risorse Shield. Per concedere agli utenti l’autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta [Creazione di policy IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) nella *Guida per l’utente di IAM*. Per i dettagli sulle azioni e sui tipi di risorse definiti da Shield, incluso il formato di ARNs per ogni tipo di risorsa, vedere [Azioni, risorse e chiavi di condizione AWS Shield](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsshield.html) nel *Service Authorization Reference*. **Topics** + [Best practice per le policy](#shd-security_iam_service-with-iam-policy-best-practices) + [Utilizzo della console Shield](#shd-security_iam_id-based-policy-examples-console) + [Consentire agli utenti di visualizzare le loro autorizzazioni](#shd-security_iam_id-based-policy-examples-view-own-permissions) + [Concedi l'accesso in lettura alle tue protezioni Shield Advanced](#shd-example0) + [Concedi l'accesso in sola lettura a Shield e CloudFront CloudWatch](#shd-example1) + [Concedi l'accesso completo a Shield CloudFront, e CloudWatch](#shd-example2) ## Best practice per le policy Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare le risorse Shield nel tuo account. Queste azioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni: + **Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni** *a utenti e carichi di lavoro, utilizza le politiche gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS * Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per maggiori informazioni, consulta [Policy gestite da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) o [Policy gestite da AWS per le funzioni dei processi](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) nella *Guida per l’utente di IAM*. + **Applicazione delle autorizzazioni con privilegio minimo** - Quando si impostano le autorizzazioni con le policy IAM, concedere solo le autorizzazioni richieste per eseguire un’attività. È possibile farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come *autorizzazioni con privilegio minimo*. Per maggiori informazioni sull’utilizzo di IAM per applicare le autorizzazioni, consulta [Policy e autorizzazioni in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) nella *Guida per l’utente di IAM*. + **Condizioni d’uso nelle policy IAM per limitare ulteriormente l’accesso** - Per limitare l’accesso ad azioni e risorse è possibile aggiungere una condizione alle policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio CloudFormation. Per maggiori informazioni, consultare la sezione [Elementi delle policy JSON di IAM: condizione](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) nella *Guida per l’utente di IAM*. + **Utilizzo dello strumento di analisi degli accessi IAM per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali** - Lo strumento di analisi degli accessi IAM convalida le policy nuove ed esistenti in modo che aderiscano al linguaggio (JSON) della policy IAM e alle best practice di IAM. Lo strumento di analisi degli accessi IAM offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per maggiori informazioni, consultare [Convalida delle policy per il Sistema di analisi degli accessi IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) nella *Guida per l’utente di IAM*. + **Richiedi l'autenticazione a più fattori (MFA**): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungere le condizioni MFA alle policy. Per maggiori informazioni, consultare [Protezione dell’accesso API con MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) nella *Guida per l’utente di IAM*. Per maggiori informazioni sulle best practice in IAM, consulta [Best practice di sicurezza in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) nella *Guida per l’utente di IAM*. ## Utilizzo della console Shield Per accedere alla AWS Shield console, è necessario disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse Shield presenti nel tuo Account AWS. Se crei una policy basata sull’identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy. Non è necessario consentire autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è opportuno concedere