本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # AWS 帳單執行器的安全性 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性： + **雲端的安全性** – AWS 負責保護在 AWS Cloud 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。在[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們的安全有效性。若要了解適用於 AWS Billing Conductor 的合規計劃，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 AWS Billing Conductor 時套用共同責任模型。下列主題說明如何設定 AWS Billing Conductor 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 AWS Billing Conductor 資源。 **Topics** + [AWS Billing Conductor 中的資料保護](data-protection.md) + [的身分和存取管理 AWS Billing Conductor](security-iam.md) + [在 AWS Billing Conductor 中記錄和監控](billing-security-logging.md) + [AWS Billing Conductor 的合規驗證](Billing-compliance.md) + [AWS 帳單執行器中的彈性](disaster-recovery-resiliency.md) + [AWS Billing Conductor 中的基礎設施安全性](infrastructure-security.md) # AWS Billing Conductor 中的資料保護 AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 AWS Billing Conductor 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 AWS Billing Conductor 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 # 的身分和存取管理 AWS Billing Conductor AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 Billing Conductor 資源。IAM 是 AWS 服務 您可以免費使用的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS Billing Conductor 如何使用 IAM](security_iam_service-with-iam.md) + [AWS Billing Conductor 身分型政策範例](security_iam_id-based-policy-examples.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Billing Conductor 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Billing Conductor 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [AWS Billing Conductor 身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須驗證為 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 存取控制清單 (ACL) 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 Amazon S3 AWS WAF和 Amazon VPC 是支援 ACLs的服務範例。如需進一步了解 ACL，請參閱《Amazon Simple Storage Service 開發人員指南》**中的[存取控制清單 (ACL) 概觀](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS Billing Conductor 如何使用 IAM 在您使用 IAM 管理 Billing Conductor 的存取權之前，您應該了解哪些 IAM 功能可與 Billing Conductor 搭配使用。若要全面了解 Billing Conductor 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **Topics** + [Billing Conductor 身分型政策](#security_iam_service-with-iam-id-based-policies) + [Billing Conductor 資源型政策](#security_iam_service-with-iam-resource-based-policies) + [存取控制清單 (ACL)](#security_iam_service-with-iam-acls) + [以 Billing Conductor 標籤為基礎的授權](#security_iam_service-with-iam-tags) + [Billing Conductor IAM 角色](#security_iam_service-with-iam-roles) ## Billing Conductor 身分型政策 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。Billing Conductor 支援特定動作、資源和條件索引鍵。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 動作 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 Billing Conductor 中的政策動作在動作之前使用下列字首：`Billing Conductor:`。例如，若要授予某人使用 Amazon EC2 `RunInstances` API 作業來執行 Amazon EC2 執行個體的許可，請在其政策中加入 `ec2:RunInstances` 動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Billing Conductor 會定義自己的一組動作，描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示： ``` "Action": [ "ec2:action1", "ec2:action2" ``` 您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作： ``` "Action": "ec2:Describe*" ``` 若要查看 Billing Conductor 動作清單，請參閱《*IAM 使用者指南*》中的 [AWS Billing Conductor 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions)。 ### Resources 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` Amazon EC2 執行個體資源具有下列 ARN： ``` arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId} ``` 如需 ARNs 格式的詳細資訊，請參閱 [Amazon Resource Name (ARNs AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。 