本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon Lightsail 中的安全性
的雲端安全 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。
安全是 AWS 與您之間的共同責任。[共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/) 將此描述為雲端*的*安全和雲端*內*的安全：
+ **雲端的安全性** – AWS 負責保護在 AWS Cloud 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。若要了解合規計畫與適用的服務，請參閱[合規計畫範圍內的 AWS 服務](https://aws.amazon.com/compliance/services-in-scope/)。
+ **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。
本文件有助於您了解如何在使用 Amazon Lightsail 時套用共同責任模型。下列主題說明如何將 Amazon Lightsail 設定為達到您的安全及合規目標。您也將了解如何使用其他 AWS 服務來協助您監控並保護 Amazon Lightsail 資源。
# Amazon Lightsail 中的基礎設施安全
作為受管服務， Amazon Lightsail 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的相關資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務設計您的 AWS 環境，請參閱 *Security Pillar AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。
您可以使用 AWS 發佈的 API 呼叫，Lightsail透過網路存取 。使用者端必須支援下列專案：
+ Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。
此外，請求必須使用存取金鑰 ID 和與 IAM 主體相關聯的私密存取金鑰來簽署。或者，您可以使用 [AWS Security Token Service](https://docs.aws.amazon.com/STS/latest/APIReference/Welcome.html) (AWS STS) 以產生暫時安全憑證以簽署請求。
# Amazon Lightsail 中的恢復能力
AWS 全球基礎設施是以 AWS 區域和可用區域為基礎建置。 AWS 區域提供多個實體分隔和隔離的可用區域，這些可用區域以低延遲、高輸送量和高度備援聯網連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。
如需 AWS 區域 和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。
除了 AWS 全球基礎設施之外， Amazon Lightsail還提供數種功能，以協助支援您的資料彈性和備份需求。
+ 跨區域複製執行個體和磁碟快照。如需詳細資訊，請參閱[快照](understanding-snapshots-in-amazon-lightsail.md)。
+ 使執行個體和磁碟快照自動化。如需詳細資訊，請參閱[快照](understanding-snapshots-in-amazon-lightsail.md)。
+ 使用負載平衡器，將傳入流量分配到單一可用區域或多個可用區域中的多個執行個體。如需詳細資訊，請參閱[負載平衡器](understanding-lightsail-load-balancers.md)。
# 適用於 Amazon Lightsail 的 Identity and Access Management
## 目標對象
使用方式 AWS Identity and Access Management (IAM) 會有所不同，取決於您在 中執行的工作Amazon Lightsail。
**服務使用者**：如果使用 Amazon Lightsail 執行任務，管理員會為您提供所需的憑證和許可。隨著您為了執行作業而使用的 Amazon Lightsail 功能數量變多，您可能會需要額外的許可。了解存取的管理方式可協助您向管理員請求正確的許可。如果無法存取 Amazon Lightsail 中的某項功能，請參閱[針對 Identity and Access Management (IAM) 進行故障診斷](security_iam_troubleshoot.md)。
**服務管理員**：如果您負責公司內的 Amazon Lightsail 資源，您可能具備 Amazon Lightsail 的完整存取權限。您的任務是判斷您員工應存取的 Amazon Lightsail 功能及資源。接著，您必須將請求提交給您的 IAM 管理員，來變更您服務使用者的許可。檢閱此頁面上的資訊，了解 IAM 的基本概念。若要進一步了解公司如何搭配使用 IAM 與 Amazon Lightsail，請參閱 [Amazon Lightsail 如何搭配 IAM 運作](security_iam_service-with-iam.md)。
**IAM 管理員**：如果您是 IAM 管理員，建議您掌握如何撰寫政策以管理 Amazon Lightsail 存取權的詳細資訊。若要檢視您可以在 IAM 中使用的 Amazon Lightsail 身分型政策範例，請參閱 [Amazon Lightsail 身分型政策範例](security_iam_id-based-policy-examples.md)。
## 使用身分來驗證
身分驗證是您 AWS 使用身分憑證登入 的方式。如需使用 登入的詳細資訊 AWS 管理主控台，請參閱[《IAM 使用者指南》中的 IAM 主控台和登入頁面](https://docs.aws.amazon.com/IAM/latest/UserGuide/console.html)。 **
您必須以 AWS 帳戶 根使用者、IAM 使用者或擔任 IAM 角色身分*進行身分驗證* （登入 AWS)。您也可以使用貴公司的單一登入身分驗證，甚至使用 Google 或 Facebook 進行登入。在上述案例中，您的管理員會使用 IAM 角色預先設定聯合身分。當您 AWS 使用其他公司的登入資料存取 時，您會間接擔任角色。
若要直接登入 [AWS 管理主控台](https://console.aws.amazon.com/)，請使用根使用者電子郵件或 IAM 使用者名稱密碼。您可以使用根使用者或 IAM 使用者存取金鑰以 AWS 程式設計方式存取 。 AWS 提供 SDK 和命令列工具，以使用您的登入資料以密碼編譯方式簽署您的請求。如果您不使用 AWS 工具，則必須自行簽署請求。請使用 *Signature 第 4 版*來執行此作業，它是針對傳入 API 請求進行身分驗證的通訊協定。如需有關驗證請求的詳細資訊，請參閱《AWS 一般參考》**中的 [Signature 第 4 版簽署程序](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html)。
無論您使用何種身分驗證方法，您可能還需要提供額外的安全性資訊。例如， AWS 建議您使用多重驗證 (MFA) 來提高帳戶的安全性。如需更多資訊，請參閱*《IAM 使用者指南》*中的[在 AWS中使用多重要素驗證 (MFA)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html)。
### AWS 帳戶 根使用者
當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分可完整存取所有 AWS 服務 和 資源。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### IAM 使用者和群組
*IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者，以 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。
[IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
使用臨時憑證的 IAM 角色在下列情況中非常有用：
+ **暫時 IAM 使用者許可**：使用者可以擔任 IAM 角色來暫時針對特定任務採用不同的許可。
+ **聯合身分使用者存取** – 如需向聯合身分指派許可，請建立角色，並為角色定義許可。當聯合身分進行身分驗證時，該身分會與角色建立關聯，並獲授予由角色定義的許可。如需有關聯合角色的相關資訊，請參閱《*IAM 使用者指南*》中的[為第三方身分提供者 (聯合) 建立角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html)。如果您使用 IAM Identity Center，則需要設定許可集。為控制身分驗證後可以存取的內容，IAM Identity Center 將許可集與 IAM 中的角色相關聯。如需有關許可集的資訊，請參閱《*AWS IAM Identity Center 使用者指南*》中的[許可集](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)。
+ **跨帳戶存取權**：您可以使用 IAM 角色，允許不同帳戶中的某人 (信任的主體) 存取您帳戶的資源。角色是授予跨帳戶存取權的主要方式。不過，對於某些 AWS 服務，您可以直接將政策連接到資源 （而不是使用角色做為代理）。如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱*IAM 使用者指南*中的 [IAM 角色與資源類型政策的差異](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html)。
+ **跨服務存取** – 有些 AWS 服務 使用其他 中的功能 AWS 服務。例如，當您在服務中進行呼叫時，該服務通常會在 Amazon EC2 中執行應用程式或將物件儲存在 Amazon Simple Storage Service (Amazon S3) 中。服務可能會使用呼叫主體的許可、使用服務角色或使用服務連結角色來執行此作業。
+ **轉送存取工作階段 (FAS)** – 當您使用 IAM 使用者或角色在其中執行動作時 AWS，您會被視為委託人。政策能將許可授予主體。當您使用某些服務時，您可能會執行一個動作，然後在不同的服務中觸發另一個動作。在此情況下，您必須具有執行這兩個動作的許可。如要查看動作是否需要政策中的其他相依動作，請參閱*服務授權參考*中的 [Amazon Lightsail 動作、資源和條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html)。
+ **服務角色** – 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代表您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
+ **服務連結角色** – 服務連結角色是一種連結至 的服務角色。 AWS 服務服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
