終止支援通知： 將於 2026 AWS 年 5 月 20 日結束對 的支援 AWS SimSpace Weaver。2026 年 5 月 20 日之後，您將無法再存取 SimSpace Weaver 主控台或 SimSpace Weaver 資源。如需詳細資訊，請參閱[AWS SimSpace Weaver 終止支援](https://docs.aws.amazon.com/simspaceweaver/latest/userguide/simspaceweaver-end-of-support.html)。 本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 中的安全性 AWS SimSpace Weaver 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為了滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性： + **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。在[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用的合規計劃 AWS SimSpace Weaver，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 時套用共同責任模型 SimSpace Weaver。下列主題說明如何設定 SimSpace Weaver 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 SimSpace Weaver 資源。 **Topics** + [中的資料保護 AWS SimSpace Weaver](security_data-protection.md) + [的 Identity and Access Management AWS SimSpace Weaver](security-iam.md) + [中的安全事件記錄和監控 AWS SimSpace Weaver](security_event-logging-and-monitoring.md) + [的合規驗證 AWS SimSpace Weaver](compliance-validation.md) + [中的彈性 AWS SimSpace Weaver](disaster-recovery-resiliency.md) + [中的基礎設施安全 AWS SimSpace Weaver](infrastructure-security.md) + [中的組態和漏洞分析 AWS SimSpace Weaver](security_vulnerability-analysis.md) + [的安全最佳實務 SimSpace Weaver](security_best-practices.md) # 中的資料保護 AWS SimSpace Weaver AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 中的資料保護 AWS SimSpace Weaver。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 SimSpace Weaver 或使用主控台、API AWS CLI或其他 AWS 服務 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 靜態加密 當資料位於非揮發性 （持久性） 資料儲存體，例如磁碟時，會將其視為*靜態*資料。位於揮發性資料儲存體中的資料，例如記憶體和註冊，不會被視為*靜態*。 當您使用 時 SimSpace Weaver，唯一的靜態資料是： + 您上傳至 Amazon Simple Storage Service (Amazon S3) 的應用程式和結構描述 + 儲存在 Amazon CloudWatch 中的模擬日誌資料 在您停止模擬之後，其他在內部 SimSpace Weaver 使用 的資料不會保留。 若要了解如何加密靜態資料，請參閱： + [在 Amazon S3 中加密您的資料](https://docs.aws.amazon.com/AmazonS3/latest/userguide/bucket-encryption.html) + [加密您的日誌資料](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/encrypt-log-data-kms.html) ## 傳輸中加密 透過 AWS Command Line Interface (AWS CLI)、 AWS SDK 和 SimSpace Weaver 應用程式 SDK 與 SimSpace Weaver API 的連線，搭配 [Signature 第 4 版簽署程序](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html)使用 TLS 加密。 會使用 IAM 定義的存取政策來 AWS 管理您用來連線的安全登入資料的身分驗證。 在內部， SimSpace Weaver 會使用 TLS 來連線到其使用的其他 AWS 服務。 **重要** 您的應用程式與其用戶端之間的通訊不涉及 SimSpace Weaver。如有需要，您有責任加密與模擬用戶端的通訊。建議您建立解決方案，以加密跨用戶端連線傳輸中的所有資料。 若要進一步了解可支援加密解決方案的 AWS 服務，請參閱 [AWS 安全部落格](https://aws.amazon.com/blogs/security/importance-of-encryption-and-how-aws-can-help/)。 ## 網際網路流量隱私權 SimSpace Weaver 運算資源位於所有 SimSpace Weaver 客戶共用的 1 個 Amazon VPC 內。所有內部 SimSpace Weaver 服務流量都會保留在 AWS 網路中，且不會透過網際網路傳輸。模擬用戶端與您的應用程式之間的通訊會通過網際網路。 # 的 Identity and Access Management AWS SimSpace Weaver AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以進行*驗證 *（登入） 和*授權* （具有許可） 來使用 SimSpace Weaver 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS SimSpace Weaver 如何使用 IAM](security_iam_service-with-iam.md) + [的身分型政策範例 AWS SimSpace Weaver](security_iam_id-based-policy-examples.md) + [為您 SimSpace Weaver 建立的許可](security_iam_service-created-permissions.md) + [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md) + [對 AWS SimSpace Weaver 身分和存取進行故障診斷](security_iam_troubleshoot.