本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

限制 AWS 帳戶中的客服人員存取

AWS DevOps Agent 使用 IAM 角色在事件調查和預防性評估期間探索和描述 AWS 資源。您可以透過設定連接到這些角色的 IAM 政策來控制代理程式的存取層級。應用程式拓撲不會顯示代理程式可存取的所有內容，IAM 政策是真正限制代理程式可存取 AWS 的服務 APIs和資源的唯一方法。

了解 AWS 適用於 DevOps 代理程式的 IAM 角色

AWS DevOps Agent 使用 IAM 角色來存取兩種帳戶中的資源：

對於任一類型的帳戶，您可以限制代理程式可以存取 AWS 的服務、限制對這些服務中特定資源的存取，以及控制代理程式可以操作的區域。

選擇您的資源界限

限制資源存取時，您需要包含足夠的許可，讓代理程式成功調查應用程式事件。其中包含：

支援基礎設施可能包括：

如果您限制存取太窄，代理程式可能無法識別源自於您定義界限外之支援基礎設施的根本原因。

限制服務存取

您可以修改連接至客服人員角色的 IAM 政策，以限制客服人員可存取 AWS 的服務。建立自訂政策時，請遵循下列最佳實務：

限制為特定 服務的政策範例：

json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:GetMetricData",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:DescribeAlarms",
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "ec2:DescribeInstances",
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

限制資源存取

若要將代理程式限制在服務中的特定資源，請在 IAM 政策中使用資源層級許可。這可讓您僅將存取權授予符合特定模式的資源。

使用資源 ARN 模式：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "arn:aws:lambda:*:*:function:production-*"
    }
  ]
}

此範例限制代理程式只能存取名稱開頭為 "production-" 的 Lambda 函數。

使用標籤型限制：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "production"
        }
      }
    }
  ]
}

此範例限制代理程式只能存取以 標記的 EC2 執行個體Environment=production。

限制區域存取

若要限制代理程式可存取 AWS 的區域，請在 IAM 政策中使用 aws:RequestedRegion條件索引鍵：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "lambda:Get*",
        "cloudwatch:Get*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": [
            "us-east-1",
            "us-west-2"
          ]
        }
      }
    }
  ]
}

此範例限制代理程式只能存取 us-east-1 和 us-west-2 區域中的資源。

建立自訂 IAM 政策

當您建立客服人員空間或新增次要帳戶時，您可以選擇使用政策範本建立自訂 IAM 角色。這可讓您實作最低權限原則。

建立 代理程式空間時

從 AWS 管理主控台中的 DevOps Agent 主控台...

編輯客服人員空間時

從 AWS 管理主控台中的 DevOps Agent 主控台...

自訂政策最佳實務