+ **在 Amazon EC2 上執行的應用程式** – 您可以使用 IAM 角色來管理在 EC2 執行個體上執行之應用程式的臨時登入資料，以及提出 AWS CLI 或 AWS API 請求。這是在 EC2 執行個體內儲存存取金鑰的較好方式。若要將 AWS 角色指派給 EC2 執行個體並將其提供給其所有應用程式，您可以建立連接至執行個體的執行個體描述檔。執行個體設定檔包含該角色，並且可讓 EC2 執行個體上執行的程式取得臨時憑證。如需詳細資訊，請參閱 *IAM 使用者指南*中的[使用 IAM 角色來授予許可權給 Amazon EC2 執行個體上執行的應用程式](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)。
如需了解是否要使用 IAM 角色或 IAM 使用者，請參閱 *IAM 使用者指南*中的[建立 IAM 角色 (而非使用者) 的時機](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html#id_which-to-choose_role)。
## 使用政策管理存取權
您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。
預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
每個 IAM 實體 (使用者或角色) 在開始時都沒有許可。換句話說，根據預設，使用者無法執行任何作業，甚至也無法變更他們自己的密碼。若要授予使用者執行動作的許可，管理員必須將許可政策連接到使用者。或者，管理員可以將使用者新增到具備預定許可的群組。管理員將許可給予群組時，該群組中的所有使用者都會獲得那些許可。
IAM 政策定義該動作的許可，無論您使用何種方法來執行操作。例如，假設您有一個允許 `iam:GetRole` 動作的政策。具有該政策的使用者可以從 AWS 管理主控台 AWS CLI、 或 AWS API 取得角色資訊。
### 身分型政策
身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
### 資源型政策
資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。
資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。
### 存取控制清單 (ACL)
存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。
Amazon S3 AWS WAF和 Amazon VPC 是支援 ACLs的服務範例。如需進一步了解 ACL，請參閱《Amazon Simple Storage Service 開發人員指南》**中的[存取控制清單 (ACL) 概觀](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。
存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。
### 其他政策類型
AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可：
+ **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
+ **許可界限** – 許可範圍是一種進階功能，可供您設定身分型政策能授予 IAM 實體 (IAM 使用者或角色) 的最大許可。您可以為實體設定許可界限。所產生的許可會是實體的身分型政策和其許可界限的交集。會在 `Principal` 欄位中指定使用者或角色的資源型政策則不會受到許可界限限制。所有這類政策中的明確拒絕都會覆寫該允許。如需許可界限的詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 SCPs)** – SCPs是 JSON 政策，可指定 中組織或組織單位 (OU) 的最大許可 AWS Organizations。 AWS Organizations 是一種用於分組和集中管理您企業擁有 AWS 帳戶 之多個 的服務。若您啟用組織中的所有功能，您可以將服務控制政策 (SCP) 套用到任何或所有帳戶。SCP 會限制成員帳戶中實體的許可，包括每個 AWS 帳戶 根使用者。如需 Organizations 和 SCP 的詳細資訊，請參閱 *AWS Organizations 使用者指南*中的 [SCP 運作方式](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_about-scps.html)。
+ **工作階段政策** – 工作階段政策是一種進階政策，您可以在透過編寫程式的方式建立角色或聯合使用者的暫時工作階段時，作為參數傳遞。所產生工作階段的許可會是使用者或角色的身分型政策和工作階段政策的交集。許可也可以來自資源型政策。所有這類政策中的明確拒絕都會覆寫該允許。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多種政策類型
當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 決定是否在涉及多個政策類型時允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
**Topics**
+ [
## 目標對象
](#security_iam_audience)
+ [
## 使用身分來驗證
](#security_iam_authentication)
+ [
## 使用政策管理存取權
](#security_iam_access-manage)
+ [AWS 受管政策](security-iam-awsmanpol.md)
+ [Lightsail 政策和角色](security_iam_service-with-iam.md)
+ [管理 IAM 使用者存取權](amazon-lightsail-managing-access-for-an-iam-user.md)
# AWS 的 受管政策 Amazon Lightsail
若要新增許可給使用者、群組和角色，使用 AWS 受管政策比自行撰寫政策更容易。建立 [IAM 客戶受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要時間和專業知識，而受管政策可為您的團隊提供其所需的許可。若要快速開始使用，您可以使用我們的 AWS 受管政策。這些政策涵蓋常見的使用案例，並可在您的 AWS 帳戶中使用。如需 AWS 受管政策的詳細資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
AWS 服務會維護和更新 AWS 受管政策。您無法變更 AWS 受管政策中的許可。服務偶爾會將其他許可新增至 AWS 受管政策，以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時，服務最有可能更新 AWS 受管政策。服務不會從 AWS 受管政策移除許可，因此政策更新不會破壞您現有的許可。
此外， AWS 支援跨多個 服務之任務函數的受管政策。例如，**ReadOnlyAccess** AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 *IAM 使用者指南*中[有關任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
## AWS 受管政策：LightsailExportAccess
您無法將 LightsailExportAccess 連接至 IAM 實體。此政策會連接到服務連結角色，而此角色可讓 Lightsail 代表您執行動作。如需詳細資訊，請參閱[服務連結角色](amazon-lightsail-using-service-linked-roles.md)。
此政策會授予許可，允許 Lightsail 將您的執行個體和磁碟快照匯出至 Amazon Elastic Compute Cloud，並從 Amazon Simple Storage Service (Amazon S3) 中取得目前帳户層級的「封鎖公開存取」組態。
**許可詳細資訊**
此政策包含以下許可。
+ `ec2` – 允許列出和複製執行個體映像和磁碟快照的存取權。
+ `iam` – 允許刪除服務連結角色並擷取服務連結角色刪除狀態的存取權。
+ `s3` ：允許擷取 AWS 帳戶`PublicAccessBlock`組態的存取權。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iam:DeleteServiceLinkedRole",
"iam:GetServiceLinkedRoleDeletionStatus"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
},
{
"Effect": "Allow",
"Action": [
"ec2:CopySnapshot",
"ec2:DescribeSnapshots",
"ec2:CopyImage",
"ec2:DescribeImages"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"s3:GetAccountPublicAccessBlock"
],
"Resource": "*"
}
]
}
```
------
## Lightsail AWS 受管政策的更新
+ 編輯 `LightsailExportAccess` 受管政策
新增 `s3:GetAccountPublicAccessBlock` 動作至 `LightsailExportAccess` 受管政策。它允許 Lightsail 從 Amazon S3 中取得目前帳户層級的「封鎖公開存取」組態。
2022 年 1 月 14 日
+ Lightsail 已開始追蹤變更
Lightsail 已開始追蹤其 AWS 受管政策的變更。
2022 年 1 月 14 日
# Amazon Lightsail 搭配 IAM 的運作方式
使用 IAM 來管理 Lightsail 的存取權之前，您應該先了解可與 Lightsail 搭配使用的 IAM 功能有哪些。若要全面了解 Lightsail和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## Lightsail 以身分為基礎的政策
使用 IAM 身分類型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下會允許或拒絕動作。Lightsail 支援特定動作、資源及條件索引鍵。若要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 動作
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
Lightsail 中的政策動作會在動作之前使用以下字首：`lightsail:`。例如，若要授予某人使用 Lightsail Lightsail API 操作來執行 `CreateInstances` 執行個體的許可，請在其政策中加入 `lightsail:CreateInstances` 動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Lightsail 會定義一組自己的動作，來描述您可以使用此服務執行的任務。