例如，若要在陳述式中指定 `i-1234567890abcdef0` 執行個體，請使用以下 ARN： ``` "Resource": "arn:aws:ec2:us-east-1:123456789012:instance/i-1234567890abcdef0" ``` 若要指定屬於特定帳戶的所有執行個體，請使用萬用字元 (\$1)： ``` "Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*" ``` 有些 Billing Conductor 動作無法在特定資源上執行，例如用於建立資源的動作。在這些情況下，您必須使用萬用字元 (\$1)。 ``` "Resource": "*" ``` 許多 Amazon EC2 API 動作都涉及多個資源。例如，`AttachVolume` 會將 Amazon EBS 磁碟區連接至執行個體，所以 IAM 使用者必須具備該磁碟區與執行個體的使用許可。若要在單一陳述式中指定多項資源，請使用逗號分隔 ARN。 ``` "Resource": [ "resource1", "resource2" ``` 若要查看 Billing Conductor 資源類型及其 ARNs 的清單，請參閱《*IAM 使用者指南*》中的 [AWS Billing Conductor 定義的資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS Billing Conductor 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions)。 ### 條件索引鍵 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 Billing Conductor 定義自己的一組條件索引鍵，也支援使用一些全域條件索引鍵。若要查看所有 AWS 全域條件金鑰，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 所有 Amazon EC2 操作都支援 `aws:RequestedRegion` 和 `ec2:Region` 條件索引鍵。如需詳細資訊，請參閱[範例：將存取限制在特定區域](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ExamplePolicies_EC2.html#iam-example-region)。 若要查看 Billing Conductor 條件索引鍵的清單，請參閱《*IAM 使用者指南*》中的 [AWS Billing Conductor 的條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-policy-keys)。若要了解您可以使用條件金鑰的動作和資源，請參閱 [AWS Billing Conductor 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions)。 ### 範例 若要檢視 Billing Conductor 身分型政策的範例，請參閱 [AWS Billing Conductor 身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Billing Conductor 資源型政策 資源型政策是 JSON 政策文件，指定指定委託人可以在 Billing Conductor 資源上執行的動作，以及在哪些條件下執行的動作。Amazon S3 支援 Amazon S3 *儲存貯體*的資源型許可政策。資源型政策可讓您依資源將使用許可授予至其他帳戶。您也可以使用資源型政策，允許 AWS 服務存取您的 Amazon S3 *儲存貯體*。 若要啟用跨帳戶存取，您可以指定在其他帳戶內的所有帳戶或 IAM 實體，作為[資源型政策的委託人](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。新增跨帳戶主體至資源型政策，只是建立信任關係的一半。當委託人和資源位於不同的 AWS 帳戶中時，您還必須授予委託人實體存取資源的許可。透過將身分型政策連接到實體來授予許可。不過，如果資源型政策會為相同帳戶中的委託人授予存取，這時就不需要額外的身分型政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 角色與以資源為基礎的原則有何差異](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html)。 Amazon S3 服務僅支援一種資源型政策，稱為儲存**貯*體政策*，連接到儲存*貯體*。此政策定義哪些主體實體 （帳戶、使用者、角色和聯合身分使用者） 可以在 *Billing Conductor* 上執行動作。 ### 範例 若要檢視 Billing Conductor 資源型政策的範例，請參閱 [AWS Billing Conductor 資源型政策範例](security_iam_resource-based-policy-examples.md)， ## 存取控制清單 (ACL) 存取控制清單 (ACLs) 是您可以附加資源的授權清單。他們授與帳戶和要附加這些政策的資源的存取許可。您可以將 ACLs 連接至 Amazon S3 儲存*貯體*資源。 透過 Amazon S3 存取控制清單 (ACLs存取。 **每個*儲存貯體*都會有一個與其連接的 ACL 作為子資源。它定義了哪些 AWS 帳戶、IAM 使用者或使用者群組，或 IAM 角色被授予存取和存取類型。收到資源的請求時， 會 AWS 檢查對應的 ACL，以確認請求者具有必要的存取許可。 當您建立儲存*貯*體資源時，Amazon S3 會建立預設 ACL，授予資源擁有者對資源的完整控制權。在下列範例*儲存貯體* ACL 中，John Doe 會列為*儲存貯體*的擁有者，並獲授與對該*儲存貯體*的完整控制。一個 ACL 最多可以有 100 個被授與者。 ``` c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6 john-doe c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6 john-doe FULL_CONTROL ``` ACL 中的 ID 欄位是 AWS 帳戶正式使用者 ID。若要了解如何在您擁有的帳戶中檢視此 ID，請參閱[尋找 AWS 帳戶正式使用者 ID](https://docs.aws.amazon.com/general/latest/gr/acct-identifiers.html#FindingCanonicalId)。 ## 以 Billing Conductor 標籤為基礎的授權 您可以將標籤連接至 Billing Conductor 資源，或在請求中將標籤傳遞給 Billing Conductor。如需根據標籤控制存取，請使用 `Billing Conductor:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 ## Billing Conductor IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。 ### 搭配 Billing Conductor 使用臨時登入資料 您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。 Billing Conductor 支援使用臨時登入資料。 ### 服務連結角色 [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代表您完成 動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 ### 服務角色 此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。 Billing Conductor 支援服務角色。 ### 在 Billing Conductor 中選擇 IAM 角色 當您在 Billing Conductor 中建立資源時，您必須選擇角色，以允許 Billing Conductor 代表您存取 Amazon EC2。如果您先前已建立服務角色或服務連結角色，則 Billing Conductor 會為您提供可供選擇的角色清單。請務必選擇允許存取啟動和停止 Amazon EC2 執行個體的角色。 # AWS Billing Conductor 身分型政策範例 根據預設，IAM 使用者和角色沒有建立或修改 Billing Conductor 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 作業的所需許可。管理員接著必須將這些政策連接至需要這些許可的 IAM 使用者或群組。 若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》**中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [Billing Conductor 身分型政策範例](#security_policy-examples) + [AWS AWS Billing Conductor 的 受管政策](security-iam-awsmanpol.md) + [AWS Billing Conductor 資源型政策範例](security_iam_resource-based-policy-examples.md) + [對 AWS Billing Conductor 身分和存取進行故障診斷](security_iam_troubleshoot.md) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Billing Conductor 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並轉向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 ，例如 使用服務動作 AWS 服務，您也可以使用條件來授予存取 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## Billing Conductor 身分型政策範例 本主題包含您可以連接到 IAM 使用者或群組的範例政策，以控制對帳戶資訊和工具的存取。 **Topics** + [授予 Billing Conductor 主控台的完整存取權](#security_iam_id-based-policy-examples-console) + [授予 Billing Conductor API 的完整存取權](#security_iam_id-based-policy-examples-fullAPI) + [授予 Billing Conductor 主控台的唯讀存取權](#security_iam_id-based-policy-examples-readonly) + [透過 Billing 主控台授予 Billing Conductor 存取權](#security_iam_id-based-policy-examples-ABCthroughbilling) + [透過 AWS 成本和用量報告授予帳單執行者存取權](#security_iam_id-based-policy-examples-ABCthroughCUR) + [授予 Billing Conductor 對匯入組織單位功能的存取權](#security_iam_id-based-policy-examples-ABCaccessOU) + [拒絕 Billing and Cost Explorer 存取不支援形式成本的服務和功能](#deny-access-proforma-costs) + [依帳單群組建立形式 CUR](#allow-legacy-cur) ### 授予 Billing Conductor 主控台的完整存取權 若要存取 Billing Conductor 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 Billing Conductor 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (IAM 使用者或角色) 而言，主控台就無法如預期運作。 為了確保這些實體仍然可以使用 Billing Conductor 主控台，請將下列 AWS 受管政策連接至實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[將許可新增至使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)： 除了`billingconductor:*`許可之外， `pricing:DescribeServices` 是建立定價規則的必要項目，也`organizations:ListAccounts`需要列出連結至付款人帳戶的連結帳戶。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "billingconductor:*", "Resource": "*" }, { "Effect": "Allow", "Action": [ "organizations:ListAccounts", "organizations:DescribeAccount" ], "Resource": "*" }, { "Effect": "Allow", "Action": "pricing:DescribeServices", "Resource": "*" } ] } ``` ------ 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合您嘗試執行之 API 作業的動作就可以了。 ### 授予 Billing Conductor API 的完整存取權 在此範例中，您將 Billing Conductor API 的完整存取權授予 IAM 實體。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "billingconductor:*", "Resource": "*" }, { "Effect": "Allow", "Action": "organizations:ListAccounts", "Resource": "*" } ] } ``` ------ ### 授予 Billing Conductor 主控台的唯讀存取權 在此範例中，您將 Billing Conductor 主控台的唯讀存取權授予 IAM 實體。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "billingconductor:List*", "Resource": "*" }, { "Effect": "Allow", "Action": "organizations:ListAccounts", "Resource": "*" }, { "Effect": "Allow", "Action": "pricing:DescribeServices", "Resource": "*" } ] } ``` ------ ### 透過 Billing 主控台授予 Billing Conductor 存取權 在此範例中，IAM 實體可以透過其帳單主控台中的帳單頁面切換和檢視形式分析帳單資料。