Praktik terbaik kebijakan Menggunakan konsol Mengizinkan pengguna melihat izin mereka sendiri Menggunakan kebijakan IAM untuk Penagihan

Kebijakan berbasis identitas dengan Billing AWS

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya Penagihan. Mereka juga tidak dapat melakukan tugas dengan menggunakan AWS Management Console, AWS Command Line Interface (AWS CLI), atau AWS API. Untuk memberikan izin kepada pengguna untuk melakukan tindakan di sumber daya yang mereka perlukan, administrator IAM dapat membuat kebijakan IAM. Administrator kemudian akan dapat menambahkan kebijakan IAM ke peran, dan pengguna dapat mengambil peran.

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan IAM dalam Panduan Pengguna IAM.

Untuk detail tentang tindakan dan jenis sumber daya yang ditentukan oleh Penagihan, termasuk format ARN untuk setiap jenis sumber daya, lihat Tindakan, sumber daya, dan kunci kondisi untuk AWS Penagihan di Referensi Otorisasi Layanan.

Daftar Isi

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus Sumber daya Penagihan di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Mulailah dengan kebijakan AWS terkelola dan beralih ke izin hak istimewa paling sedikit — Untuk mulai memberikan izin kepada pengguna dan beban kerja Anda, gunakan kebijakan AWS terkelola yang memberikan izin untuk banyak kasus penggunaan umum. Mereka tersedia di Anda Akun AWS. Kami menyarankan Anda mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola AWS pelanggan yang khusus untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat Kebijakan yang dikelola AWS atau Kebijakan yang dikelola AWS untuk fungsi tugas dalam Panduan Pengguna IAM.
Menerapkan izin dengan hak akses paling rendah – Ketika Anda menetapkan izin dengan kebijakan IAM, hanya berikan izin yang diperlukan untuk melakukan tugas. Anda melakukannya dengan mendefinisikan tindakan yang dapat diambil pada sumber daya tertentu dalam kondisi tertentu, yang juga dikenal sebagai izin dengan hak akses paling rendah. Untuk informasi selengkapnya tentang cara menggunakan IAM untuk mengajukan izin, lihat Kebijakan dan izin dalam IAM dalam Panduan Pengguna IAM.
Gunakan kondisi dalam kebijakan IAM untuk membatasi akses lebih lanjut – Anda dapat menambahkan suatu kondisi ke kebijakan Anda untuk membatasi akses ke tindakan dan sumber daya. Sebagai contoh, Anda dapat menulis kondisi kebijakan untuk menentukan bahwa semua permintaan harus dikirim menggunakan SSL. Anda juga dapat menggunakan ketentuan untuk memberikan akses ke tindakan layanan jika digunakan melalui yang spesifik Layanan AWS, seperti AWS CloudFormation. Untuk informasi selengkapnya, lihat Elemen kebijakan JSON IAM: Kondisi dalam Panduan Pengguna IAM.
Gunakan IAM Access Analyzer untuk memvalidasi kebijakan IAM Anda untuk memastikan izin yang aman dan fungsional – IAM Access Analyzer memvalidasi kebijakan baru dan yang sudah ada sehingga kebijakan tersebut mematuhi bahasa kebijakan IAM (JSON) dan praktik terbaik IAM. IAM Access Analyzer menyediakan lebih dari 100 pemeriksaan kebijakan dan rekomendasi yang dapat ditindaklanjuti untuk membantu Anda membuat kebijakan yang aman dan fungsional. Untuk informasi selengkapnya, lihat Validasi kebijakan IAM Access Analyzer dalam Panduan Pengguna IAM.
Memerlukan otentikasi multi-faktor (MFA) - Jika Anda memiliki skenario yang mengharuskan pengguna IAM atau pengguna root di Anda, Akun AWS aktifkan MFA untuk keamanan tambahan. Untuk meminta MFA ketika operasi API dipanggil, tambahkan kondisi MFA pada kebijakan Anda. Untuk informasi selengkapnya, lihat Mengonfigurasi akses API yang dilindungi MFA dalam Panduan Pengguna IAM.

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat Praktik terbaik keamanan dalam IAM dalam Panduan Pengguna IAM.

Menggunakan konsol Penagihan

Untuk mengakses konsol AWS Penagihan, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang sumber daya Penagihan di Anda. Akun AWS Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna atau peran) dengan kebijakan tersebut.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau AWS API. Sebagai gantinya, izinkan akses hanya ke tindakan yang sesuai dengan operasi API yang coba mereka lakukan.