若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：
```
"Action": [
"lightsail:action1",
"lightsail:action2"
```
您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Create` 文字的所有動作，請包含以下動作：
```
"Action": "lightsail:Create*"
```
若要查看 Lightsail 動作的清單，請參閱《IAM 使用者指南》**中 [Amazon Lightsail 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-actions-as-permissions)。
### Resources
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
**重要**
Lightsail 不支援某些 API 動作的資源層級許可。如需詳細資訊，請參閱[支援基於標籤的資源層級許可和授權](resource-level-permissions-and-auth-based-on-tags-support.md)。
Lightsail 執行個體資源具有以下 ARN：
```
arn:${Partition}:lightsail:${Region}:${Account}:Instance/${InstanceId}
```
如需 ARNs 格式的詳細資訊，請參閱 [Amazon Resource Name (ARNs) AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。
例如，若要在陳述式中指定 `ea123456-e6b9-4f1d-b518-3ad1234567e6` 執行個體，請使用以下 ARN：
```
"Resource": "arn:aws:lightsail:us-east-1:123456789012:Instance/ea123456-e6b9-4f1d-b518-3ad1234567e6"
```
若要指定屬於特定帳戶的所有執行個體，請使用萬用字元 (\$1)：
```
"Resource": "arn:aws:lightsail:us-east-1:123456789012:Instance/*"
```
有些 Lightsail 動作 (例如用來建立資源的動作) 無法在特定資源上執行。在這些情況下，您必須使用萬用字元 (\$1)。
```
"Resource": "*"
```
許多 Lightsail API 動作都涉及多個資源。例如，`AttachDisk` 會將 Lightsail 區塊儲存磁碟附接至執行個體，所以 IAM 使用者必須具備許可才能使用該磁碟與執行個體。若要在單一陳述式中指定多項資源，請使用逗號分隔 ARN。
```
"Resource": [
"resource1",
"resource2"
```
若要查看 Lightsail 資源類型及其 ARN 的清單，請參閱《IAM 使用者指南》**中的 [Amazon Lightsail 定義的資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [Amazon Lightsail 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-actions-as-permissions)。
### 條件金鑰
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
Lightsail 不提供任何服務專用條件索引鍵，但它支援一些全域條件索引鍵的使用。若要查看所有 AWS 全域條件金鑰，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
若要查看 Lightsail 條件索引鍵的清單，請參閱《IAM 使用者指南》**中的 [Amazon Lightsail 條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-policy-keys)。若要了解您可以針對何種動作及資源使用條件索引鍵，請參閱 [Amazon Lightsail 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-actions-as-permissions)。
### 範例
若要檢視 Lightsail 身分型政策範例，請參閱 [Amazon Lightsail 身分型政策範例](security_iam_id-based-policy-examples.md)。
## Lightsail 資源型政策
Lightsail 不支援資源型政策。
## 存取控制清單 (ACL)
Lightsail 不支援存取控制清單 (ACL)。
## 以 Lightsail 標籤為基礎的授權
您可以將標籤連接到 Lightsail 資源，或是在請求中將標籤傳遞給 Lightsail。若要根據標籤控制存取，請使用 `lightsail:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
**重要**
Lightsail 針對某些 API 動作不支援以標籤為基礎的授權。如需詳細資訊，請參閱[支援基於標籤的資源層級許可和授權](resource-level-permissions-and-auth-based-on-tags-support.md)。
如需有關標記 Lightsail 資源的詳細資訊，請參閱[標籤](amazon-lightsail-tags.md)。
若要檢視根據資源上的標籤限制存取該資源的身分型政策範例，請參閱[允許根據標籤建立和刪除 Lightsail 資源](https://lightsail.aws.amazon.com/ls/docs/en_us/articles/security_iam_id-based-policy-examples#security_iam_id-based-policy-examples-view-widget-tags)。
## Lightsail IAM 角色
[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具備特定許可的實體。
### 將臨時登入資料與 Lightsail 搭配使用
您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您取得臨時安全憑證的方式是透過呼叫 AWS STS API 操作 (例如，[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html))。
Lightsail 支援使用臨時憑證。
### 服務連結角色
[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代表您完成 動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
Lightsail 支援服務連結角色。如需有關建立或管理 Lightsail 服務連結角色的詳細資訊，請參閱[服務連結角色](amazon-lightsail-using-service-linked-roles.md)。
### 服務角色
Lightsail 不支援服務角色。
**Topics**
+ [
## Lightsail 以身分為基礎的政策
](#security_iam_service-with-iam-id-based-policies)
+ [
## Lightsail 資源型政策
](#security_iam_service-with-iam-resource-based-policies)
+ [
## 存取控制清單 (ACL)
](#security_iam_service-with-iam-acls)
+ [
## 以 Lightsail 標籤為基礎的授權
](#security_iam_service-with-iam-tags)
+ [
## Lightsail IAM 角色
](#security_iam_service-with-iam-roles)
+ [身分型政策範例](security_iam_id-based-policy-examples.md)
+ [資源層級許可政策範例](security_iam_resource-based-policy-examples.md)
+ [使用服務連結角色](amazon-lightsail-using-service-linked-roles.md)
+ [使用 IAM 管理儲存貯體](amazon-lightsail-bucket-management-policies.md)
# 在 中使用 IAM 身分政策授予最低權限許可 Lightsail
根據預設，IAM 使用者和角色不具備建立或修改 Lightsail 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 作業的所需許可。管理員接著必須將這些政策連接至需要這些許可的 IAM 使用者或群組。
若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》**中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Amazon Lightsail 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 等使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 使用 Lightsail 主控台
若要存取 Amazon Lightsail 主控台，您必須具備所有 Lightsail 動作和資源的完整存取許可。這些許可必須允許您列出和檢視 AWS 帳戶中Lightsail資源的詳細資訊。如果您建立比最基本必要許可更嚴格的身分型政策 (即不是完整存取)，則對於具有該政策的實體 (IAM 使用者或角色) 而言，主控台就無法如預期運作。
若要確保那些實體可以使用 Lightsail 主控台，請將以下政策連接到那些實體。如需更多資訊，請參閱 *IAM 使用者指南*中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"lightsail:*"
],
"Resource": "*"
}
]
}
```
------
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合您嘗試執行之 API 操作的動作就可以了。
## 允許使用者檢視自己的許可
此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 允許根據標籤建立和刪除 Lightsail 資源
您可以在身分型政策中使用條件，來根據標籤控制存取 Lightsail 資源。此範例顯示如何建立限制使用者建立新 Lightsail 資源的政策，除非建立請求已定義 `allow` 金鑰標籤及 `true` 值。此政策也會限制使用者刪除資源，除非他們具有 `allow/true` 索引鍵值標籤。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"lightsail:Create*",
"lightsail:TagResource",