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "billing:ListBillingViews", "aws-portal:ViewBilling" ], "Resource": "*" } ] } ``` ------ ### 透過 AWS 成本和用量報告授予帳單執行者存取權 在此範例中，IAM 實體可以透過其帳單主控台中的成本和用量報告頁面切換和檢視形式帳單資料。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "billing:ListBillingViews", "aws-portal:ViewBilling", "cur:DescribeReportDefinitions" ], "Resource": "*" } ] } ``` ------ ### 授予 Billing Conductor 對匯入組織單位功能的存取權 在此範例中，IAM 實體可以唯讀存取您在建立帳單群組時匯入組織單位 (OU) 帳戶所需的特定 AWS Organizations API 操作。匯入 OU 功能位於 AWS Billing Conductor 主控台。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "organizations:ListRoots", "organizations:ListOrganizationalUnitsForParent", "organizations:ListChildren" ], "Resource": "*" } ] } ``` ------ ### 拒絕 Billing and Cost Explorer 存取不支援形式成本的服務和功能 在此範例中，IAM 實體無法存取不支援形式成本的服務和功能。此政策包含管理帳戶和個別成員帳戶中可能的 動作清單。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Effect": "Deny", "Action": [ "aws-portal:ModifyAccount", "aws-portal:ModifyBilling", "aws-portal:ModifyPaymentMethods", "aws-portal:ViewPaymentMethods", "aws-portal:ViewAccount", "cur:GetClassic*", "cur:Validate*", "tax:List*", "tax:Get*", "tax:Put*", "tax:ListTaxRegistrations", "tax:BatchPut*", "tax:UpdateExemptions", "freetier:Get*", "payments:Get*", "payments:List*", "payments:Update*", "payments:GetPaymentInstrument", "payments:GetPaymentStatus", "purchase-orders:ListPurchaseOrders", "purchase-orders:ListPurchaseOrderInvoices", "consolidatedbilling:GetAccountBillingRole", "consolidatedbilling:Get*", "consolidatedbilling:List*", "invoicing:List*", "invoicing:Get*", "account:Get*", "account:List*", "account:CloseAccount", "account:DisableRegion", "account:EnableRegion", "account:GetContactInformation", "account:GetAccountInformation", "account:PutContactInformation", "billing:GetBillingPreferences", "billing:GetContractInformation", "billing:GetCredits", "billing:RedeemCredits", "billing:Update*", "ce:GetPreferences", "ce:UpdatePreferences", "ce:GetReservationCoverage", "ce:GetReservationPurchaseRecommendation", "ce:GetReservationUtilization", "ce:GetSavingsPlansCoverage", "ce:GetSavingsPlansPurchaseRecommendation", "ce:GetSavingsPlansUtilization", "ce:GetSavingsPlansUtilizationDetails", "ce:ListSavingsPlansPurchaseRecommendationGeneration", "ce:StartSavingsPlansPurchaseRecommendationGeneration", "ce:UpdateNotificationSubscription" ], "Resource": "*" }] } ``` ------ 如需詳細資訊，請參閱[AWS 服務 支援以形式為基礎的計費檢視成本](service-integrations-support-proforma.md)。 ### 依帳單群組建立形式 CUR 步驟 1：允許 IAM 使用者完整存取舊版 CUR 和帳單群組帳單檢視。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "CurDataAccess", "Effect": "Allow", "Action": "cur:PutReportDefinition", "Resource": [ "arn:*:cur:*:*:definition/*", "arn:aws:billing::*:billingview/*" ] } ] } ``` 步驟 2：若要將 IAM 角色指派為可存取特定帳單群組，請新增使用者可存取的帳單檢視 ARN。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "CurDataAccess", "Effect": "Allow", "Action": "cur:PutReportDefinition", "Resource":[ "arn:aws:cur:us-east-1:123456789012:definition/*", "arn:aws:billing::AWS-account-ID:billingview/billing-group-$billinggroup-primary-account-ID" ] } ] } ``` 如需詳細資訊，請參閱[依帳單群組設定成本和用量報告](configuring-abc.md)。 # AWS AWS Billing Conductor 的 受管政策 若要新增許可給使用者、群組和角色，使用 AWS 受管政策比自行撰寫政策更容易。建立 [IAM 客戶受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要時間和專業知識，而受管政策可為您的團隊提供其所需的許可。若要快速開始使用，您可以使用我們的 AWS 受管政策。這些政策涵蓋常見的使用案例，並可在您的 AWS 帳戶中使用。如需 AWS 受管政策的詳細資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 AWS 服務會維護和更新 AWS 受管政策。您無法變更 AWS 受管政策中的許可。服務偶爾會在 AWS 受管政策中新增其他許可以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時，服務很可能會更新 AWS 受管政策。