Anda dapat menemukan detail akses seperti izin yang diperlukan untuk mengaktifkan konsol AWS Penagihan, akses administrator, dan akses hanya-baca di bagian ini. AWS kebijakan terkelola

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara membuat kebijakan yang mengizinkan pengguna IAM melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau menggunakan API atau secara terprogram. AWS CLI AWS


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Menggunakan kebijakan berbasis identitas untuk Penagihan

catatan

Tindakan AWS Identity and Access Management (IAM) berikut telah mencapai akhir dukungan standar pada Juli 2023:

aws-portalnamespace
purchase-orders:ViewPurchaseOrders
purchase-orders:ModifyPurchaseOrders

Jika Anda menggunakan AWS Organizations, Anda dapat menggunakan skrip migrasi kebijakan massal atau migrator kebijakan massal untuk memperbarui kebijakan dari akun pembayar Anda. Anda juga dapat menggunakan referensi pemetaan tindakan lama ke granular untuk memverifikasi tindakan IAM yang perlu ditambahkan.

Jika Anda memiliki Akun AWS, atau merupakan bagian dari yang AWS Organizations dibuat pada atau setelah 6 Maret 2023, 11:00 (PDT), tindakan halus sudah berlaku di organisasi Anda.

penting

Selain kebijakan IAM, Anda harus memberikan IAM akses ke konsol Billing and Cost Management di halaman konsol Pengaturan Akun.

Untuk informasi selengkapnya, lihat topik berikut.

Mengaktifkan akses ke konsol Manajemen Penagihan dan Biaya
Tutorial IAM: Berikan akses ke konsol penagihan di Panduan Pengguna IAM

Gunakan bagian ini untuk melihat bagaimana administrator akun kebijakan berbasis identitas dapat melampirkan kebijakan izin ke identitas IAM (peran dan grup) dan memberikan izin untuk melakukan operasi pada sumber daya Penagihan.

Untuk informasi selengkapnya tentang Akun AWS dan pengguna, lihat Apa itu IAM? di Panduan Pengguna IAM.

Untuk informasi tentang cara memperbarui kebijakan yang dikelola pelanggan, lihat Mengedit kebijakan yang dikelola pelanggan (konsol) di Panduan Pengguna IAM.

AWS Tindakan konsol penagihan

Tabel ini merangkum izin yang memberikan akses ke informasi dan alat konsol penagihan Anda. Untuk contoh kebijakan yang menggunakan izin ini, lihat AWS Contoh kebijakan penagihan.

Untuk daftar kebijakan tindakan untuk konsol Manajemen AWS Biaya, lihat kebijakan tindakan Manajemen AWS Biaya di Panduan Pengguna Manajemen AWS Biaya.