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS SimSpace Weaver 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS SimSpace Weaver 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS SimSpace Weaver](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 的形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策套用到請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS SimSpace Weaver 如何使用 IAM 在您使用 IAM 管理對 的存取之前 SimSpace Weaver，請先了解可使用哪些 IAM 功能 SimSpace Weaver。 **您可以搭配 使用的 IAM 功能 AWS SimSpace Weaver** | IAM 功能 | SimSpace Weaver 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵 (服務特定)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [主體許可](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 是 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 否 | 若要全面了解 SimSpace Weaver 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## 的身分型政策 SimSpace Weaver **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 的身分型政策範例 SimSpace Weaver 若要檢視 SimSpace Weaver 身分型政策的範例，請參閱 [的身分型政策範例 AWS SimSpace Weaver](security_iam_id-based-policy-examples.md)。 ## 內的資源型政策 SimSpace Weaver **支援資源型政策：**否 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 的政策動作 SimSpace Weaver **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 若要查看 SimSpace Weaver 動作清單，請參閱《*服務授權參考*》中的 [定義的動作 AWS SimSpace Weaver](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssimspaceweaver.html#awssimspaceweaver-actions-as-permissions)。 中的政策動作在動作之前 SimSpace Weaver 使用以下字首： ``` simspaceweaver ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "simspaceweaver:action1", "simspaceweaver:action2" ] ``` 若要檢視 SimSpace Weaver 身分型政策的範例，請參閱 [的身分型政策範例 AWS SimSpace Weaver](security_iam_id-based-policy-examples.md)。 ## 的政策資源 SimSpace Weaver **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要查看 SimSpace Weaver 資源類型及其 ARNs，請參閱*《服務授權參考*》中的 [定義的資源 AWS SimSpace Weaver](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssimspaceweaver.html#awssimspaceweaver-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS SimSpace Weaver定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssimspaceweaver.html#awssimspaceweaver-actions-as-permissions)。 若要檢視 SimSpace Weaver 身分型政策的範例，請參閱 [的身分型政策範例 AWS SimSpace Weaver](security_iam_id-based-policy-examples.md)。 ## 的政策條件索引鍵 SimSpace Weaver **支援服務特定政策條件金鑰：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 若要查看 SimSpace Weaver 條件索引鍵的清單，請參閱《*服務授權參考*》中的 [的條件索引鍵 AWS SimSpace Weaver](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssimspaceweaver.html#awssimspaceweaver-policy-keys)。若要了解您可以使用條件索引鍵的動作和資源，請參閱 [定義的動作 AWS SimSpace Weaver](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssimspaceweaver.html#awssimspaceweaver-actions-as-permissions)。 若要檢視 SimSpace Weaver 身分型政策的範例，請參閱 [的身分型政策範例 AWS SimSpace Weaver](security_iam_id-based-policy-examples.md)。 ## 中的存取控制清單 ACLs) SimSpace Weaver **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 ## 使用 的屬性型存取控制 (ABAC) SimSpace Weaver **支援 ABAC (政策中的標籤)：**是 屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 搭配 使用臨時登入資料 SimSpace Weaver **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時，會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 的跨服務主體許可 SimSpace Weaver **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## 的服務角色 SimSpace Weaver **支援服務角色：**是 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 SimSpace Weaver 功能。只有在 SimSpace Weaver 提供指引時，才能編輯服務角色。 SimSpace Weaver 應用程式 SDK 指令碼使用 CloudFormation 範本在其他 AWS 服務中建立資源，以支援您的模擬。其中一個資源是模擬*的應用程式角色*。 SimSpace Weaver 會擔任應用程式角色， AWS 帳戶 代表您在 中執行動作，例如將日誌資料寫入 CloudWatch Logs。如需應用程式角色的詳細資訊，請參閱 [為您 SimSpace Weaver 建立的許可](security_iam_service-created-permissions.md)。 ## 的服務連結角色 SimSpace Weaver **支援服務連結角色：**否 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 如需建立或管理服務連結角色的詳細資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。 # 的身分型政策範例 AWS SimSpace Weaver 根據預設，使用者和角色不具備建立或修改 SimSpace Weaver 資源的權限。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。 如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 如需 定義的動作和資源類型的詳細資訊 SimSpace Weaver，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [的動作、資源和條件索引鍵 AWS SimSpace Weaver](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssimspaceweaver.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 SimSpace Weaver 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) + [允許使用者建立和執行模擬](#security_iam_id-based-policy-examples-basic-service-use) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 SimSpace Weaver 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 SimSpace Weaver 主控台 若要存取 AWS SimSpace Weaver 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 SimSpace Weaver 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。 為了確保使用者和角色仍然可以使用 SimSpace Weaver 主控台，請將 SimSpace Weaver `ConsoleAccess`或 `ReadOnly` AWS 受管政策連接到實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ## 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 允許使用者建立和執行模擬 此範例 IAM 政策提供在其中建立和執行模擬所需的基本許可 SimSpace Weaver。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "CreateAndRunSimulations", "Effect": "Allow", "Action": [ "simspaceweaver:*", "iam:GetRole", "iam:ListRoles", "iam:CreateRole", "iam:DeleteRole", "iam:UpdateRole", "iam:CreatePolicy", "iam:AttachRolePolicy", "iam:PutRolePolicy", "iam:GetRolePolicy", "iam:DeleteRolePolicy", "s3:PutObject", "s3:GetObject", "s3:ListAllMyBuckets", "s3:PutBucketPolicy", "s3:CreateBucket", "s3:ListBucket", "s3:PutEncryptionConfiguration", "s3:DeleteBucket", "cloudformation:CreateStack", "cloudformation:UpdateStack", "cloudformation:DescribeStacks" ], "Resource": "*" }, { "Sid": "PassAppRoleToSimSpaceWeaver", "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": "simspaceweaver.amazonaws.com" } } } ] } ``` # 為您 SimSpace Weaver 建立的許可 當您建立 SimSpace Weaver 專案時，服務會建立名稱為 的 AWS Identity and Access Management (IAM) 角色`weaver-project-name-app-role`和 IAM 信任政策。信任政策允許 SimSpace Weaver 擔任該角色，使其可以為您執行操作。 ## 應用程式角色許可政策 模擬應用程式角色具有下列許可政策。 ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "logs:PutLogEvents", "logs:DescribeLogGroups", "logs:DescribeLogStreams", "logs:CreateLogGroup", "logs:CreateLogStream" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "cloudwatch:PutMetricData" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "s3:ListBucket", "s3:PutObject", "s3:GetObject" ], "Resource": "*" } ] } ``` ## 應用程式角色信任政策 SimSpace Weaver 會將信任關係新增至模擬應用程式角色做為[信任政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html)。 會為每個模擬 SimSpace Weaver 建立信任政策，類似於下列範例。 ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "simspaceweaver.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:simspaceweaver:us-west-2:111122223333:simulation/MySimName*" } } } ] } ``` **注意** 在此範例中，帳戶號碼為 `111122223333`，模擬名稱為 `MySimName`。這些值在您的信任政策中不同。 # 預防跨服務混淆代理人 [混淆代理人問題](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html)是一種安全問題，其中沒有執行動作許可的實體可能會誘使更特權的實體執行動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。 我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容索引鍵，以限制將另一個 服務 AWS SimSpace Weaver 提供給資源的許可。如果 `aws:SourceArn` 值不包含帳戶 ID (例如 Amazon S3 儲存貯體 Amazon Resource Name (ARN))，則您必須使用這兩個全域條件內容索引鍵來限制許可。如果同時使用這兩個全域條件內容索引鍵，且 `aws:SourceArn` 值包含帳戶 ID，則在相同政策陳述式中使用 `aws:SourceAccount` 值和 `aws:SourceArn` 值中的帳戶時，必須使用相同的帳戶 ID。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 `aws:SourceAccount`。 `aws:SourceArn` 的值必須使用擴充功能的 ARN。 防範混淆代理人問題的最有效方法是使用 `aws:SourceArn` 全域條件內容索引鍵，以及資源的完整 ARN。如果您不知道擴充功能的完整 ARN，或者如果您指定了多個擴充功能，請使用 `aws:SourceArn` 全域內容條件索引鍵搭配萬用字元 (`*`) 來表示 ARN 的未知部分。例如 `arn:aws:simspaceweaver:*:111122223333:*`。 下列範例示範如何在 中使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容索引鍵 SimSpace Weaver ，以防止混淆代理人問題。此政策將僅允許在請求來自指定的來源帳戶，並隨附指定的 ARN 時 SimSpace Weaver 擔任角色。在此情況下， SimSpace Weaver 只能擔任請求者自有帳戶 (*111122223333*) 中模擬請求的角色，且只能在指定的區域 (*us-west-2*) 中擔任該角色。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "simspaceweaver.amazonaws.com" ] }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "ArnLike": { "aws:SourceArn": "arn:aws:simspaceweaver:us-west-2:111122223333:simulation/*" } } } ] } ``` ------ 撰寫此政策的更安全方法是在 中包含模擬名稱`aws:SourceArn`，如下列範例所示，其會將政策限制為名為 的模擬`MyProjectSimulation_22-10-04_22_10_15`： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "simspaceweaver.amazonaws.com" ] }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "StringLike": { "aws:SourceArn": "arn:aws:simspaceweaver:us-west-2:111122223333:simulation/MySimulation" } } } ] } ``` ------ 當您`aws:SourceArn`明確包含 帳戶號碼時，您可以離開 的 `Condition` 元素測試 `aws:SourceAccount`（如需詳細資訊，請參閱 [IAM 使用者指南](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn))，例如下列簡化政策： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "simspaceweaver.amazonaws.com" ] }, "Action": "sts:AssumeRole", "Condition": { "StringLike": { "aws:SourceArn": "arn:aws:simspaceweaver:us-west-2:111122223333:simulation/MySimulation" } } } ] } ``` ------ # 對 AWS SimSpace Weaver 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 SimSpace Weaver 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 中執行動作 SimSpace Weaver](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要檢視我的存取金鑰](#security_iam_troubleshoot-access-keys) + [我是管理員，想要允許其他人存取 SimSpace Weaver](#security_iam_troubleshoot-admin-delegate) + [我想要允許 以外的人員 AWS 帳戶 存取我的 SimSpace Weaver 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 中執行動作 SimSpace Weaver 如果 AWS 管理主控台 告訴您無權執行 動作，則必須聯絡您的管理員尋求協助。