服務不會從 AWS 受管政策中移除許可，因此政策更新不會破壞您現有的許可。 此外， AWS 支援跨多個 服務之任務函數的受管政策。例如，**ReadOnlyAccess** AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 *IAM 使用者指南*中[有關任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 ## AWS 受管政策：AWSBillingConductorFullAccess AWSBillingConductorFullAccess 受管政策會授予 AWS Billing Conductor 主控台和 APIs的完整存取權。使用者可以列出、建立和刪除 AWS Billing Conductor 資源。 若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [AWSBillingConductorFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBillingConductorFullAccess.html)。 ## AWS 受管政策：AWSBillingConductorReadOnlyAccess AWSBillingConductorReadOnlyAccess 受管政策授予 AWS Billing Conductor 主控台和 APIs唯讀存取權。使用者可以檢視和列出所有 AWS Billing Conductor 資源。使用者無法建立或刪除資源。 若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [AWSBillingConductorReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBillingConductorReadOnlyAccess.html)。 ## AWS AWS 受管政策的 Billing Conductor 更新 檢視自此服務開始追蹤這些變更以來 AWS ， Billing Conductor 受 AWS 管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Billing Conductor Document 歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSBillingConductorFullAccess](#security-iam-awsmanpol-fullaccess) - 更新現有政策 | 我們已將 `organizations:DescribeResponsibilityTransfer`和 `organizations:ListInboundResponsibilityTransfers`動作新增至`AWSBillingConductorFullAccess`政策。 | 2025 年 11 月 19 日 | | [AWSBillingConductorFullAccess](#security-iam-awsmanpol-fullaccess) - 更新現有政策 | 我們已將下列動作新增至`AWSBillingConductorFullAccess`政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/billingconductor/latest/userguide/security-iam-awsmanpol.html) | 2025 年 9 月 9 日 | | [AWSBillingConductorReadOnlyAccess](#security-iam-awsmanpol-readonly) - 更新現有政策 | 我們已將下列動作新增至`AWSBillingConductorReadOnlyAccess`政策： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/billingconductor/latest/userguide/security-iam-awsmanpol.html) | 2025 年 9 月 9 日 | | AWSBillingConductorReadOnlyAccess | 已`GetBillingGroupCostReport`新增至`AWSBillingConductorReadOnlyAccess`政策。 | 2024 年 2 月 8 日 | | AWSBillingConductorFullAccess | 建立的政策 | 2022 年 3 月 29 日 | | AWSBillingConductorReadOnlyAccess | 建立的政策 | 2022 年 3 月 29 日 | | AWS 已發佈 Billing Conductor 變更日誌 | AWS Billing Conductor 開始追蹤其 AWS 受管政策的變更。 | 2022 年 3 月 29 日 | # AWS Billing Conductor 資源型政策範例 **Topics** + [限制 Amazon S3 儲存貯體對特定 IP 地址的存取權](#security_iam_resource-based-policy-examples-restrict-bucket-by-ip) ## 限制 Amazon S3 儲存貯體對特定 IP 地址的存取權 下列範例會將許可授予任何使用者，以對指定儲存貯體中的物件執行任何 Amazon S3 操作。不過，要求必須源自於條件中所指定的 IP 地址範圍。 此陳述式中的條件會識別允許之 Internet Protocol Version 4 (IPv4) IP 地址的 54.240.143.\$1 範圍，但有一個例外：54.240.143.188。 `Condition` 區塊使用 `IpAddress`和 `NotIpAddress`條件和 `aws:SourceIp` 條件索引鍵，這是 AWS 寬條件索引鍵。如需這些條件索引鍵的詳細資訊，請參閱[在政策中指定條件](https://docs.aws.amazon.com/AmazonS3/latest/userguide/amazon-s3-policy-keys.html)。`aws:sourceIp` IPv4 值會使用標準 CIDR 表示法。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IP 地址條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_IPAddress)。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Id": "S3PolicyId1", "Statement": [ { "Sid": "IPAllow", "Effect": "Allow", "Principal": "*", "Action": "s3:*", "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*", "Condition": { "IpAddress": {"aws:SourceIp": "54.240.143.0/24"}, "NotIpAddress": {"aws:SourceIp": "54.240.143.188/32"} } } ] } ``` ------ # 對 AWS Billing Conductor 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 Billing Conductor 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 Billing Conductor 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 AWS 帳戶外的人員存取我的 Billing Conductor 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 Billing Conductor 中執行動作 如果 AWS 管理主控台 告知您無權執行 動作，則必須聯絡您的管理員尋求協助。