Menciptakan peran dan memberlakukan kebijakan (konsol)

Beberapa kebijakan yang tercantum sebelumnya memberikan kemampuan untuk mengonfigurasi AWS layanan dengan peran yang memungkinkan layanan tersebut melakukan operasi atas nama Anda. Kebijakan fungsi pekerjaan menentukan nama peran yang tepat yang harus Anda gunakan atau setidaknya menyertakan awalan yang menentukan bagian pertama dari nama yang dapat digunakan. Untuk membuat salah satu peran ini, lakukan langkah-langkah dalam prosedur berikut.

Untuk membuat peran untuk Layanan AWS (Konsol IAM)

1. Masuk ke Konsol Manajemen AWS dan buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi konsol IAM, pilih Peran, dan lalu pilih Buat peran.

3. Untuk Ti pe entitas tepercaya, pilih Layanan AWS.

4. Untuk Layanan atau kasus penggunaan, pilih layanan, lalu pilih kasus penggunaan. Kasus penggunaan ditentukan oleh layanan untuk menyertakan kebijakan kepercayaan yang diperlukan layanan.

5. Pilih Berikutnya.

6. Untuk kebijakan Iz in, opsi tergantung pada kasus penggunaan yang Anda pilih:

   • Jika layanan menentukan izin untuk peran, Anda tidak dapat memilih kebijakan izin.

   • Pilih dari kumpulan kebijakan izin terbatas.

   • Pilih dari semua kebijakan izin.

   • Pilih kebijakan tanpa izin, buat kebijakan setelah peran dibuat, lalu lampirkan kebijakan ke peran tersebut.

7. (Opsional) Tetapkan batas izin. Ini adalah fitur lanjutan yang tersedia untuk peran layanan, tetapi bukan peran tertaut layanan.

   1. Buka bagian Tetapkan batas izin, lalu pilih Gunakan batas izin untuk mengontrol izin peran maksimum.

      IAM menyertakan daftar kebijakan yang AWS dikelola dan dikelola pelanggan di akun Anda.

   2. Pilih kebijakan yang akan digunakan untuk batas izin.

8. Pilih Berikutnya.

9. Untuk nama Per an, opsi tergantung pada layanan:

   • Jika layanan menentukan nama peran, Anda tidak dapat mengedit nama peran.

   • Jika layanan mendefinisikan awalan untuk nama peran, Anda dapat memasukkan akhiran opsional.

   • Jika layanan tidak menentukan nama peran, Anda dapat memberi nama peran tersebut.

     penting

     Saat Anda memberi nama peran, perhatikan hal berikut:

     • Nama peran harus unik dalam nama Anda Akun AWS, dan tidak dapat dibuat unik berdasarkan kasus.

       Misalnya, jangan membuat peran bernama keduanya PRODROLE danprodrole. Ketika nama peran digunakan dalam kebijakan atau sebagai bagian dari ARN, nama peran tersebut peka huruf besar/kecil, namun ketika nama peran muncul kepada pelanggan di konsol, seperti selama proses masuk, nama peran tidak peka huruf besar/kecil.

     • Anda tidak dapat mengedit nama peran setelah dibuat karena entitas lain mungkin mereferensikan peran tersebut.

10. (Opsional) Untuk Deskripsi, masukkan deskripsi untuk peran.

11. (Opsional) Untuk mengedit kasus penggunaan dan izin untuk peran, di bagian Langkah 1: Pilih entitas tepercaya atau Langkah 2: Tambahkan izin, pilih Edit.

12. (Opsional) Untuk membantu mengidentifikasi, mengatur, atau mencari peran, tambahkan tag sebagai pasangan kunci-nilai. Untuk informasi selengkapnya tentang menggunakan tag di IAM, lihat Tag untuk AWS Identity and Access Management sumber daya di Panduan Pengguna IAM.

13. Tinjau peran lalu pilih Buat peran.

Contoh 1: Mengonfigurasi pengguna sebagai administrator basis data (konsol)

Contoh ini menunjukkan langkah-langkah yang diperlukan untuk mengonfigurasi Alice, pengguna IAM, sebagai Administrator Basis Data. Anda menggunakan informasi di baris pertama tabel di bagian tersebut dan memungkinkan pengguna mengaktifkan pemantauan Amazon RDS. Anda melampirkan DatabaseAdministrator kebijakan ke pengguna IAM Alice sehingga mereka dapat mengelola layanan database Amazon. Kebijakan itu juga memungkinkan Alice untuk meneruskan peran yang di rds-monitoring-role panggil ke layanan Amazon RDS yang memungkinkan layanan untuk memantau database Amazon RDS atas nama mereka.

1. Masuk ke Konsol Manajemen AWS dan buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Pilih Kebijakan, ketik database di kotak pencarian, lalu tekan enter.

3. Pilih tombol radio untuk DatabaseAdministrator kebijakan, pilih Tind akan, lalu pilih Lamp irkan.

4. Dalam daftar entitas, pilih Alice lalu pilih Lamp irkan kebijakan. Alice sekarang dapat mengelola AWS database. Namun, agar Alice dapat memantau basis data tersebut, Anda harus mengonfigurasi peran layanan.

5. Di panel navigasi konsol IAM, pilih Peran, dan lalu pilih Buat peran.

6. Pilih jenis peran AWS Layanan, lalu pilih Amazon RDS.

7. Pilih kasus penggunaan Peran Amazon RDS untuk Pemantauan yang Ditingkatkan.

8. Amazon RDS mendefinisikan izin untuk peran Anda. Pilih Next: Review (Berikutnya: Tinjauan) untuk melanjutkan.

9. Nama peran harus salah satu dari yang ditentukan oleh DatabaseAdministrator kebijakan yang sekarang dimiliki Alice. Salah satunya adalah rds-monitoring-role. Masukkan itu untuk nama Role.