l’accesso solo alle azioni che corrispondono all’operazione API che stanno cercando di eseguire. Gli utenti che possono accedere e utilizzare la AWS console possono accedere anche alla AWS Shield console. Non sono necessarie autorizzazioni supplementari. ### Solo per console APIs È possibile accedere alle seguenti informazioni sugli attacchi Distributed Denial of Service (DDoS) nella console. Specificate le seguenti autorizzazioni API in una policy IAM per consentire o negare azioni specifiche. | Azione | Description | | --- | --- | | DescribeAttackContributors | Concede l'autorizzazione a ottenere informazioni dettagliate sui contributori a uno specifico attacco S. DDo | | ListMitigations | Concede l'autorizzazione a recuperare un elenco di azioni di mitigazione che sono state applicate durante gli attacchi S. DDo | | GetGlobalThreatData | Concede l'autorizzazione a recuperare i dati e le tendenze globali di intelligence sulle minacce dai sistemi di monitoraggio delle minacce di AWS Shield. | Questo esempio mostra come è possibile creare una policy che consenta di visualizzare le informazioni sugli attacchi DDo S nella console. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "shield:DescribeAttackContributors" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "shield:ListMitigations" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "shield:GetGlobalThreatData" ], "Resource": "*" } ] } ``` ------ ## Consentire agli utenti di visualizzare le loro autorizzazioni Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando programmaticamente l' AWS CLI API o. AWS ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Concedi l'accesso in lettura alle tue protezioni Shield Advanced AWS Shield consente l'accesso alle risorse tra account, ma non consente di creare protezioni delle risorse tra account. È possibile creare protezioni per le risorse solo dall'interno dell'account proprietario di tali risorse. Di seguito viene riportata una policy di esempio che concede le autorizzazioni per l'operazione `shield:ListProtections` su tutte le risorse. Shield non supporta l'identificazione di risorse specifiche utilizzando la risorsa ARNs (denominate anche autorizzazioni a livello di risorsa) per alcune azioni dell'API, quindi è necessario specificare un carattere jolly (\$1). Ciò consente solo l'accesso alle risorse che è possibile recuperare tramite l'azione. `ListProtections` ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ListProtections", "Effect": "Allow", "Action": [ "shield:ListProtections" ], "Resource": "*" } ] } ``` ------ ## Concedi l'accesso in sola lettura a Shield e CloudFront CloudWatch La seguente politica garantisce agli utenti l'accesso in sola lettura a Shield e alle risorse associate, incluse le CloudFront risorse Amazon e i parametri Amazon. CloudWatch È utile per gli utenti che necessitano dell'autorizzazione per visualizzare le impostazioni nelle protezioni e negli attacchi Shield e per monitorare le metriche in. CloudWatch Questi utenti non possono creare, aggiornare o eliminare le risorse Shield. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ProtectedResourcesReadAccess", "Effect": "Allow", "Action": [ "cloudfront:List*", "route53:List*", "cloudfront:Describe*", "elasticloadbalancing:Describe*", "cloudwatch:Describe*", "cloudwatch:Get*", "cloudwatch:List*", "cloudfront:GetDistribution*", "globalaccelerator:ListAccelerators", "globalaccelerator:DescribeAccelerator" ], "Resource": [ "arn:aws:elasticloadbalancing:*:*:*", "arn:aws:cloudfront::*:*", "arn:aws:route53:::hostedzone/*", "arn:aws:cloudwatch:*:*:*:*", "arn:aws:globalaccelerator::*:*" ] }, { "Sid": "ShieldReadOnly", "Effect": "Allow", "Action": [ "shield:List*", "shield:Describe*", "shield:Get*" ], "Resource": "*" } ] } ``` ------ ## Concedi l'accesso completo a Shield CloudFront, e CloudWatch La seguente politica consente agli utenti di eseguire qualsiasi operazione Shield, eseguire qualsiasi operazione sulle distribuzioni CloudFront Web e monitorare le metriche e un campione di richieste in. CloudWatch È utile per gli utenti che sono amministratori di Shield. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ProtectedResourcesReadAccess", "Effect": "Allow", "Action": [ "cloudfront:List*", "route53:List*", "cloudfront:Describe*", "elasticloadbalancing:Describe*", "cloudwatch:Describe*", "cloudwatch:Get*", "cloudwatch:List*", "cloudfront:GetDistribution*", "globalaccelerator:ListAccelerators", "globalaccelerator:DescribeAccelerator" ], "Resource": [ "arn:aws:elasticloadbalancing:*:*:*", "arn:aws:cloudfront::*:*", "arn:aws:route53:::hostedzone/*", "arn:aws:cloudwatch:*:*:*:*", "arn:aws:globalaccelerator::*:*" ] }, { "Sid": "ShieldFullAccess", "Effect": "Allow", "Action": [ "shield:*" ], "Resource": "*" } ] } ``` ------ Consigliamo vivamente di configurare l'autenticazione a più fattori (MFA) per gli utenti che dispongono di autorizzazioni amministrative. *Per ulteriori informazioni, consulta [Using Multi-Factor Authentication (MFA) Devices AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/Using_ManagingMFA.html) with nella IAM User Guide.* # AWS politiche gestite per AWS Shield Una politica AWS gestita è una politica autonoma creata e amministrata da AWS. AWS le politiche gestite sono progettate per fornire autorizzazioni per molti casi d'uso comuni, in modo da poter iniziare ad assegnare autorizzazioni a utenti, gruppi e ruoli. Tieni presente che le policy AWS gestite potrebbero non concedere le autorizzazioni con il privilegio minimo per i tuoi casi d'uso specifici, poiché sono disponibili per tutti i clienti. AWS Si consiglia pertanto di ridurre ulteriormente le autorizzazioni definendo [policy gestite dal cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) specifiche per i propri casi d'uso. Non è possibile modificare le autorizzazioni definite nelle politiche gestite. AWS Se AWS aggiorna le autorizzazioni definite in una politica AWS gestita, l'aggiornamento ha effetto su tutte le identità principali (utenti, gruppi e ruoli) a cui è associata la politica. AWS è più probabile che aggiorni una policy AWS gestita quando ne Servizio AWS viene lanciata una nuova o quando diventano disponibili nuove operazioni API per i servizi esistenti. Per ulteriori informazioni, consultare [Policy gestite da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) nella *Guida per l'utente di IAM*. ## AWS politica gestita: AWSShield DRTAccess politica Questa sezione spiega come utilizzare le politiche AWS gestite per Shield. AWS Shield utilizza questa politica gestita quando concedi l'autorizzazione allo Shield Response Team (SRT) di agire per tuo conto. Questa politica offre all'SRT un accesso limitato al tuo AWS account, per contribuire alla mitigazione DDo degli attacchi S durante eventi ad alta gravità. Questa politica consente a SRT di gestire AWS WAF le regole e le protezioni Shield Advanced e di accedere AWS WAF ai registri. Per informazioni sulla concessione dell'autorizzazione all'SRT di operare per vostro conto, consultate. [Concessione dell'accesso all'SRT](ddos-srt-access.md) Per i dettagli su questa policy, consulta [AWSShieldDRTAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSShieldDRTAccessPolicy) nella console IAM. ## AWS politica gestita: AWSShield ServiceRolePolicy Shield Advanced utilizza questa politica gestita quando abiliti la mitigazione automatica del livello DDo S dell'applicazione, per impostare le autorizzazioni necessarie per gestire le risorse del tuo account. Questa politica consente a Shield Advanced di creare e applicare AWS WAF regole e gruppi di regole sul Web ACLs che hai associato alle tue risorse protette, per rispondere automaticamente agli attacchi DDo S. Non puoi collegarti AWSShield ServiceRolePolicy alle tue entità IAM. Shield associa questa politica al ruolo collegato al servizio per `AWSServiceRoleForAWSShield` consentire a Shield di eseguire azioni per conto dell'utente. Shield Advanced consente l'uso di questa politica quando si abilita la mitigazione automatica del livello di applicazione DDo S. Per ulteriori informazioni sull'uso di questa politica, vedere[Automatizzazione della mitigazione del livello DDo S delle applicazioni con Shield