"lightsail:UntagResource"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/allow": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"lightsail:Delete*",
"lightsail:TagResource",
"lightsail:UntagResource"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/allow": "true"
}
}
}
]
}
```
------
下列範例會限制使用者變更索引鍵值標籤並非 `allow/false` 之資源的標籤。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"lightsail:TagResource"
],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:ResourceTag/allow": "false"
}
}
}
]
}
```
------
您可以將這些政策附接到您帳戶中的 IAM 使用者。如需詳細資訊，請參閱*《IAM 使用者指南》*中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
# 使用 IAM 政策授予特定Lightsail資源的存取權
*資源層級的許可*一詞表示可指定使用者能在哪些資源上執行動作的能力。Amazon Lightsail 支援資源層級許可。這表示針對特定 Lightsail 動作，您可以根據應滿足的條件，或允許使用者使用或編輯特定的資源，來控制使用者何時可以使用那些動作。例如，您可將使用特定 Amazon 資源名稱 (ARN) 來管理執行個體或資料庫的許可授予使用者。
**重要**
Lightsail 不支援某些 API 動作的資源層級許可。如需詳細資訊，請參閱[支援基於標籤的資源層級許可和授權](resource-level-permissions-and-auth-based-on-tags-support.md)。
如需有關 Lightsail 動作所建立或修改的資源以及可在 IAM 政策陳述式中使用的 ARN 和 Lightsail 條件金鑰的詳細資訊，請參閱《IAM 使用者指南》**中的 [Amazon Lightsail 的動作、資源和條件金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html)。
## 允許管理特定執行個體
以下政策會授與存取權，以重新開機/啟動/停止執行個體、管理執行個體連接埠，以及建立特定執行個體的執行個體快照。此外，也提供對 Lightsail 帳戶中其他執行個體相關資訊和資源的唯讀存取權。在政策中，使用您執行個體的 Amazon 資源名稱 (ARN) 取代 *InstanceARN*。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"lightsail:GetActiveNames",
"lightsail:GetAlarms",
"lightsail:GetAutoSnapshots",
"lightsail:GetBlueprints",
"lightsail:GetBundles",
"lightsail:GetCertificates",
"lightsail:GetCloudFormationStackRecords",
"lightsail:GetContactMethods",
"lightsail:GetDisk",
"lightsail:GetDisks",
"lightsail:GetDiskSnapshot",
"lightsail:GetDiskSnapshots",
"lightsail:GetDistributionBundles",
"lightsail:GetDistributionLatestCacheReset",
"lightsail:GetDistributionMetricData",
"lightsail:GetDistributions",
"lightsail:GetDomain",
"lightsail:GetDomains",
"lightsail:GetExportSnapshotRecords",
"lightsail:GetInstance",
"lightsail:GetInstanceAccessDetails",
"lightsail:GetInstanceMetricData",
"lightsail:GetInstancePortStates",
"lightsail:GetInstances",
"lightsail:GetInstanceSnapshot",
"lightsail:GetInstanceSnapshots",
"lightsail:GetInstanceState",
"lightsail:GetKeyPair",
"lightsail:GetKeyPairs",
"lightsail:GetLoadBalancer",
"lightsail:GetLoadBalancerMetricData",
"lightsail:GetLoadBalancers",
"lightsail:GetLoadBalancerTlsCertificates",
"lightsail:GetOperation",
"lightsail:GetOperations",
"lightsail:GetOperationsForResource",
"lightsail:GetRegions",
"lightsail:GetRelationalDatabase",
"lightsail:GetRelationalDatabaseBlueprints",
"lightsail:GetRelationalDatabaseBundles",
"lightsail:GetRelationalDatabaseEvents",
"lightsail:GetRelationalDatabaseLogEvents",
"lightsail:GetRelationalDatabaseLogStreams",
"lightsail:GetRelationalDatabaseMetricData",
"lightsail:GetRelationalDatabaseParameters",
"lightsail:GetRelationalDatabases",
"lightsail:GetRelationalDatabaseSnapshot",
"lightsail:GetRelationalDatabaseSnapshots",
"lightsail:GetStaticIp",
"lightsail:GetStaticIps",
"lightsail:IsVpcPeered"
],
"Resource": "*"
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": [
"lightsail:CloseInstancePublicPorts",
"lightsail:CreateInstanceSnapshot",
"lightsail:OpenInstancePublicPorts",
"lightsail:PutInstancePublicPorts",
"lightsail:RebootInstance",
"lightsail:StartInstance",
"lightsail:StopInstance"
],
"Resource": "arn:aws:lightsail:us-east-2:123456789012:Instance/244ad76f-8aad-4741-809f-12345EXAMPLE"
}
]
}
```
------
若要取得執行個體的 ARN，請使用 `GetInstance` Lightsail API 動作，並使用 `instanceName` 參數指定執行個體的名稱。您的執行個體 ARN 將會列在該動作的結果中，如以下範例所示。如需詳細資訊，請參閱《Amazon Lightsail API 參考》**中的 [GetInstance](https://docs.aws.amazon.com/lightsail/2016-11-28/api-reference/API_GetInstance.html)。
![\[GetInstance 結果中的執行個體 ARN。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-instance-arn.png)
## 允許管理特定資料庫
下列政策會授與存取權，以重新開機/啟動/停止和更新特定資料庫。此外，也提供對 Lightsail 帳戶中其他資料庫相關資訊和資源的唯讀存取權。在政策中，使用您資料庫的 Amazon 資源名稱 (ARN) 取代 *DatabaseARN*。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"lightsail:GetActiveNames",
"lightsail:GetAlarms",
"lightsail:GetAutoSnapshots",
"lightsail:GetBlueprints",
"lightsail:GetBundles",
"lightsail:GetCertificates",
"lightsail:GetCloudFormationStackRecords",
"lightsail:GetContactMethods",
"lightsail:GetDisk",
"lightsail:GetDisks",
"lightsail:GetDiskSnapshot",
"lightsail:GetDiskSnapshots",
"lightsail:GetDistributionBundles",
"lightsail:GetDistributionLatestCacheReset",
"lightsail:GetDistributionMetricData",
"lightsail:GetDistributions",
"lightsail:GetDomain",
"lightsail:GetDomains",
"lightsail:GetExportSnapshotRecords",
"lightsail:GetInstance",
"lightsail:GetInstanceAccessDetails",
"lightsail:GetInstanceMetricData",
"lightsail:GetInstancePortStates",
"lightsail:GetInstances",
"lightsail:GetInstanceSnapshot",
"lightsail:GetInstanceSnapshots",
"lightsail:GetInstanceState",
"lightsail:GetKeyPair",
"lightsail:GetKeyPairs",
"lightsail:GetLoadBalancer",
"lightsail:GetLoadBalancerMetricData",
"lightsail:GetLoadBalancers",
"lightsail:GetLoadBalancerTlsCertificates",
"lightsail:GetOperation",
"lightsail:GetOperations",
"lightsail:GetOperationsForResource",
"lightsail:GetRegions",
"lightsail:GetRelationalDatabase",