10. (Opsional) Untuk Deskripsi peran, masukkan deskripsi.

11. Setelah meninjau perinciannya, pilih Buat peran.

12. Sekarang Alice dapat mengaktifkan RDS Enhanced Monitoring dalam bagian Pemantauan di konsol Amazon RDS. Misalnya, mereka mungkin melakukan ini ketika mereka membuat instance DB, membuat replika baca, atau memodifikasi instance DB. Mereka harus memasukkan nama peran yang mereka buat (rds-monitoring-role) di kotak Peran Pemantauan saat mereka menyetel Akti fkan Pemantauan yang Ditingkatkan ke Ya.

Contoh 2: Mengonfigurasi pengguna sebagai administrator jaringan (konsol)

Contoh ini menunjukkan langkah-langkah yang diperlukan untuk mengkonfigurasi Jorge, pengguna IAM, sebagai Administrator Fungsi pekerjaan administrator jaringan Jaringan. Ini menggunakan informasi dalam tabel di bagian itu untuk memungkinkan Jorge memantau lalu lintas IP yang pergi ke dan dari VPC. Ini juga memungkinkan Jorge untuk menangkap informasi itu di log di CloudWatch Log. Anda melampirkan NetworkAdministrator kebijakan ke pengguna IAM Jorge sehingga mereka dapat mengonfigurasi sumber daya AWS jaringan. Kebijakan itu juga memungkinkan Jorge untuk meneruskan peran yang namanya dimulai dengan flow-logs* ke Amazon EC2 saat Anda membuat log alur. Dalam skenario ini, tidak seperti Contoh 1, tidak ada jenis peran layanan yang ditentukan sebelumnya sehingga Anda harus melakukan beberapa langkah secara berbeda.

1. Masuk ke Konsol Manajemen AWS dan buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Kebijakan lalu masukkan network di kotak pencarian, lalu tekan enter.

3. Pilih tombol radio di sebelah NetworkAdministrator kebijakan, pilih Tind akan, lalu pilih Lamp irkan.

4. Dalam daftar pengguna, pilih kotak centang di sebelah Jorge dan kemudian pilih Lamp irkan kebijakan. Jorge sekarang dapat mengelola sumber daya AWS jaringan. Namun, untuk mengaktifkan pemantauan lalu lintas IP di VPC, Anda harus mengonfigurasi peran layanan.

5. Karena peran layanan yang perlu Anda buat tidak memiliki kebijakan yang dikelola sebelumnya, Anda harus membuatnya terlebih dahulu. Pada panel navigasi, pilih Kebijakan, lalu pilih Buat kebijakan.

6. Di bagian Editor kebijakan, pilih opsi JSON dan salin teks dari dokumen kebijakan JSON berikut. Tempel teks ini ke kotak teks JSON.

   JSON

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Action": [
           "logs:CreateLogGroup",
           "logs:CreateLogStream",
           "logs:PutLogEvents",
           "logs:DescribeLogGroups",
           "logs:DescribeLogStreams"
         ],
         "Effect": "Allow",
         "Resource": "*"
       }
     ]
   }
   

7. Selesaikan peringatan keamanan, kesalahan, atau peringatan umum yang dihasilkan selama validasi kebijakan, lalu pilih Berikutnya.

   catatan

   Anda dapat beralih antara opsi editor Visual dan JSON kapan saja. Namun, jika Anda melakukan perubahan atau memilih Berikutnya di editor Visual, IAM dapat merestrukturisasi kebijakan Anda untuk mengoptimalkannya bagi editor visual. Untuk informasi selengkapnya, lihat Restrukturisasi kebijakan.

8. Pada halaman Tinjau dan buat, vpc-flow-logs-policy-for-service-role ketik nama kebijakan. Tinjau Izin yang ditentukan dalam kebijakan ini untuk melihat izin yang diberikan oleh kebijakan Anda, lalu pilih Buat kebijakan untuk menyimpan pekerjaan Anda.

   Kebijakan baru muncul dalam daftar kebijakan terkelola dan siap diberlakukan.

9. Di panel navigasi konsol IAM, pilih Peran, dan lalu pilih Buat peran.

10. Pilih jenis peran AWS Layanan, lalu pilih Amazon EC2.

11. Pilih kasus penggunaan Amazon EC2.

12. Di halaman Berlakukan kebijakan izin, pilih kebijakan yang telah Anda buat sebelumnya, vpc-flow-logs-policy-for-service-role, lalu pilih Berikutnya: Tinjauan.

13. Nama peran harus diizinkan oleh NetworkAdministrator kebijakan yang sekarang dimiliki Jorge. Nama apa pun yang dimulai dengan flow-logs- diperbolehkan. Untuk contoh ini, flow-logs-for-jorge masukkan nama Peran.

14. (Opsional) Untuk Deskripsi peran, masukkan deskripsi.

15. Setelah meninjau perinciannya, pilih Buat peran.

16. Sekarang, Anda dapat mengonfigurasi kebijakan kepercayaan yang diperlukan untuk skenario ini. Pada halaman Per an, pilih peran flow-logs-for-jorge (nama, bukan kotak centang). Pada halaman perincian peran baru Anda, pilih Hubungan kepercayaan, lalu pilihEdit hubungan kepercayaan.

17. Ubah baris "Layanan" agar dibaca sebagai berikut, menggantikan entri untuk ec2.amazonaws.com:

            "Service": "vpc-flow-logs.amazonaws.com"

18. Jorge sekarang dapat membuat log aliran untuk VPC atau subnet di konsol Amazon EC2. Saat Anda membuat log alur, tentukan peran flow-log s-for-jorge. Peran tersebut memiliki izin untuk membuat data log dan menuliskan data ke log itu.