本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

默认拒绝

概述

什么是默认拒绝？

如果不使用 “默认拒绝”，Amazon Quick 发布的任何新功能将在发布时自动提供给所有用户。每次发布后，管理员必须手动限制每项新功能。这种被动的方法可以在管理员有时间评估受监管的环境之前将其暴露在未经批准的功能中。

启用 “默认拒绝” 后，受限类别中的新权能将在启动当天自动拒绝，无需管理员操作。然后，管理员可以评估每项新功能，并在准备就绪后明确允许使用。限制类别还会限制该类别中已有的功能，因此您可以允许用户使用所需的功能。

类别限制的运作方式

当您限制自定义权限配置文件中的某个权能类别时，Quick 会将该类别中的所有权能限制为分配的用户。这包括 Quick 将来推出的功能。要保持特定功能可用，请在配置文件中明确允许这些功能。

现有配置文件未更改

限制类别仅影响您在其中配置该类别的配置文件。现有的自定义权限配置文件不继承该限制。要使用它，要么创建一个限制类别的新个人资料，要么编辑现有的个人资料。如果您在现有配置文件上启用该功能，则该类别中的所有权能都将受到限制，包括配置文件先前允许的功能。允许您的用户需要的那些。

何时使用此功能

“默认拒绝” 专为需要明确批准才能向用户提供新功能的组织而设计。常见使用案例包括：

重要概念

下表描述了 “默认拒绝” 的关键术语和概念。

先决条件

在配置 “默认拒绝” 之前，请验证是否满足以下先决条件。

如何评估能力

以下规则描述了启用 “默认拒绝” 时能力评估的工作原理。规则是按顺序评估的。

用户每次访问某项权能时，Quick 都会根据该权能当时的类别成员资格评估这些规则。这就是为什么受限类别还涵盖了稍后添加的功能的原因。

这意味着，当 Quick 在受限类别中启动一项新功能时，其配置文件已DENY_BY_DEFAULT启用该类别的所有用户将自动拒绝该功能。无需管理员执行任何操作。该限制在功能启动之日生效。

支持的类别

下表描述了 “默认拒绝” 支持的类别。

配置默认拒绝（快速控制台）

在创建或编辑自定义权限配置文件时，您可以配置 “默认拒绝”。该设置由配置文件配置页面上的 “限制功能” 部分控制。

要从配置文件中移除 “默认拒绝”，请编辑配置文件并关闭 “限制功能” 部分中的类别开关。先前被拒绝的权能可供分配给配置文件的用户使用。

默认配置 “拒绝” (AWS CLI)

在启用 “ AWS Command Line Interface 默认拒绝” 的情况下，您可以使用创建和管理自定义权限配置文件。

以下示例创建了AI类别设置为DENY_BY_DEFAULT、权能明确允许的自定义权限配置文件。ChatAgent

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

以下示例更新了现有配置文件上的 “默认拒绝” 设置。

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW", "Flow": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

以下示例描述了启用 “默认拒绝” 的配置文件。

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME

要完全使用 CLI 从配置文件中删除 “默认拒绝”，请省略更新调用中的--governance标志。

示例

示例 1：将现有配置文件转换为默认拒绝

此示例说明如何将明确拒绝某些 AI 功能的现有默认允许配置文件转换为默认拒绝配置文件。

场景：您的自定义权限配置文件明确拒绝 Flow、Automate 和 ChatAgent 功能。默认情况下，所有其他功能都可用。

运行以下命令查看您当前的配置文件配置：

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

该命令返回的输出类似于下方内容：

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Flow": "DENY",
            "Automate": "DENY",
            "ChatAgent": "DENY"
        }
    }
}

问题：当 Quick 启动新的 AI 功能时，具有此配置文件的用户可以自动使用该功能，因为该配置文件仅屏蔽明确列出的功能。未列出新功能，因此默认情况下允许使用。

解决方案：将配置文件转换为默认拒绝。当你转换时，你会颠倒逻辑。您可以列出允许的权能，而不是列出要拒绝的权能。所有未明确允许的内容都将被拒绝。

首先，确定要允许哪些 AI 功能。在这种情况下，您希望用户保留对 “研究”、“主题” 和 “空间” 的访问权限。 KnowledgeBase

运行以下命令使用 “默认拒绝” 更新配置文件：

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

结果：现在，当 Quick 启动任何新的 AI 功能时，拥有此配置文件的用户都会被自动拒绝。只有 “研究” KnowledgeBase、“主题” 和 “空间” 可用。Flow、Automate 和任何未来的人工智能功能都被拒绝。 ChatAgent

示例 2：为新账户设置 “默认拒绝”

此示例说明如何从第一天起为新的 Quick 账户锁定所有 AI 功能。

场景：您正在注册一个新账户，并希望限制所有 AI 功能，直到您的团队单独评估每个功能。

运行以下命令创建默认拒绝所有 AI 功能且不明确允许的配置文件：

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

运行以下命令在账户级别分配配置文件，使其适用于所有用户：

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount"

结果：账户中的每位用户的所有 AI 功能都被拒绝。在评估和批准单个权能时，您可以更新配置文件以将其添加到允许列表中。

示例 3：启动后允许特定的新功能

此示例说明如何批准 Quick 在启用 “默认拒绝” 后启动的新功能。

场景：Quick 推出了一项名为 AI 的新 AI 功能NewAIFeature。您的团队会对其进行评估并决定批准其供用户使用。

首先，描述当前配置文件以获取当前状态：

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

该命令将返回以下输出：

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Research": "ALLOW",
            "Topic": "ALLOW",
            "KnowledgeBase": "ALLOW",
            "Space": "ALLOW"
        },
        "Governance": {
            "DefaultCategoryEffects": {
                "AI": "DENY_BY_DEFAULT"
            }
        }
    }
}

更新配置文件以将新功能包含在允许列表中。必须包括所有现有功能以及新功能，因为此更新将进行全面替换：

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW", "NewAIFeature": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

结果：使用此配置文件的用户现在可以使用新功能。所有其他未列出的人工智能功能仍被拒绝。

示例 4：使用 “默认拒绝” 的 Multi-level 优先级

此示例说明在多个级别分配配置文件时，“默认拒绝” 如何与优先级层次结构交互。

场景：您希望大多数用户使用 AI 的默认拒绝功能来锁定，但您希望作者能够访问更多功能。特定的数据科学家需要完全访问所有人工智能功能。

Account-level （最严格）：创建默认拒绝所有 AI 且不允许的配置文件。在账户级别进行分配。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI"

Role-level （作者）：使用 “默认拒绝” 创建配置文件，但允许高级用户拥有更多功能。将其分配给作者角色。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Author-LimitedAI" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-role-custom-permission \
--role AUTHOR \
--aws-account-id AWSACCOUNTID \
--namespace default \
--custom-permissions-name "Author-LimitedAI"

User-level （数据科学家）：创建默认允许且不受限制的配置文件。将其分配给特定用户。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DataScientist-FullAccess"

aws quicksight update-user-custom-permission \
--aws-account-id AWSACCOUNTID \
--namespace default \
--user-name DATA_SCIENTIST_USERNAME \
--custom-permissions-name "DataScientist-FullAccess"

结果：

问题排查

用户仍然可以访问我预计会被拒绝的功能

请验证以下内容：