"lightsail:GetRelationalDatabaseBlueprints",
"lightsail:GetRelationalDatabaseBundles",
"lightsail:GetRelationalDatabaseEvents",
"lightsail:GetRelationalDatabaseLogEvents",
"lightsail:GetRelationalDatabaseLogStreams",
"lightsail:GetRelationalDatabaseMetricData",
"lightsail:GetRelationalDatabaseParameters",
"lightsail:GetRelationalDatabases",
"lightsail:GetRelationalDatabaseSnapshot",
"lightsail:GetRelationalDatabaseSnapshots",
"lightsail:GetStaticIp",
"lightsail:GetStaticIps",
"lightsail:IsVpcPeered"
],
"Resource": "*"
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": [
"lightsail:RebootRelationalDatabase",
"lightsail:StartRelationalDatabase",
"lightsail:StopRelationalDatabase",
"lightsail:UpdateRelationalDatabase"
],
"Resource": "arn:aws:lightsail:us-east-2:123456789012:RelationalDatabase/244ad76f-8aad-4741-809f-12345EXAMPLE"
}
]
}
```
------
若要取得資料庫的 ARN，請使用 `GetRelationalDatabase` Lightsail API 動作，並使用 `relationalDatabaseName` 參數指定資料庫的名稱。您的資料庫 ARN 將會列在該動作的結果中，如以下範例所示。如需詳細資訊，請參閱《Amazon Lightsail API 參考》**中的 [GetRelationalDatabase](https://docs.aws.amazon.com/lightsail/2016-11-28/api-reference/API_GetRelationalDatabase.html)。
![\[GetRelationalDatabase 結果中的資料庫 ARN。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-database-arn.png)
# 使用 Amazon Lightsail 的服務連結角色
Amazon Lightsail use AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Amazon Lightsail 的一種特殊 IAM 角色類型。服務連結角色由 預先定義，Amazon Lightsail並包含代表您呼叫其他 AWS 服務Lightsail所需的所有許可。
服務連結的角色可讓設定 Amazon Lightsail 更為簡單，因為您不必手動新增必要的許可。Amazon Lightsail 定義其服務連結角色的許可，除非另有定義，否則僅有 Amazon Lightsail 可以擔任其角色。定義的許可包含信任政策和許可政策，這些政策不能附接至任何其他 IAM 實體。
您必須先刪除服務連結角色的相關資源，才能將其刪除。如此可保護您 Amazon Lightsail 的資源，避免您不小心移除資源的存取許可。
如需支援服務連結角色其他服務的資訊，請參閱[可搭配 IAM 運作的 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並尋找 **Service-Linked Role** (服務連結角色) 欄顯示 **Yes** (是) 的服務。選擇具有連結的 **Yes** (是)，以檢視該服務的服務連結角色文件。
## Amazon Lightsail 服務連結角色許可
Amazon Lightsail 使用名為 **AWSServiceRoleForLightsail** 的服務連結角色 – 將Lightsail執行個體和區塊儲存磁碟快照匯出至 Amazon Elastic Compute Cloud (Amazon EC2)，以及從 Amazon Simple Storage Service (Amazon S3) 取得目前帳戶層級封鎖公開存取組態的角色。
AWSServiceRoleForLightsail 服務連結角色信任下列服務擔任該角色：
+ `lightsail.amazonaws.com`
此角色許可政策允許 Amazon Lightsail 對指定資源完成下列動作：
+ 動作：在所有 AWS 資源`ec2:CopySnapshot`上。
+ 動作：在所有 AWS 資源`ec2:DescribeSnapshots`上。
+ 動作：在所有 AWS 資源`ec2:CopyImage`上。
+ 動作：在所有 AWS 資源`ec2:DescribeImages`上。
+ 動作：在所有 AWS CloudFormation 堆疊`cloudformation:DescribeStacks`上。
+ 動作：在所有 AWS 資源`s3:GetAccountPublicAccessBlock`上。
### 服務連結角色許可
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立或編輯服務連結角色的說明。
**允許 IAM 實體建立特定服務連結角色**
將下列政策新增至需要建立服務連結角色的 IAM 實體。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*",
"Condition": {"StringLike": {"iam:AWSServiceName": "lightsail.amazonaws.com"}}
},
{
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
}
]
}
```
------
**若要允許 IAM 實體建立任何服務連結角色**
將下列陳述式新增至需要建立服務連結角色的 IAM 實體的許可政策，或包含所需政策的任何服務角色。此政策會見政策連接至角色。
```
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/*"
}
```
**若要允許 IAM 實體編輯任何服務連結角色的說明**
將下列陳述式新增至需要編輯服務連結角色說明或任何服務角色的 IAM 實體的許可政策。
```
{
"Effect": "Allow",
"Action": "iam:UpdateRoleDescription",
"Resource": "arn:aws:iam::*:role/aws-service-role/*"
}
```
**若要允許 IAM 實體刪除特定服務連結角色**
將下列陳述式新增至需要刪除服務連結角色的 IAM 實體的許可政策。
```
{
"Effect": "Allow",
"Action": [
"iam:DeleteServiceLinkedRole",
"iam:GetServiceLinkedRoleDeletionStatus"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
}
```
**允許 IAM 實體刪除任何服務角色**
將下列陳述式新增至需要刪除服務連結角色或任何服務角色的 IAM 實體的許可政策。
```
{
"Effect": "Allow",
"Action": [
"iam:DeleteServiceLinkedRole",
"iam:GetServiceLinkedRoleDeletionStatus"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/*"
}
```
或者，您可以使用 AWS 受管政策來提供 服務的完整存取權。
## 建立 的服務連結角色Amazon Lightsail
您不需要手動建立服務連結角色，當您將Lightsail執行個體或區塊儲存磁碟快照匯出至 Amazon EC2，或在 AWS AWS 管理主控台、 或 AWS API 中建立 AWS CLI或更新儲存Lightsail貯體時， 會為您Amazon Lightsail建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您將 Lightsail 執行個體或區塊儲存磁碟快照匯出至 Amazon EC2，或建立或更新 Lightsail 儲存貯體時，Amazon Lightsail 會為您建立服務連結角色。
**重要**
您必須設定 IAM 許可以允許 Amazon Lightsail 建立服務連結的角色。若要這樣做，請完成*服務連結角色許可*區段中的步驟。
## 為 Amazon Lightsail 編輯服務連結角色
Amazon Lightsail 不允許您編輯 AWSServiceRoleForLightsail 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除 Amazon Lightsail 的服務連結角色
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。不過，您必須先確認沒有Amazon Lightsail執行個體或磁碟快照處於待定的複製狀態，才能刪除 AWSServiceRoleForLightsail 服務連結角色。如需詳細資訊，請參閱[將快照匯出至 Amazon EC2](amazon-lightsail-exporting-snapshots-to-amazon-ec2.md)。
**使用 IAM 手動刪除服務連結角色**
使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AWSServiceRoleForLightsail 服務連結角色。如需詳細資訊，請參閱*《IAM 使用者指南》*中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon Lightsail 服務連結角色的支援區域
Amazon Lightsail 支援在所有提供服務的區域中使用服務連結角色。如需有關可使用 Lightsail 之區域的詳細資訊，請參閱 [Amazon Lightsail 區域](https://docs.aws.amazon.com/general/latest/gr/rande.html#lightsail_region)。
# 使用 IAM 政策管理儲存Lightsail貯體
下列政策會授予使用者存取權，以便在 Amazon Lightsail 物件儲存服務中管理特定儲存貯體。此政策會透過 Lightsail主控台、 AWS Command Line Interface (AWS CLI)、 AWS API 和 AWS SDKs存取權。在政策中，以要管理的儲存貯體之名稱取代 **。如需有關 IAM 政策的詳細資訊，請參閱《AWS Identity and Access Management 使用者指南》**中的[建立 IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。如需有關建立 IAM 使用者和使用者群組的詳細資訊，請參閱《AWS Identity and Access Management 使用者指南》**中的[建立第一個 IAM 委派使用者和使用者群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/getting-started_create-delegated-user.html)。