您的管理員是為您提供使用者名稱和密碼的人員。 當 IAM `mateojackson` 使用者嘗試使用主控台檢視 *Billing Conductor* 的詳細資訊，但沒有`Billing Conductor:GetWidget`許可時，會發生下列範例錯誤。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: Billing Conductor:GetWidget on resource: my-example-Billing Conductor ``` 在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `my-example-Billing Conductor` 動作存取 `Billing Conductor:GetWidget` 資源。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 Billing Conductor。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 Billing Conductor 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 AWS 帳戶外的人員存取我的 Billing Conductor 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 Billing Conductor 是否支援這些功能，請參閱 [AWS Billing Conductor 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何提供您擁有 AWS 帳戶 的資源存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 在 AWS Billing Conductor 中記錄和監控 監控是維護 AWS 帳戶的可靠性、可用性和效能的重要部分。有數種工具可用來監控您的 AWS Billing Conductor 用量。 ## AWS 成本和用量報告 AWS 成本和用量報告會追蹤您的 AWS 用量，並提供與您的帳戶相關聯的預估費用。每個報告都包含您在 AWS 帳戶中使用的每個 AWS 產品、用量類型和操作唯一組合的明細項目。您可以自訂 AWS 成本和用量報告，以按小時或日期彙總資訊。 如需 AWS 成本和用量報告的詳細資訊，請參閱 [https://docs.aws.amazon.com/cur/latest/userguide/what-is-cur.html](https://docs.aws.amazon.com/cur/latest/userguide/what-is-cur.html)。 # 使用 記錄 AWS Billing Conductor API 呼叫 AWS CloudTrail AWS Billing Conductor 已與 服務整合 AWS CloudTrail，此服務提供由使用者、角色或 AWS Billing Conductor 中的 AWS 服務所採取之動作的記錄。CloudTrail 會將 AWS Billing Conductor 的所有 API 呼叫擷取為事件。擷取的呼叫包括來自 AWS Billing Conductor 主控台的呼叫，以及對 AWS Billing Conductor API 操作的程式碼呼叫。如果您建立線索，您可以將 CloudTrail 事件持續交付至 Amazon S3 儲存貯體，包括 AWS Billing Conductor 的事件。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的**事件歷史記錄**檢視最新事件。您可以使用 CloudTrail 所收集的資訊，判斷向 AWS Billing Conductor 提出的請求、提出請求的 IP 地址、提出請求的人員、提出請求的時間，以及其他詳細資訊。 若要進一步了解 CloudTrail，請參閱[「AWS CloudTrail 使用者指南」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)。 ## AWS Billing Conductor CloudTrail 事件 本節顯示與 Billing and Cost Management 相關之 CloudTrail 事件的完整清單。 **** | 事件名稱 | 定義 | | --- | --- | | `AssociateAccounts` | 記錄帳戶與帳單群組的關聯。 | | `AssociatePricingRules` | 記錄定價規則與定價計劃的關聯。 | | `AutoAssociateAccount` | 記錄帳戶與帳單群組的自動關聯。 | | `AutoDisassociateAccount` | 在下一個帳單期間，記錄帳戶與帳單群組的自動取消關聯。 | | `BatchAssociateResourcesToCustomLineItem` | 記錄資源與百分比自訂明細項目的批次關聯。 | | `BatchDisassociateResourcesFromCustomLineItem` | 記錄資源與百分比自訂明細項目的批次取消關聯。 | | `CreateBillingGroup` | 記錄帳單群組的建立。 | | `CreateCustomLineItem` | 記錄自訂明細項目的建立。 | | `CreatePricingPlan` | 記錄定價計劃的建立。 | | `CreatePricingRule` | 記錄定價規則的建立。 | | `DeleteBillingGroup` | 記錄帳單群組的刪除。 | | `DeleteCustomLineItem` | 記錄刪除自訂明細項目。 | | `DeletePricingPlan` | 記錄刪除定價計劃。 | | `DeletePricingRule` | 記錄刪除定價規則。 | | `DisassociateAccounts` | 記錄帳戶與帳單群組的取消關聯。 | | `DisassociatePricingRules` | 記錄定價規則與定價計劃的取消關聯。 | | `ListAccountAssociations` | 記錄對帳單群組中帳戶 ID 的存取。 | | `ListBillingGroupCostReports` | 記錄帳單群組實際 AWS 費用的存取權。 | | `ListBillingGroups` | 記錄帳單期間對帳單群組的存取。 | | `ListCustomLineItems` | 記錄對計費期間內自訂明細項目的存取。 | | `ListCustomLineItemVersions` | 記錄自訂明細項目版本的存取權。 | | `ListPricingPlans` | 記錄計費期間對定價計劃的存取。 | | `ListPricingPlansAssociatedWithPricingRule` | 記錄與定價規則相關聯的定價計劃的存取權。 | | `ListPricingRules` | 記錄計費期間對定價規則的存取。 | | `ListPricingRulesAssociatedToPricingPlan` | 記錄與定價計劃相關聯的定價規則存取權。 | | `ListResourcesAssociatedToCustomLineItem` | 記錄與自訂明細項目相關聯之資源的存取權。 | | `ListTagsForResource` | 記錄對資源上標籤的存取。 | | `TagResource` | 記錄資源上標籤的關聯。 | | `UpdateBillingGroup` | 記錄帳單群組的更新。 | | `UpdateCustomLineItem` | 記錄自訂明細項目的更新。 | | `UpdatePricingPlan` | 記錄定價計劃的更新。 | | `UpdatePricingRule` | 記錄定價規則的更新。 | ## AWS CloudTrail 中的帳單執行器資訊 當您建立帳戶 AWS 帳戶 時，您的 上會啟用 CloudTrail。當 AWS Billing Conductor 中發生活動時，該活動會記錄在 CloudTrail 事件中，以及**事件歷史記錄**中的其他服務 AWS 事件。您可以在 中檢視、搜尋和下載最近的事件 AWS 帳戶。如需詳細資訊，請參閱[「使用 CloudTrail 事件歷史記錄檢視事件」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。 如需持續記錄 中的事件 AWS 帳戶，包括 AWS Billing Conductor 的事件，請建立追蹤。*線索*能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。依預設，當您在主控台中建立追蹤時，該追蹤會套用至所有的 AWS 區域。線索會記錄 AWS 分割區中所有區域的事件，並將日誌檔案交付至您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS 服務，以進一步分析和處理 CloudTrail 日誌中所收集的事件資料。如需詳細資訊，請參閱下列內容： + [建立追蹤的概觀](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html) + [CloudTrail 支援的服務和整合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html) + [設定 CloudTrail 的 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html) + [接收多個區域的 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)和[接收多個帳戶的 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html) CloudTrail 會記錄所有 AWS Billing Conductor 動作，並記錄在 [AWS Billing Conductor API 參考](https://docs.aws.amazon.com/billingconductor/latest/APIReference)中。 每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項： + 是否使用根或 AWS Identity and Access Management (IAM) 使用者登入資料提出請求。 + 提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。 + 請求是否由其他 AWS 服務提出。 如需詳細資訊，請參閱 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。 ## 了解 AWS Billing Conductor 日誌檔案項目 追蹤是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一或多個日誌專案。一個事件為任何來源提出的單一請求，並包含請求動作、請求的日期和時間、請求參數等資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。 **Topics** + [AutoAssociateAccount](#CT-example-auto) + [CreateBillingGroup](#CT-example-create) ### AutoAssociateAccount 以下範例顯示的是展示 `AutoAssociateAccount` 動作的 CloudTrail 日誌項目。 ``` { "eventVersion": "1.09", "userIdentity": { "accountId": "111122223333", "invokedBy": "billingconductor.amazonaws.com" }, "eventTime": "2024-02-23T00:22:08Z", "eventSource": "billingconductor.amazonaws.com", "eventName": "AutoAssociateAccount", "awsRegion": "us-east-1", "sourceIPAddress": "billingconductor.amazonaws.com", "userAgent": "billingconductor.amazonaws.com", "requestParameters": null, "responseElements": null, "requestID": "1v14d239-fe63-4d2b-b3cd-450905b6c33", "eventID": "14536982-geff-4fe8-bh18-f18jde35218d0", "readOnly": false, "eventType": "AwsServiceEvent", "managementEvent": true, "recipientAccountId": "111122223333", "serviceEventDetails": { "requestParameters": { "Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666", "AccountIds": [ "333333333333" ] }, "responseElements": { "Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666" } }, "eventCategory": "Management" } ``` ### CreateBillingGroup 以下範例顯示的是展示 `CreateBillingGroup` 動作的 CloudTrail 日誌項目。 ``` { "eventVersion": "1.08", "userIdentity": { "accountId":"111122223333", "accessKeyId":"ASIAIOSFODNN7EXAMPLE" }, "eventTime": "2024-01-24T20:30:03Z", "eventSource": "billingconductor.amazonaws.com", "eventName": "CreateBillingGroup", "awsRegion": "us-east-1", "sourceIPAddress": "100.100.10.10", "userAgent": "aws-internal/3 aws-sdk-java/1.11.465 Linux/4.9.124-0.1.ac.198.73.329.metal1.x86_64 OpenJDK_64-Bit_Server_VM/25.192-b12 java/1.8.0_192", "requestParameters": { "PrimaryAccountId": "444455556666", "ComputationPreference": { "PricingPlanArn": "arn:aws:billingconductor::111122223333:pricingplan/TqeITi5Bgh" }, "X-Amzn-Client-Token": "32aafb5s-e5b6-47f5-9795-3a69935e9da4", "AccountGrouping": { "LinkedAccountIds": [ "444455556666", "111122223333" ] }, "Name": "***" }, "responseElements": { "Access-Control-Expose-Headers": "x-amzn-RequestId,x-amzn-ErrorType,x-amzn-ErrorMessage,Date", "Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666" }, "requestID": "fb26ae47-3510-a833-98fe-3dc0f602gb49", "eventID": "3ab70d86-c63e-46fd8d-a33s-ce2970441a8", "readOnly": false, "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" } ``` # AWS Billing Conductor 的合規驗證 在多個合規計劃中，第三方稽核人員會評估 AWS 服務的安全性和 AWS 合規性。 