Advanced](ddos-automatic-app-layer-response.md). Per informazioni sul ruolo collegato al servizio AWSService RoleFor AWSShield che utilizza questa politica, consulta [Utilizzo di ruoli collegati ai servizi per Shield Advanced](shd-using-service-linked-roles.md) Per i dettagli su questa politica, consulta [AWSShieldServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSShieldServiceRolePolicy)nella console IAM. ## Aggiornamenti Shield alle politiche AWS gestite Visualizza i dettagli sugli aggiornamenti delle politiche AWS gestite per Shield da quando questo servizio ha iniziato a tenere traccia di queste modifiche. Per ricevere avvisi automatici sulle modifiche a questa pagina, iscriviti al feed RSS nella pagina della cronologia dei documenti Shield all'indirizzo. [Cronologia dei documenti](doc-history.md) | Policy | Descrizione della modifica | Data | | --- | --- | --- | | `AWSShieldServiceRolePolicy` Questa politica consente a Shield di accedere e gestire AWS le risorse per rispondere automaticamente agli attacchi di livello DDo S dell'applicazione per conto dell'utente. Dettagli nella console IAM: [AWSShieldServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSShieldServiceRolePolicy) Il ruolo collegato al servizio `AWSServiceRoleForAWSShield` utilizza questa politica. Per informazioni, consulta [Utilizzo di ruoli collegati ai servizi per Shield Advanced](shd-using-service-linked-roles.md). | È stata aggiunta questa politica per fornire a Shield Advanced le autorizzazioni necessarie per la funzionalità di mitigazione automatica del livello di applicazione DDo S. Per informazioni su questa funzionalità, consulta. [Automatizzazione della mitigazione del livello DDo S delle applicazioni con Shield Advanced](ddos-automatic-app-layer-response.md) | 1° dicembre 2021 | | Shield ha iniziato a tracciare le modifiche | Shield ha iniziato a tracciare le modifiche per le sue politiche AWS gestite. | 3 marzo 2021 | # Risoluzione dei problemi di AWS Shield identità e accesso Utilizza le seguenti informazioni per aiutarti a diagnosticare e risolvere i problemi più comuni che potresti riscontrare quando lavori con Shield e IAM. **Topics** + [Non sono autorizzato a eseguire un'azione in Shield](#shd-security_iam_troubleshoot-no-permissions) + [Non sono autorizzato a eseguire iam: PassRole](#shd-security_iam_troubleshoot-passrole) + [Voglio consentire a persone esterne a me di accedere Account AWS alle mie risorse Shield](#shd-security_iam_troubleshoot-cross-account-access) ## Non sono autorizzato a eseguire un'azione in Shield Se ricevi un errore che indica che non sei autorizzato a eseguire un’operazione, le tue policy devono essere aggiornate per poter eseguire l’operazione. L’errore di esempio seguente si verifica quando l’utente IAM `mateojackson` prova a utilizzare la console per visualizzare i dettagli relativi a una risorsa `my-example-widget` fittizia ma non dispone di autorizzazioni `shield:GetWidget` fittizie. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: shield:GetWidget on resource: my-example-widget ``` In questo caso, la policy per l’utente `mateojackson` deve essere aggiornata per consentire l’accesso alla risorsa `my-example-widget` utilizzando l’azione `shield:GetWidget`. Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ti ha fornito le credenziali di accesso. ## Non sono autorizzato a eseguire iam: PassRole Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire l'`iam:PassRole`azione, le tue politiche devono essere aggiornate per consentirti di trasferire un ruolo a Shield. Alcuni Servizi AWS consentono di trasferire un ruolo esistente a quel servizio invece di creare un nuovo ruolo di servizio o un ruolo collegato al servizio. Per eseguire questa operazione, è necessario disporre delle autorizzazioni per trasmettere il ruolo al servizio. Il seguente errore di esempio si verifica quando un utente IAM denominato `marymajor` tenta di utilizzare la console per eseguire un'azione in Shield. Tuttavia, l’azione richiede che il servizio disponga delle autorizzazioni concesse da un ruolo di servizio. Mary non dispone delle autorizzazioni per trasmettere il ruolo al servizio. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` In questo caso, le policy di Mary devono essere aggiornate per poter eseguire l’operazione `iam:PassRole`. Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ti ha fornito le credenziali di accesso. ## Voglio consentire a persone esterne a me di accedere Account AWS alle mie risorse Shield È possibile creare un ruolo con il quale utenti in altri account o persone esterne all’organizzazione possono accedere alle tue risorse. È possibile specificare chi è attendibile per l’assunzione del ruolo. Per i servizi che supportano politiche basate sulle risorse o liste di controllo degli accessi (ACLs), puoi utilizzare tali politiche per concedere alle persone l'accesso alle tue risorse. Per maggiori informazioni, consulta gli argomenti seguenti: + Per sapere se Shield supporta queste funzionalità, consulta[Come AWS Shield funziona con IAM](shd-security_iam_service-with-iam.md). + Per scoprire come fornire l'accesso alle tue risorse attraverso Account AWS le risorse di tua proprietà, consulta [Fornire l'accesso a un utente IAM in un altro Account AWS di tua proprietà](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) nella *IAM User Guide*. + Per scoprire come fornire l'accesso alle tue risorse a terze parti Account AWS, consulta [Fornire l'accesso a soggetti Account AWS di proprietà di terze parti](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) nella *Guida per l'utente IAM*. + Per informazioni su come fornire l’accesso tramite la federazione delle identità, consulta [Fornire l’accesso a utenti autenticati esternamente (Federazione delle identità)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) nella *Guida per l’utente IAM*. + Per informazioni sulle differenze tra l'utilizzo di ruoli e policy basate su risorse per l'accesso multi-account, consultare [Differenza tra i ruoli IAM e le policy basate su risorse](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html) nella *Guida per l'utente di IAM*. # Utilizzo di ruoli collegati ai servizi per Shield Advanced Questa sezione spiega come utilizzare i ruoli collegati ai servizi per consentire a Shield Advanced l'accesso alle risorse del tuo AWS account. AWS Shield Advanced utilizza ruoli collegati ai [servizi AWS Identity and Access Management](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) (IAM). Un ruolo collegato ai servizi è un tipo unico di ruolo IAM collegato direttamente a Shield Advanced. I ruoli collegati ai servizi sono predefiniti da Shield Advanced e includono tutte le autorizzazioni richieste dal servizio per chiamare altri AWS servizi per tuo conto. Un ruolo collegato al servizio semplifica la configurazione di Shield Advanced perché non è necessario aggiungere manualmente le autorizzazioni necessarie. Shield Advanced definisce le autorizzazioni dei suoi ruoli collegati ai servizi e, se non diversamente definito, solo Shield Advanced può assumerne i ruoli. Le autorizzazioni definite includono la policy di attendibilità e la policy delle autorizzazioni che non può essere allegata a nessun’altra entità IAM. È possibile eliminare un ruolo collegato al servizio solo dopo avere eliminato le risorse correlate. In questo modo proteggi le tue risorse Shield Advanced perché non puoi rimuovere inavvertitamente l'autorizzazione ad accedere alle risorse. Per informazioni sugli altri servizi che supportano i ruoli collegati ai servizi, consulta la sezione [Servizi AWS che funzionano con IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) e cerca i servizi che riportano **Sì** nella colonna **Ruolo associato ai servizi**. Scegli **Sì** in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio. ## Autorizzazioni di ruolo collegate ai servizi per Shield Advanced Shield Advanced utilizza il ruolo collegato al servizio denominato. **AWSServiceRoleForAWSShield** Questo ruolo consente a Shield Advanced di accedere e gestire AWS le risorse per rispondere automaticamente agli attacchi di livello DDo S delle applicazioni per tuo conto. Per ulteriori informazioni su questa funzionalità, vedere[Automatizzazione della