您的管理員是為您提供使用者名稱和密碼的人員。 以下範例錯誤會在 `mateojackson` IAM 使用者嘗試使用主控台檢視虛構 `my-example-widget` 資源的詳細資訊，但卻沒有虛構 `simspaceweaver:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: simspaceweaver:GetWidget on resource: my-example-widget ``` 在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `my-example-widget` 動作存取 `simspaceweaver:GetWidget` 資源。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 SimSpace Weaver。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 SimSpace Weaver中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的登入憑證。 ## 我想要檢視我的存取金鑰 在您建立 IAM 使用者存取金鑰後，您可以隨時檢視您的存取金鑰 ID。但是，您無法再次檢視您的私密存取金鑰。若您遺失了密碼金鑰，您必須建立新的存取金鑰對。 存取金鑰包含兩個部分：存取金鑰 ID (例如 `AKIAIOSFODNN7EXAMPLE`) 和私密存取金鑰 (例如 `wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY`)。如同使用者名稱和密碼，您必須一起使用存取金鑰 ID 和私密存取金鑰來驗證您的請求。就如對您的使用者名稱和密碼一樣，安全地管理您的存取金鑰。 **重要** 請勿將您的存取金鑰提供給第三方，甚至是協助[尋找您的標準使用者 ID](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-identifiers.html#FindCanonicalId)。透過這樣做，您可以讓某人永久存取您的 AWS 帳戶。 建立存取金鑰對時，您會收到提示，要求您將存取金鑰 ID 和私密存取金鑰儲存在安全位置。私密存取金鑰只會在您建立它的時候顯示一次。若您遺失了私密存取金鑰，您必須將新的存取金鑰新增到您的 IAM 使用者。您最多可以擁有兩個存取金鑰。若您已有兩個存取金鑰，您必須先刪除其中一個金鑰對，才能建立新的金鑰對。若要檢視說明，請參閱《IAM 使用者指南》中的[管理存取金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_access-keys.html#Using_CreateAccessKey)。 ## 我是管理員，想要允許其他人存取 SimSpace Weaver 若要允許其他人存取 SimSpace Weaver，您必須將許可授予需要存取的人員或應用程式。如果您使用 AWS IAM Identity Center 管理人員和應用程式，您可以將許可集指派給使用者或群組，以定義其存取層級。許可集會自動建立 IAM 政策，並將其指派給與該人員或應用程式相關聯的 IAM 角色。如需詳細資訊，請參閱*AWS IAM Identity Center 《 使用者指南*》中的[許可集](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)。 如果您不是使用 IAM Identity Center，則必須為需要存取的人員或應用程式建立 IAM 實體 （使用者或角色）。您接著必須將政策連接到實體，在 SimSpace Weaver中授予他們正確的許可。授予許可後，請將登入資料提供給使用者或應用程式開發人員。他們將使用這些登入資料來存取 AWS。若要進一步了解如何建立 IAM 使用者、群組、政策和許可，請參閱《IAM **[使用者指南》中的 IAM 身分](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)[和政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 SimSpace Weaver 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 是否 SimSpace Weaver 支援這些功能，請參閱 [AWS SimSpace Weaver 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 中的安全事件記錄和監控 AWS SimSpace Weaver 監控是維護 和 AWS 解決方案的可靠性、可用性 SimSpace Weaver 和效能的重要部分。您應該從 AWS 解決方案的所有部分收集監控資料，以便在發生多點失敗時更輕鬆地偵錯。 AWS 和 SimSpace Weaver 提供數種工具來監控模擬資源並回應潛在事件。 **Amazon CloudWatch 中的日誌** SimSpace Weaver 會將日誌儲存在 CloudWatch 中。您可以使用這些日誌來監控模擬中的事件 （例如啟動和停止應用程式），以及偵錯。如需詳細資訊，請參閱[SimSpace Weaver Amazon CloudWatch Logs 中的日誌](cloudwatch-logs.md)。 **Amazon CloudWatch 警示** 使用 Amazon CloudWatch 警示，您可在自己指定的一段時間內監看單一指標。如果指標超過指定的閾值，則會將通知傳送至 Amazon SNS 主題或 AWS Auto Scaling 政策。CloudWatch 警示會在其狀態變更時觸發，並且會維持一段指定的期間，而不是處於特定狀態。如需詳細資訊，請參閱[SimSpace Weaver 使用 Amazon CloudWatch 進行監控](monitoring-with-cloudwatch.md)。 **AWS CloudTrail 日誌** CloudTrail 會提供使用者、角色或服務 AWS 在其中採取之動作的記錄 SimSpace Weaver。您可以使用 CloudTrail 所收集的資訊來判斷提出的請求 SimSpace Weaver、提出請求的 IP 地址、提出請求的人員、提出請求的時間，以及其他詳細資訊。