**重要**
沒有此政策的使用者會在檢視 Lightsail 主控台中儲存貯體管理頁面的 **Objects** (物件) 索引標籤時遇到錯誤。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "LightsailAccess",
"Effect": "Allow",
"Action": "lightsail:*",
"Resource": "*"
},
{
"Sid": "S3BucketAccess",
"Effect": "Allow",
"Action": "s3:*",
"Resource": [
"arn:aws:s3:::/*",
"arn:aws:s3:::"
]
}
]
}
```
------
## 管理儲存貯體和物件
請依下列一般步驟來管理 Lightsail 物件儲存貯體：
1. 了解 Amazon Lightsail 物件儲存服務中的物件和儲存貯體。如需詳細資訊，請參閱 [Amazon Lightsail 中的物件儲存](buckets-in-amazon-lightsail.md)。
1. 了解您可以在 Amazon Lightsail 中為儲存貯體提供的名稱。如需詳細資訊，請參閱 [Amazon Lightsail 中的儲存貯體命名規則](bucket-naming-rules-in-amazon-lightsail.md)。
1. 透過建立儲存貯體來開始使用 Lightsail 物件儲存服務。如需詳細資訊，請參閱[在 Amazon Lightsail 中建立儲存貯體](amazon-lightsail-creating-buckets.md)。
1. 了解儲存貯體的安全最佳實務，以及可以為儲存貯體設定的存取許可。可以將儲存貯體中的所有物件設為公有或私有，也可以選擇將個別物件設為公有。也可以透過建立存取金鑰、將執行個體附接至儲存貯體以及授予對其他 AWS 帳戶的存取權，來授予對儲存貯體的存取權。如需詳細資訊，請參閱 [Amazon Lightsail 物件儲存的安全最佳實務](amazon-lightsail-bucket-security-best-practices.md)和[了解 Amazon Lightsail 中的儲存貯體許可](amazon-lightsail-understanding-bucket-permissions.md)。
了解儲存貯體存取許可後，請參閱下列指南來授予對儲存貯體的存取權：
+ [在 Amazon Lightsail 中授予儲存貯體的公有存取](amazon-lightsail-block-public-access-for-buckets.md)
+ [在 Amazon Lightsail 中設定儲存貯體存取許可](amazon-lightsail-configuring-bucket-permissions.md)
+ [在 Amazon Lightsail 中設定儲存貯體內個別物件的存取許可](amazon-lightsail-configuring-individual-object-access.md)
+ [在 Amazon Lightsail 中建立儲存貯體的存取金鑰](amazon-lightsail-creating-bucket-access-keys.md)
+ [在 Amazon Lightsail 中設定儲存貯體的資源存取](amazon-lightsail-configuring-bucket-resource-access.md)
+ [在 Amazon Lightsail 中設定儲存貯體的跨帳户存取權](amazon-lightsail-configuring-bucket-cross-account-access.md)
1. 了解如何為儲存貯體啟用存取日誌記錄，以及如何使用存取日誌來稽核儲存貯體的安全性。如需詳細資訊，請參閱下列指南。
+ [在 Amazon Lightsail 物件儲存服務中存取儲存貯體的日誌](amazon-lightsail-bucket-access-logs.md)
+ [在 Amazon Lightsail 物件儲存服務中儲存貯體的存取日誌格式](amazon-lightsail-bucket-access-log-format.md)
+ [在 Amazon Lightsail 物件儲存服務中啟用儲存貯體的存取記錄](amazon-lightsail-enabling-bucket-access-logs.md)
+ [使用 Amazon Lightsail 中儲存貯體的存取日誌來識別請求](amazon-lightsail-using-bucket-access-logs.md)
1. 建立 IAM 政策以授予使用者在 Lightsail 中管理儲存貯體的功能。如需詳細資訊，請參閱[在 Amazon Lightsail 中管理儲存貯體的 IAM 政策](#amazon-lightsail-bucket-management-policies)。
1. 了解儲存貯體中物件的標記和識別方式。如需詳細資訊，請參閱[了解 Amazon Lightsail 中的物件金鑰名稱](understanding-bucket-object-key-names-in-amazon-lightsail.md)。
1. 了解如何在儲存貯體中上傳檔案及管理物件。如需詳細資訊，請參閱下列指南。
+ [將檔案上傳至 Amazon Lightsail 中的儲存貯體](amazon-lightsail-uploading-files-to-a-bucket.md)
+ [使用分段上傳將檔案上傳至 Amazon Lightsail 中的儲存貯體](amazon-lightsail-uploading-files-to-a-bucket-using-multipart-upload.md)
+ [檢視 Amazon Lightsail 中儲存貯體的物件](amazon-lightsail-viewing-objects-in-a-bucket.md)
+ [在 Amazon Lightsail 中複製或移動儲存貯體中的物件](amazon-lightsail-copying-moving-bucket-objects.md)
+ [從 Amazon Lightsail 的儲存貯體中下載物件](amazon-lightsail-downloading-bucket-objects.md)
+ [在 Amazon Lightsail 的儲存貯體中篩選物件](amazon-lightsail-filtering-bucket-objects.md)
+ [在 Amazon Lightsail 的儲存貯體中標記物件](amazon-lightsail-tagging-bucket-objects.md)
+ [刪除 Amazon Lightsail 的儲存貯體中的物件](amazon-lightsail-deleting-bucket-objects.md)
1. 啟用物件版本控制功能來保留、擷取和恢復儲存貯體中所儲存每個物件的各個版本。如需詳細資訊，請參閱[在 Amazon Lightsail 的儲存貯體中啟用和暫停物件版本控制](amazon-lightsail-managing-bucket-object-versioning.md)。
1. 啟用物件版本控制之後，可以還原儲存貯體中物件的先前版本。如需詳細資訊，請參閱[還原 Amazon Lightsail 中儲存貯體內物件的舊版本](amazon-lightsail-restoring-bucket-object-versions.md)。
1. 監控儲存貯體的使用率。如需詳細資訊，請參閱[在 Amazon Lightsail 中檢視儲存貯體的指標](amazon-lightsail-viewing-bucket-metrics.md)。
1. 設定儲存貯體指標的警示，以便在儲存貯體的使用率超過閾值時收到通知。如需詳細資訊，請參閱[在 Amazon Lightsail 中建立儲存貯體指標警示](amazon-lightsail-adding-bucket-metric-alarms.md)。
1. 如果儲存空間和網路傳輸不足，請變更儲存貯體的儲存計畫。如需詳細資訊，請參閱[在 Amazon Lightsail 中變更儲存貯體的計劃](amazon-lightsail-changing-bucket-plans.md)。
1. 了解如何將儲存貯體連線至其他資源。如需詳細資訊，請參閱下列教學課程。
+ [教學課程：將 WordPress 執行個體連接至 Amazon Lightsail 儲存貯體](amazon-lightsail-connecting-buckets-to-wordpress.md)
+ [教學課程：搭配使用 Amazon Lightsail 儲存貯體與 Lightsail 內容交付網路分發](amazon-lightsail-using-distributions-with-buckets.md)
1. 如果不再使用儲存貯體，請刪除它。如需詳細資訊，請參閱[刪除 Amazon Lightsail 中的儲存貯體](amazon-lightsail-deleting-buckets.md)。
# 授予 IAM 使用者的Lightsail存取權
身為 [AWS 帳戶根使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html)，或具有管理員存取權的 AWS Identity and Access Management (IAM) 使用者，您可以在 AWS 您的帳戶中建立一或多個 IAM 使用者，而且這些使用者可以設定不同層級的存取 提供的服務 AWS。
使用 Amazon Lightsail 時，建議您建立只能存取 Lightsail 服務的 IAM 使用者。當您的團隊需要檢視、建立、編輯或刪除Lightsail資源的存取權，但不需要 所提供其他服務的存取權時，您可以執行此操作 AWS。若要進行此設定，必須先建立可授予 Lightsail 存取權的 IAM 政策，然後建立 IAM 群組，並將政策附接至該群組。接下來，您需要建立 IAM 使用者並讓他們成為群組成員，使他們可以存取 Lightsail。
當有人離開團隊時，您可以將該使用者從 Lightsail 存取群組中移除，撤銷其對 Lightsail 的存取權；這種處理方式適用於離開團隊，但仍在公司工作的使用者。如果使用者離開公司且不再需要存取權，則可從 IAM 中刪除他們。
**警告**
此種情況需要具備程式化存取權限且擁有長期憑證的 IAM 使用者，此舉將構成安全風險。為了協助降低此風險，建議您只為這些使用者提供執行任務所需的許可，並在不再需要這些使用者時將其移除。必要時可以更新存取金鑰。如需詳細資訊，請參閱《IAM 使用者指南》**中的[更新存取金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/id-credentials-access-keys-update.html)。
**內容**
+ [建立 IAM 政策以存取 Lightsail](#create-an-iam-policy-for-lightsail-access)
