本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

預設拒絕

概觀

什麼是預設拒絕？

如果沒有預設拒絕，Amazon Quick 提供的任何新功能都會在發行時自動提供給所有使用者。管理員必須在每次發行後手動限制每個新功能。這種被動方法可能會在管理員有時間進行評估之前，向未經核准的功能公開受管制的環境。

啟用依預設拒絕時，限制類別中的新功能會在啟動日自動拒絕，無需管理員動作。然後，管理員可以評估每個新功能，並在就緒時明確允許它。限制類別也會限制其中已存在的功能，因此您可以允許使用者所需的功能。

類別限制的運作方式

當您在自訂許可設定檔中限制功能類別時， 會為指派的使用者快速限制該類別中的每個功能。這包括未來快速啟動的功能。若要保持特定功能可用，請在 設定檔中明確允許它們。

現有設定檔不會變更

限制類別只會影響您在其中設定的設定檔。現有的自訂許可設定檔不會繼承限制。若要使用它，請建立限制類別的新設定檔，或編輯現有的設定檔。如果您在現有的設定檔上啟用此功能，該類別中的所有功能都會受到限制，包括先前允許的設定檔功能。允許使用者所需的項目。

何時使用此功能

根據預設拒絕是針對在新功能到達使用者之前需要明確核准的組織所設計。常用案例包括：

重要概念

下表說明預設拒絕的關鍵術語和概念。

先決條件

設定預設拒絕之前，請確認符合下列先決條件。

如何評估功能

下列規則說明啟用依預設拒絕時，功能評估的運作方式。規則會依序評估。

每次使用者存取功能時，都會根據該功能的類別成員資格快速評估這些規則。這就是限制類別也涵蓋稍後新增的功能的原因。

這表示當 Quick 在受限制的類別中啟動新功能時，針對其設定檔DENY_BY_DEFAULT已啟用該類別的所有使用者，該功能會自動被拒絕。不需要管理員動作。限制會在功能啟動當天生效。

支援的類別

下表說明預設拒絕支援的類別。

設定預設拒絕 （快速主控台）

您可以在建立或編輯自訂許可設定檔時，設定依預設拒絕。設定是由設定檔組態頁面上的限制功能區段所控制。

若要從設定檔中移除預設拒絕，請編輯設定檔並關閉限制功能區段中的類別切換。先前被拒絕的功能可供指派給設定檔的使用者使用。

設定預設拒絕 (AWS CLI)

您可以使用 AWS Command Line Interface 建立和管理已啟用依預設拒絕的自訂許可設定檔。

下列範例會建立自訂許可設定檔，並將AI類別設為 DENY_BY_DEFAULT，並明確允許 ChatAgent功能。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

下列範例會更新現有設定檔上的依預設設定拒絕。

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--capabilities '{"ChatAgent": "ALLOW", "Flow": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

下列範例說明已啟用依預設拒絕的設定檔。

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME

若要完全使用 CLI 從設定檔中移除預設拒絕，請省略更新呼叫上的 --governance旗標。

範例

範例 1：將現有設定檔轉換為預設拒絕

此範例說明如何將明確拒絕特定 AI 功能的現有allow-by-default設定檔轉換為預設拒絕設定檔。

案例：您有一個自訂許可設定檔，明確拒絕 Flow、Automate 和 ChatAgent 功能。根據預設，所有其他功能皆可使用。

執行下列命令以檢視您目前的設定檔組態：

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

此命令會傳回類似以下的輸出：

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Flow": "DENY",
            "Automate": "DENY",
            "ChatAgent": "DENY"
        }
    }
}