如需詳細資訊，請參閱[使用 記錄 AWS SimSpace Weaver API 呼叫 AWS CloudTrail](logging-using-cloudtrail.md)。 # 的合規驗證 AWS SimSpace Weaver SimSpace Weaver 不在任何 AWS 合規計劃的範圍內。 在多個合規計畫 AWS 中，第三方稽核人員會評估其他服務的安全性和 AWS 合規性。這些計劃包括 SOC、PCI、FedRAMP、HIPAA 等等。 若要了解 AWS 服務 是否在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[下載報告 in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html) 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # 中的彈性 AWS SimSpace Weaver AWS 全球基礎設施是以 AWS 區域 和 可用區域為基礎建置。 AWS 區域 提供多個實體分隔和隔離的可用區域，這些可用區域與低延遲、高輸送量和高備援聯網連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域 和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # 中的基礎設施安全 AWS SimSpace Weaver 作為受管服務， AWS SimSpace Weaver 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫， SimSpace Weaver 透過網路存取 。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 ## 網路連線安全模型 您的模擬會在您選取 AWS 區域內 Amazon VPC 內的運算執行個體上執行。Amazon VPC 是 AWS 雲端中的虛擬網路，可依工作負載或組織實體隔離基礎設施。Amazon VPC 內的運算執行個體之間的通訊會保留在 AWS 網路中，而且不會透過網際網路傳輸。有些內部服務通訊會跨網際網路並加密。在相同 AWS 區域中執行的所有客戶的模擬都會共用相同的 Amazon VPC。不同客戶的模擬會在相同的 Amazon VPC 中使用不同的運算執行個體。 模擬用戶端與透過網際網路 SimSpace Weaver 傳輸中執行之模擬之間的通訊。 SimSpace Weaver 不會處理這些連線。保護用戶端連線是您的責任。 您對 SimSpace Weaver 服務的連線會透過網際網路進行加密。這包括使用 AWS 管理主控台、 AWS Command Line Interface (AWS CLI)、 AWS 軟體開發套件 (SDK) 和 SimSpace Weaver 應用程式 SDK 的連線。 # 中的組態和漏洞分析 AWS SimSpace Weaver 組態和 IT 控制是 AWS 與您之間的共同責任。如需詳細資訊，請參閱 AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)。 AWS 會處理基礎基礎設施的基本安全任務，例如在運算執行個體上修補作業系統、防火牆組態和 AWS 基礎設施災難復原。這些程序已由適當的第三方進行檢閱並認證。如需詳細資訊，請參閱[安全性、身分和合規的最佳實務](https://aws.amazon.com/architecture/security-identity-compliance/)。 您必須負責模擬軟體的安全性： + 維護您的應用程式程式碼，包括更新和安全性修補程式。 + 驗證並加密模擬用戶端與其連線的應用程式之間的通訊。 + 更新您的模擬以使用最新的 SDK 版本，包括 AWS SDK 和 SimSpace Weaver 應用程式 SDK。 **注意** SimSpace Weaver 不支援在執行中的模擬中更新應用程式。如果您需要更新應用程式，您必須停止並刪除模擬，然後使用更新的應用程式程式碼建立新的模擬。我們建議您將模擬狀態儲存在外部資料存放區中，以便在需要重新建立模擬時進行還原。 # 的安全最佳實務 SimSpace Weaver 本節說明特定的安全最佳實務 SimSpace Weaver。若要進一步了解 中的安全最佳實務 AWS，請參閱[安全性、身分和合規的最佳實務](https://aws.amazon.com/architecture/security-identity-compliance)。 **Topics** + [加密應用程式與其用戶端之間的通訊](#security_best-practice_encrypt-client-communications) + [定期備份模擬狀態](#security_best-practice_backup-simulation-state) + [維護您的應用程式和SDKs](#security_best-practice_maintain-apps-and-sdks) ## 加密應用程式與其用戶端之間的通訊 SimSpace Weaver 不會管理應用程式與其用戶端之間的通訊。您應該為用戶端工作階段實作某種形式的身分驗證和加密。 ## 定期備份模擬狀態 SimSpace Weaver 不會儲存您的模擬狀態。停止的模擬 （由於 API 呼叫、主控台選項或系統當機） 不會儲存其狀態，也沒有復原狀態的固有方法。停止的模擬無法重新啟動。執行相當於重新啟動的唯一方法是使用相同的組態和資料重新建立模擬。您可以使用模擬狀態的備份來初始化新的模擬。 AWS 提供高度可靠且可用的雲端[儲存](https://aws.amazon.com/products/storage)和[資料庫](https://aws.amazon.com/products/databases/)服務，可用來儲存模擬狀態。 ## 維護您的應用程式和SDKs 維護您的應用程式、 AWS 軟體開發套件 (SDKs) 的本機安裝，以及 SimSpace Weaver 應用程式 SDK。您可以下載並安裝新版本的 AWS SDKs。使用非生產應用程式建置測試 SimSpace Weaver 應用程式 SDK 的新版本，以確保您的應用程式繼續如預期般執行。您無法在執行中的模擬中更新您的應用程式。若要更新您的應用程式： 1. 在本機 （或在測試環境中） 更新和測試應用程式碼。 1. 停止變更模擬狀態並儲存 （如有必要）。 1. 停止模擬 （一旦停止，就無法重新啟動）。 1. 刪除模擬 （未刪除的已停止模擬會計入您的服務限制）。 1. 使用相同的組態和更新的應用程式程式碼重新建立模擬。 1. 使用儲存的狀態資料 （如果可用） 初始化模擬。 1. 啟動新的模擬。 **注意** 使用相同組態建立的新模擬與舊模擬不同。它將具有新的模擬 ID，並將日誌傳送至 Amazon CloudWatch 中的新日誌串流。