mitigazione del livello DDo S delle applicazioni con Shield Advanced](ddos-automatic-app-layer-response.md). Il ruolo AWSService RoleFor AWSShield collegato al servizio prevede che i seguenti servizi assumano il ruolo: + `shield.amazonaws.com` La politica di autorizzazione dei ruoli denominata AWSShield ServiceRolePolicy consente a Shield Advanced di completare le seguenti azioni su tutte le AWS risorse: + `wafv2:GetWebACL` + `wafv2:UpdateWebACL` + `wafv2:GetWebACLForResource` + `wafv2:ListResourcesForWebACL` + `cloudfront:ListDistributions` + `cloudfront:GetDistribution` Quando le azioni sono consentite su tutte AWS le risorse, ciò è indicato nella politica come`"Resource": "*"`. Ciò significa solo che il ruolo collegato al servizio può eseguire ogni azione indicata su tutte le AWS risorse *supportate dall'azione*. Ad esempio, l'azione `wafv2:GetWebACL` è supportata solo per le risorse `wafv2` Web ACL. Shield Advanced effettua chiamate API a livello di risorsa solo per le risorse protette per le quali hai abilitato la funzionalità di protezione a livello di applicazione e per il Web associate a ACLs tali risorse protette. Per consentire a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio è necessario configurare le relative autorizzazioni. Per ulteriori informazioni, consulta [Autorizzazioni del ruolo collegato ai servizi](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) nella *Guida per l'utente di IAM*. ## Creazione di un ruolo collegato ai servizi per Shield Advanced Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando abiliti la mitigazione automatica del livello di applicazione DDo S per una risorsa nella Console di gestione AWS, nella o nell' AWS API AWS CLI, Shield Advanced crea automaticamente il ruolo collegato al servizio. Se elimini questo ruolo collegato al servizio, è possibile ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell’account. Quando abiliti la mitigazione automatica del livello di applicazione DDo S per una risorsa, Shield Advanced crea nuovamente il ruolo collegato al servizio per te. ## Modifica di un ruolo collegato ai servizi per Shield Advanced Shield Advanced non consente di modificare il ruolo AWSService RoleFor AWSShield collegato al servizio. Dopo avere creato un ruolo collegato al servizio, non sarà possibile modificarne il nome perché varie entità potrebbero farvi riferimento. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, consulta la sezione [Modifica di un ruolo collegato ai servizi](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) nella *Guida per l'utente di IAM*. ## Eliminazione di un ruolo collegato ai servizi per Shield Advanced Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario effettuare la pulizia delle risorse associate al ruolo collegato al servizio prima di poterlo eliminare manualmente. **Nota** Se Shield Advanced utilizza il ruolo quando si tenta di eliminare le risorse, l'eliminazione potrebbe non riuscire. In questo caso, attendi alcuni minuti e quindi ripeti l’operazione. **Per eliminare le risorse Shield Advanced utilizzate da AWSService RoleFor AWSShield** Per tutte le risorse su cui sono configurate le protezioni del livello di applicazione DDo S, disabilita la mitigazione automatica del livello di applicazione DDo S. Per istruzioni relative alla console, consulta [Configura le protezioni del livello DDo S dell'applicazione](manage-protection.md#configure-app-layer-protection). **Per eliminare manualmente il ruolo collegato ai servizi mediante IAM** Utilizza la console IAM AWS CLI, o l' AWS API per eliminare il ruolo collegato al AWSService RoleFor AWSShield servizio. Per ulteriori informazioni, consulta [Eliminazione del ruolo collegato al servizio](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) nella *Guida per l’utente di IAM*. ## Regioni supportate per i ruoli collegati ai servizi Shield Advanced Shield Advanced supporta l'utilizzo di ruoli collegati ai servizi in tutte le regioni in cui il servizio è disponibile. Per ulteriori informazioni, consulta [Endpoint e quote Shield Advanced](https://docs.aws.amazon.com/general/latest/gr/shield.html).