+ [建立 IAM 群組以存取 Lightsail 並附接 Lightsail 存取政策](#create-an-iam-group-for-lightsail-access)
+ [建立 IAM 使用者並將該使用者新增至 Lightsail 存取群組](#create-an-iam-user-for-lightsail-access)
## 建立 IAM 政策以存取 Lightsail
請依照下列步驟來建立 IAM 政策，以便存取 Lightsail。如需詳細資訊，請參閱 IAM 文件中的[建立 IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
1. 登入 [IAM 主控台](https://console.aws.amazon.com/iam/)。
1. 在左側導覽窗格中，選擇 **Policies (政策)**。
1. 選擇**建立政策**。
1. 在 **Create Policy (建立政策)** 頁面上，選擇 **JSON** 索引標籤。
![\[IAM 主控台中的 JSON 索引標籤。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-iam-policy-json.png)
1. 反白文字方塊的內容，然後複製該內容並貼到以下政策組態文字。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"lightsail:*"
],
"Resource": "*"
}
]
}
```
------
結果應如下範例所示：
![\[系統會在 IAM 主控台的 JSON 索引標籤中填入 Lightsail 存取政策。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-iam-policy-json-added.png)
如此即可授予所有 Lightsail 動作和資源的存取權。需要存取 所提供其他服務的動作 AWS，例如啟用 VPC 對等互連、將Lightsail快照匯出至 Amazon EC2，或使用 建立 Amazon EC2 資源Lightsail，則需要此政策中未包含的額外許可。如需詳細資訊，請參閱下列指南：
+ [設定 Amazon VPC 對等互連以使用 外部 AWS 的資源 Amazon Lightsail](lightsail-how-to-set-up-vpc-peering-with-aws-resources.md)
+ [將 Amazon Lightsail 快照匯出至 Amazon EC2](amazon-lightsail-exporting-snapshots-to-amazon-ec2.md)
+ [從 Lightsail 的匯出快照建立 Amazon EC2 執行個體](amazon-lightsail-creating-ec2-instances-from-exported-snapshots.md)
如需可授予之動作特定和資源特定許可的範例，請參閱 [Amazon Lightsail 資源層級許可政策範例](security_iam_resource-based-policy-examples.md)。
1. 選擇**檢閱政策**。
1. 在 **Review Policy (檢閱政策)** 頁面中，為政策命名。請設定一個描述名稱，例如 `LightsailFullAccessPolicy`。
1. 新增說明，然後檢閱政策設定。如需變更，請選擇 **Previous (上一步)** 來修改政策。
![\[IAM 主控台中的「檢閱政策」頁面。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-iam-policy-review.png)
1. 確定政策設定正確後，選擇 **Create Policy (建立政策)**。
政策現已建立完成且可新增至現有的 IAM 群組，或者您可以使用本指南下一節中的步驟來建立新的 IAM 群組。
## 建立 IAM 群組以存取 Lightsail 並附接 Lightsail 存取政策
請依照下列步驟來建立具有 Lightsail 存取權的 IAM 群組，並附接您在本指南上一節中建立的 Lightsail 存取政策。如需詳細資訊，請參閱 IAM 文件中的[建立 IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups_create.html)和[將政策附接至 IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups_manage_attach-policy.html)。
1. 在 [IAM 主控台](https://console.aws.amazon.com/iam/)的左側導覽窗格中，選擇**群組**。
1. 選擇 **Create New Group** (建立新群組)。
1. 在 **Set Group Name (設定群組名稱)** 頁面中，為群組命名。請設定一個描述名稱，例如 `LightsailFullAccessGroup`。
1. 在 **Attach Policy (連接政策)** 頁面中，搜尋您先前在本指南中建立的 Lightsail 政策，如 `LightsailFullAccessPolicy`。
1. 在該政策旁新增核取記號，然後選擇**Next step (下一步)**。
1. 檢閱群組設定。如需變更，請選擇 **Previous (上一步)** 來修改群組政策。
1. 確定群組設定正確後，選擇 **Create Group (建立群組)**。
群組現已建立完成，而新增至該群組的使用者皆可存取 Lightsail 動作和資源。您可以將現有的 IAM 使用者新增至該群組，或使用本指南下一節中的步驟來建立新的 IAM 使用者。
## 建立 IAM 使用者並將該使用者新增至 Lightsail 存取群組
請依照下列步驟來建立 IAM 使用者，並將該使用者新增至 Lightsail 存取群組。如需詳細資訊，請參閱 IAM 文件中的[在您的 AWS 帳戶中建立 IAM 使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_create.html)以及[在 IAM 群組中新增和移除使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups_manage_add-remove-users.html)。
1. 在 [IAM 主控台](https://console.aws.amazon.com/iam/)的左側導覽窗格中，選擇**使用者**。
1. 選擇 **Add user (新增使用者)**。
1. 在該頁面的 **Set user details (設定使用者詳細資訊)** 區段中，為使用者命名。
1. 在頁面的**選取 AWS 存取類型**區段下，從下列選項中選擇：
1. 選擇**程式設計存取**以啟用 AWS API、CLI、 SDK 和其他開發工具的存取金鑰 ID 和私密存取金鑰，可用於Lightsail動作和資源。如需詳細資訊，請參閱[設定 AWS CLI 以使用 Lightsail](lightsail-how-to-set-up-and-configure-aws-cli.md)。
1. 選擇**AWS 管理主控台存取**以啟用密碼，允許使用者登入 AWS 管理主控台，進而啟用Lightsail主控台。當您選取此選項時，即會顯示下列密碼選項：
1. 選擇**自動產生密碼**，讓 IAM 產生密碼，或選擇「自訂密碼」來輸入您自己的密碼。
1. 選擇 **Require password reset (需要密碼重設)**，則使用者下次登入時就必須建立新的密碼 (重設密碼)。
**注意**
如果您只選擇**程式設計存取**選項，使用者將無法登入 AWS 主控台和 Lightsail主控台。
1. 選擇 **Next: Permissions** (下一步：許可)。
1. 在該頁面的 **Set permissions (設定許可)** 區段下方，選擇 **Add user to group (新增使用者至群組)**，接著選取您先前在本指南中建立的 Lightsail 存取群組，如 `LightsailFullAccessGroup`。
![\[在 IAM 主控台中新增使用者至群組。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-iam-user-set-permissions.png)
1. 選擇 **Next: Tags** (下一步：標籤)。
1. (選用) 藉由連接標籤做為索引鍵/值組，將中繼資料新增至使用者。如需在 IAM 中使用標籤的詳細資訊，請參閱標記 IAM 實體。
1. 選擇下**一步：檢閱**。
1. 檢閱使用者設定。如需變更，請選擇 **Previous (上一步)** 來修改使用者群組或政策。
1. 確定使用者設定正確後，選擇 **Create user (建立使用者)**。
系統會隨即建立使用者，而該使用者可存取 Lightsail。若要撤銷使用者的 Lightsail 存取權，請從 Lightsail 存取群組移除該使用者。如需詳細資訊，請參閱 IAM 文件中的[在 IAM 群組中新增和移除使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups_manage_add-remove-users.html)。
1. 若要取得使用者的登入資料，則可選擇下列選項：
1. 選擇**下載 .csv** 以下載檔案，其中包含您帳戶的使用者名稱、密碼、存取金鑰 ID、私密存取金鑰和 AWS 主控台登入連結。
1. 選擇**私密存取金鑰**下的**顯示**，以檢視可用來以程式設計方式存取 Lightsail 的存取金鑰 (使用 AWS API、CLI、軟體開發套件和其他開發工具)。
**重要**
這是您檢視或下載私密存取金鑰的唯一機會，您必須在使用者可以使用 AWS API 之前提供此資訊給您的使用者。請將使用者的新存取金鑰 ID 和私密存取金鑰存放在安全處。在此步驟之後，您將無法再存取該私密金鑰。
1. 選擇**密碼**下的**顯示**，以檢視使用者的密碼 (如果密碼是由 IAM 所產生)。您應提供密碼給使用者，讓他們進行第一次登入。
1. 選擇 **Send email (傳送電子郵件)** 以傳送電子郵件給使用者，通知他們現已可存取 Lightsail。
![\[確認已成功建立 IAM 使用者。\]](http://docs.aws.amazon.com/zh_tw/lightsail/latest/userguide/images/amazon-lightsail-iam-user-successfully-created.png)
# 使用更新管理保護Lightsail執行個體和容器的安全
Amazon Web Services (AWS)Amazon Lightsail、 和第三方應用程式廠商會定期更新和修補 上提供的執行個體映像 （也稱為*藍圖*)Lightsail。建立執行個體之後， AWS Lightsail 不會更新或修補這些映像。 Lightsail 也不會更新或修補您在Lightsail容器服務上設定的作業系統和軟體。因此，我們建議您定期更新、修補和保護 Amazon Lightsail 執行個體和容器上的作業系統與應用程式。如需詳細資訊，請參閱 [AWS 共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)。