問題：當快速啟動新的 AI 功能時，它會自動提供給具有此描述檔的使用者，因為描述檔只會封鎖明確列出的功能。系統不會列出新功能，因此預設會允許這些功能。

解決方案：將設定檔轉換為預設拒絕。轉換時，您會反轉邏輯。您不會列出要拒絕的功能，而是列出要允許的功能。所有未明確允許的項目都會遭到拒絕。

首先，判斷您要允許哪些 AI 功能。在此情況下，您希望使用者保留對 Research、 Topic、 KnowledgeBase 和 Space 的存取權。

執行下列命令，以預設拒絕更新設定檔：

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

結果：現在，當快速啟動任何新的 AI 功能時，具有此設定檔的使用者會自動拒絕該功能。只有研究、主題、KnowledgeBase和空間可用。Flow、Automate、ChatAgent 和任何未來的 AI 功能都會遭到拒絕。

範例 2：為新帳戶設定預設拒絕

此範例示範如何鎖定新快速帳戶從第一天開始的所有 AI 功能。

案例：您正在加入新帳戶，並想要限制所有 AI 功能，直到您的團隊個別評估每個功能為止。

執行下列命令來建立描述檔，該描述檔預設會拒絕所有 AI 功能，而沒有明確允許：

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

執行下列命令，在帳戶層級指派設定檔，以便套用至所有使用者：

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DenyAllAI-NewAccount"

結果：帳戶中的每個使用者都會拒絕所有 AI 功能。當您評估和核准個別功能時，您可以更新設定檔，將它們新增至允許清單。

範例 3：啟動後允許特定的新功能

此範例顯示如何核准在您啟用依預設拒絕之後，Quick 已啟動的新功能。

案例：快速啟動名為 的新 AI 功能NewAIFeature。您的團隊會評估它，並決定為使用者核准它。

首先，描述目前的設定檔以取得目前的狀態：

aws quicksight describe-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance"

命令會傳回下列輸出：

{
    "CustomPermissions": {
        "CustomPermissionsName": "RestrictAI-Finance",
        "Capabilities": {
            "Research": "ALLOW",
            "Topic": "ALLOW",
            "KnowledgeBase": "ALLOW",
            "Space": "ALLOW"
        },
        "Governance": {
            "DefaultCategoryEffects": {
                "AI": "DENY_BY_DEFAULT"
            }
        }
    }
}

更新設定檔以在允許清單中包含新功能。您必須包含所有現有功能和新的功能，因為更新會執行完整取代：

aws quicksight update-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "RestrictAI-Finance" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "KnowledgeBase": "ALLOW", "Space": "ALLOW", "NewAIFeature": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

結果：新功能現在可供具有此設定檔的使用者使用。所有其他未列出的 AI 功能仍會遭到拒絕。

範例 4：預設拒絕的多層級優先順序

此範例顯示依預設拒絕如何在多個層級指派設定檔時與優先順序階層互動。

案例：您希望大多數使用者使用 AI 預設拒絕鎖定，但您希望作者能夠存取更多功能。特定資料科學家需要完整存取所有 AI 功能。

帳戶層級 （最嚴格）：建立依預設拒絕所有 AI 且不允許的設定檔。在帳戶層級指派。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI" \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Account-DenyAllAI"

角色層級 （作者）：建立預設拒絕但進階使用者允許更多功能的設定檔。將其指派給作者角色。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "Author-LimitedAI" \
--capabilities '{"Research": "ALLOW", "Topic": "ALLOW", "ChatAgent": "ALLOW"}' \
--governance '{"DefaultCategoryEffects": {"AI": "DENY_BY_DEFAULT"}}'

aws quicksight update-role-custom-permission \
--role AUTHOR \
--aws-account-id AWSACCOUNTID \
--namespace default \
--custom-permissions-name "Author-LimitedAI"

使用者層級 （資料科學家）：建立無限制allow-by-default設定檔。將其指派給特定使用者。

aws quicksight create-custom-permissions \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name "DataScientist-FullAccess"

aws quicksight update-user-custom-permission \
--aws-account-id AWSACCOUNTID \
--namespace default \
--user-name DATA_SCIENTIST_USERNAME \
--custom-permissions-name "DataScientist-FullAccess"

結果：

疑難排解

使用者仍然可以存取我預期被拒絕的功能

請確認下列內容：