翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

サードパーティー統合のための Amazon Q Developer へのアクセスを管理する

サードパーティーの統合では、アイデンティティベースでもリソースベースでもない IAM ポリシーではなく、 AWS Key Management Service (KMS) を使用して Amazon Q Developer へのアクセスを管理する必要があります。

管理者がカスタマーマネージドキーを使用してロールポリシーを更新できるようにする

次のキーポリシーの例では、KMS コンソールで設定されたロールにキーポリシーを作成するときに、カスタマーマネージドキー (CMK) を使用するアクセス許可を付与します。CMK を設定するときは、Amazon Q を呼び出すために統合で使用される識別子である IAM ロール ARN を指定する必要があります。GitLab インスタンスなどの統合を既にオンボードしている場合は、CMK で暗号化されるすべてのリソースについてインスタンスを再オンボードする必要があります。

kms:ViaService 条件キーは、指定された AWS サービスからのリクエストに KMS キーの使用を制限します。さらに、リクエストが特定のサービスから送信されたときに KMS キーを使用するアクセス許可を拒否するために使用されます。条件キーを使用すると、コンテンツの暗号化または復号に CMK を使用できるユーザーを制限できます。詳細については、AWS Key Management Service デベロッパーガイドのkms:Via ViaServiceService」を参照してください。 AWS Key Management Service

KMS 暗号化コンテキストでは、対称暗号化 KMS キーを使用して暗号化オペレーションに含めることができるオプションのキーと値のペアのセットがあり、認可と監査性を強化できます。暗号化コンテキストを使用して、暗号化されたデータの整合性と信頼性を検証し、キーポリシーと IAM ポリシーで対称暗号化 KMS キーへのアクセスを制御し、AWS CloudTrail ログで暗号化オペレーションを特定および分類できます。詳細については、AWS Key Management Service デベロッパーガイドの「暗号化コンテキスト」を参照してください。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Sid0",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/rolename"
            },
            "Action": [
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "q.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws-crypto-ec:aws:qdeveloper:accountId": "accountId"
                }
            }
        }
    ]
}