## 執行個體藍圖軟體支援
下列為 Amazon Lightsail 平台和藍圖清單連結至每個廠商的支援頁面。您可以在此檢視資訊，例如操作指南，以及讓作業系統和應用程式保持在最新狀態。您也可以使用任何自動更新服務或建議的程序，以安裝應用程式廠商提供的更新。
**Windows**
+ [Windows Server 2022、Windows Server 2019、Windows Server 2016](https://docs.microsoft.com/en-us/windows-server/)
+ [Microsoft SQL Server](https://docs.microsoft.com/en-us/sql/)
**Linux 和 Unix** – 僅限作業系統
+ [Amazon Linux 2023](https://aws.amazon.com/linux/amazon-linux-2023/)
+ [Amazon Linux 2](https://aws.amazon.com/amazon-linux-2)
+ [https://ubuntu.com/support/community-support](https://ubuntu.com/support/community-support)
+ [https://www.debian.org/support](https://www.debian.org/support)
+ [https://www.freebsd.org/community](https://www.freebsd.org/community)
+ [https://en.opensuse.org/](https://en.opensuse.org/)
+ [https://docs.centos.org/](https://docs.centos.org/)
**Linux 和 Unix** – 作業系統加上應用程式
+ [上的 Plesk 託管堆疊 Ubuntu](https://support.plesk.com/)
+ [適用於 Linux 的 cPanel & WHM](https://cpanel.com/support)
+ [WordPress](https://docs.bitnami.com/general/apps/wordpress)
+ [WordPress 多站台](https://docs.bitnami.com/general/apps/wordpress-multisite)
+ [LAMP (PHP 8)](https://docs.bitnami.com/general/infrastructure/lamp)
+ [Node.js](https://docs.bitnami.com/general/infrastructure/nodejs)
+ [Joomla\$1](https://docs.bitnami.com/general/apps/joomla)
+ [Magento](https://docs.bitnami.com/general/apps/magento)
+ [MEAN](https://docs.bitnami.com/general/infrastructure/mean)
+ [Drupal](https://docs.bitnami.com/general/apps/drupal)
+ [GitLab CE](https://docs.bitnami.com/general/apps/gitlab)
+ [Redmine](https://docs.bitnami.com/general/apps/redmine)
+ [Nginx](https://docs.bitnami.com/general/infrastructure/nginx)
+ [Ghost](https://docs.bitnami.com/general/apps/ghost)
+ [Django](https://docs.bitnami.com/general/infrastructure/django)
+ [PrestaShop](https://docs.bitnami.com/general/apps/prestashop)
# 驗證 Amazon Lightsail 資源的合規性
AWS 提供下列資源以協助合規：
+ [安全與合規快速入門指南](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance) – 這些部署指南討論架構考量，並提供在其中部署以安全與合規為重心的基準環境的步驟 AWS。
+ [AWS 合規資源](https://aws.amazon.com/compliance/resources/) – 此工作手冊和指南的集合可能適用於您的產業和位置。
+ 《 *AWS Config 開發人員指南*》中的[使用 規則評估資源](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html) – AWS Config 服務會評估資源組態符合內部實務、產業準則和法規的程度。
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) – AWS 此服務提供 內安全狀態的全方位檢視 AWS ，可協助您檢查是否符合安全產業標準和最佳實務。
# Amazon Lightsail 使用界面端點存取 (AWS PrivateLink)
您可以使用 在 VPC 和 之間 AWS PrivateLink 建立私有連線Amazon Lightsail。您可以Amazon Lightsail像在 VPC 中一樣存取 ，無需使用網際網路閘道、NAT 裝置、VPN 連接或 Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址即可存取 Amazon Lightsail。
您可以建立由 AWS PrivateLink提供支援的*介面端點*來建立此私有連線。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是請求者管理的網路介面，可作為目的地為 Amazon Lightsail 之流量的進入點。
如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[AWS 服務 透過 存取 AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) 。
## Amazon Lightsail 的考量
設定 的介面端點之前Amazon Lightsail，您必須建立虛擬私有雲端 (VPC)。如需詳細資訊，請參閱《*Amazon Virtual Private Cloud 使用者指南*》中的[建立 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/create-vpc.html)。此外，請檢閱 *AWS PrivateLink 指南*中的[考量事項](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。
Amazon Lightsail 支援透過介面端點呼叫其所有 API 動作。如需 可用 API 動作的詳細資訊Lightsail，請參閱 [Amazon Lightsail API 參考](https://docs.aws.amazon.com/lightsail/2016-11-28/api-reference/API_Operations.html)。
## 為 Amazon Lightsail 建立介面端點
您可以使用 Amazon VPC Amazon Lightsail 主控台或 AWS Command Line Interface () 建立 的介面端點AWS CLI。如需詳細資訊，請參閱《AWS PrivateLink 指南》**中的[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)。
Amazon Lightsail 使用下列服務名稱建立 的介面端點：
```
com.amazonaws.region.lightsail
```
如果您為介面端點啟用私有 DNS，您可以使用Amazon Lightsail其預設的區域 DNS 名稱向 提出 API 請求。例如：`lightsail.us-east-1.amazonaws.com`。如需您可以使用的區域代碼，請參閱 [Lightsail 的區域與可用區域](understanding-regions-and-availability-zones-in-amazon-lightsail.md)。
## AWS CLI 範例
若要Lightsail使用界面端點存取 ，請將 `--region`和 `--endpoint-url` 參數與 AWS CLI 命令搭配使用。如需您可以在 中執行的操作清單Lightsail，請參閱 *Amazon Lightsail API 參考*中的[動作](https://docs.aws.amazon.com/lightsail/2016-11-28/api-reference/API_Operations.html)。
在下列範例中，使用您自己的資訊取代 AWS 區域 VPC 端點 ID 的 *`us-east-1`*和 DNS *`vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com`* 名稱。
**範例：使用端點 URL 列出Lightsail執行個體**
下列範例列出使用界面端點的執行個體。
```
aws lightsail get-instances --region us-east-1 --endpoint-url https://vpce-1a2b3c4d-5e6f.lightsail.us-east-1.vpce.amazonaws.com
```
**範例：使用端點 URL 列出Lightsail磁碟**
下列範例使用界面端點列出您的磁碟。
```
aws lightsail get-disks --region us-east-1 --endpoint-url https://vpce-1a2b3c4d-5e6f.lightsail.us-east-1.vpce.amazonaws.com
```
## 為您的介面端點建立端點政策
端點政策為 IAM 資源，您可將其連接至介面端點。預設端點政策允許Amazon Lightsail透過介面端點完整存取 。若要控制允許Amazon Lightsail從 VPC 存取 ，請將自訂端點政策連接至介面端點。
端點政策會指定以下資訊：
+ 可執行動作 (AWS 帳戶、IAM 使用者和 IAM 角色) 的主體。
+ 可執行的動作。
+ 可供執行動作的資源。
如需詳細資訊，請參閱「*AWS PrivateLink 指南*」中的[使用端點政策控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)。
**範例：Amazon Lightsail 動作的 VPC 端點政策**
以下是自訂端點政策的範例。當您將此政策連接至介面端點時，它會拒絕所有人Lightsail透過端點刪除 中區塊儲存磁碟的許可，並授予所有人執行所有其他Lightsail動作的許可。
```
{
"Statement": [
{
"Action": "lightsail:*",
"Effect": "Allow",
"Principal": "*",
"Resource": "*"
},
{
"Action": "lightsail:DeleteDisk",
"Effect": "Deny",
"Principal": "*",
"Resource": "*"
}
]
}
```