AWS Billing Conductor 不在任何 AWS 合規計劃範圍內。 如需特定合規計劃範圍內 AWS 的服務清單，請參閱[AWS 合規計劃範圍內的服務](https://aws.amazon.com/compliance/services-in-scope/)。如需一般資訊，請參閱 [AWS Compliance Programs](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱在 [AWS Artifact 中下載報告](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)在 。 您使用 AWS Billing Conductor 時的合規責任取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。 AWS 提供下列資源來協助合規： + [安全與合規快速入門指南](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance)：這些部署指南討論架構考量，並提供在 AWS上部署以安全及合規為重心之基準環境的步驟。 + [AWS 合規資源](https://aws.amazon.com/compliance/resources/) – 此工作手冊和指南集合可能適用於您的產業和位置。 + 《 *AWS Config 開發人員指南*》中的[使用規則評估資源](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html) – AWS Config 服務會評估資源組態符合內部實務、產業準則和法規的程度。 + [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) – AWS 此服務提供 內安全狀態的全方位檢視 AWS ，可協助您檢查是否符合安全產業標準和最佳實務。 # AWS 帳單執行器中的彈性 AWS 全球基礎設施是以 AWS 區域和可用區域為基礎建置的。 AWS 區域提供多個實體隔離和隔離的可用區域，這些區域以低延遲、高輸送量和高度備援的網路連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # AWS Billing Conductor 中的基礎設施安全性 作為受管服務， AWS Billing Conductor 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及 如何 AWS 保護基礎設施的相關資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫，透過網路存取 Billing Conductor。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 # AWS Billing Conductor 使用界面端點存取 (AWS PrivateLink) 您可以使用 在 VPC 和 之間 AWS PrivateLink 建立私有連線 AWS Billing Conductor。您可以像在 VPC 中一樣存取 Billing Conductor，無需使用網際網路閘道、NAT 裝置、VPN 連接或 Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址即可存取 Billing Conductor。 您可以建立由 AWS PrivateLink提供支援的*介面端點*來建立此私有連線。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是請求者管理的網路介面，可做為目的地為 Billing Conductor 之流量的進入點。 如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[AWS 服務 透過 存取 AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) 。 ## Billing Conductor 的考量事項 在您設定 Billing Conductor 的介面端點之前，請檢閱《 *AWS PrivateLink 指南*》中的[考量事項](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。 Billing Conductor 支援透過界面端點呼叫其所有 API 動作。 Billing Conductor 不支援 VPC 端點政策。根據預設，允許透過界面端點完整存取 Billing Conductor。或者，您可以將安全群組與端點網路介面建立關聯，以控制透過介面端點流向 Billing Conductor 的流量。 ## 建立 Billing Conductor 的介面端點 您可以使用 Amazon VPC 主控台或 AWS Command Line Interface () 為 Billing Conductor 建立介面端點AWS CLI。如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)」。 使用下列服務名稱建立 Billing Conductor 的介面端點： ``` com.amazonaws.region.service-name ``` 如果您為介面端點啟用私有 DNS，您可以使用其預設的區域 DNS 名稱向 Billing Conductor 提出 API 請求。例如 `service-name.us-east-1.amazonaws.com`。 ## 為您的介面端點建立端點政策 端點政策為 IAM 資源，您可將其連接至介面端點。預設端點政策允許透過介面端點完整存取 Billing Conductor。若要控制來自 VPC 的 Billing Conductor 允許存取，請將自訂端點政策連接至介面端點。 端點政策會指定以下資訊： + 可執行動作 (AWS 帳戶、IAM 使用者和 IAM 角色) 的主體。 + 可執行的動作。 + 可供執行動作的資源。 如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[使用端點政策控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)」。 **範例：帳單執行器動作的 VPC 端點政策** 以下是自訂端點政策的範例。當您將此政策連接到介面端點時，它會授予所有資源上所有主體所列出的 Billing Conductor 動作的存取權。 ``` { "Statement": [ { "Principal": "*", "Effect": "Allow", "Action": "billingconductor:*", "Resource":"*" } ] } ```