Nama izin	Deskripsi
`aws-portal:ViewBilling`	Memberikan izin untuk melihat halaman konsol Billing and Cost Management.
`aws-portal:ModifyBilling`	Memberikan izin untuk mengubah halaman konsol Billing and Cost Management berikut: Anggaran Penagihan Konsolidasi Preferensi penagihan Kredit Pengaturan pajak Metode pembayaran Pesanan pembelian Tag Alokasi Biaya Untuk mengizinkan pengguna IAM memodifikasi halaman konsol ini, Anda harus mengizinkan `ModifyBilling` dan `ViewBilling`. Untuk contoh kebijakan, lihat Mengizinkan pengguna IAM untuk memodifikasi informasi penagihan.
`aws-portal:ViewAccount`	Memberikan izin untuk melihat Pengaturan Akun.
`aws-portal:ModifyAccount`	Memberikan izin untuk mengubah Pengaturan Akun. Untuk mengizinkan pengguna IAM memodifikasi pengaturan akun, Anda harus mengizinkan `ModifyAccount` dan `ViewAccount`. Untuk contoh kebijakan yang secara jelas menolak akses pengguna IAM ke halaman konsol Pengaturan Akun, lihat Menolak akses ke pengaturan akun, namun mengizinkan akses penuh ke semua informasi penagihan dan penggunaan lainnya.
`aws-portal:ViewPaymentMethods`	Memberikan izin untuk melihat Metode Pembayaran.
`aws-portal:ModifyPaymentMethods`	Memberikan izin untuk memodifikasi Metode Pembayaran. Untuk mengizinkan pengguna memodifikasi metode pembayaran, Anda harus mengizinkan `ModifyPaymentMethods` dan `ViewPaymentMethods`.
`billing:ListBillingViews`	Memberikan izin untuk mendapatkan informasi penagihan untuk grup penagihan pro forma. Ini dibuat menggunakan Konduktor AWS Penagihan pada halaman Tagihan, atau Laporan AWS Biaya dan Penggunaan. Untuk informasi selengkapnya tentang melihat detail grup penagihan, lihat Melihat detail grup penagihan Anda di Panduan Pengguna Konduktor AWS Penagihan.
`sustainability:GetCarbonFootprintSummary`	Memberikan izin untuk melihat alat dan data jejak karbon AWS pelanggan. Ini dapat diakses dari halaman Laporan AWS Biaya dan Penggunaan pada konsol Billing and Cost Management. Untuk contoh kebijakan, lihat Izinkan pengguna IAM untuk melihat informasi penagihan dan laporan jejak karbon.
`cur:DescribeReportDefinitions`	Memberikan izin untuk melihat Laporan AWS Biaya dan Penggunaan. AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan API Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing and Cost Management. Jika Anda membuat laporan menggunakan konsol Manajemen Penagihan dan Biaya, kami rekomendasikan Anda memperbarui izin untuk pengguna IAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol. Untuk contoh kebijakan, lihat Mengizinkan pengguna IAM mengakses halaman konsol laporan.
`cur:PutReportDefinition`	Memberikan izin untuk membuat Laporan AWS Biaya dan Penggunaan. AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan API Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing and Cost Management. Jika Anda membuat laporan menggunakan konsol Manajemen Penagihan dan Biaya, kami rekomendasikan Anda memperbarui izin untuk pengguna IAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol. Untuk contoh kebijakan, lihat Mengizinkan pengguna IAM mengakses halaman konsol laporan.
`cur:DeleteReportDefinition`	Memberikan izin untuk menghapus Laporan AWS Biaya dan Penggunaan. AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan API Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing and Cost Management. Jika Anda membuat laporan menggunakan konsol Manajemen Penagihan dan Biaya, kami rekomendasikan Anda memperbarui izin untuk pengguna IAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol. Untuk contoh kebijakan, lihat Membuat, melihat, mengedit, atau menghapus Laporan Biaya dan Penggunaan AWS.
`cur:ModifyReportDefinition`	Memberikan izin untuk memodifikasi Laporan AWS Biaya dan Penggunaan. AWS Izin Laporan Biaya dan Penggunaan berlaku untuk semua laporan yang dibuat menggunakan API Layanan Laporan AWS Biaya dan Penggunaan serta konsol Billing and Cost Management. Jika Anda membuat laporan menggunakan konsol Manajemen Penagihan dan Biaya, kami rekomendasikan Anda memperbarui izin untuk pengguna IAM. Tidak memperbarui izin akan mengakibatkan pengguna kehilangan akses untuk melihat, mengedit, dan menghapus laporan pada halaman laporan konsol. Untuk contoh kebijakan, lihat Membuat, melihat, mengedit, atau menghapus Laporan Biaya dan Penggunaan AWS.
`ce:CreateCostCategoryDefinition`	Memberikan izin untuk membuat kategori biaya. Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
`ce:DeleteCostCategoryDefinition`	Memberikan izin untuk menghapus kategori biaya. Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
`ce:DescribeCostCategoryDefinition`	Memberikan izin untuk melihat kategori biaya. Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
`ce:ListCostCategoryDefinitions`	Memberikan izin untuk mencantumkan kategori biaya. Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
`ce:UpdateCostCategoryDefinition`	Memberikan izin untuk memperbarui kategori biaya. Untuk contoh kebijakan, lihat Melihat dan mengelola kategori biaya.
`aws-portal:ViewUsage`	Memberikan izin untuk melihat Laporan AWS penggunaan. Untuk mengizinkan pengguna IAM melihat laporan penggunaan, Anda harus mengizinkan `ViewUsage` dan `ViewBilling`. Untuk contoh kebijakan, lihat Mengizinkan pengguna IAM mengakses halaman konsol laporan.
`payments:ListTagsForResource`	Izinkan atau tolak izin pengguna IAM untuk melihat tag untuk metode pembayaran.
`payments:TagResource`	Izinkan atau tolak izin pengguna IAM untuk menambahkan tag untuk metode pembayaran.
`payments:UntagResource`	Izinkan atau tolak izin pengguna IAM untuk menghapus tag dari metode pembayaran.
`payments:ListPaymentInstruments`	Izinkan atau tolak izin pengguna IAM untuk mencantumkan metode pembayaran terdaftar mereka.
`payments:UpdatePaymentInstrument`	Izinkan atau tolak izin pengguna IAM untuk memperbarui metode pembayaran mereka.
`pricing:DescribeServices`	Memberikan izin untuk melihat produk AWS layanan dan harga melalui API Layanan Daftar AWS Harga. Untuk memungkinkan pengguna IAM menggunakan API Layanan Daftar AWS Harga, Anda harus mengizinkan`DescribeServices`,`GetAttributeValues`, dan`GetProducts`. Untuk contoh kebijakan, lihat Temukan produk dan harga.
`pricing:GetAttributeValues`	Memberikan izin untuk melihat produk AWS layanan dan harga melalui API Layanan Daftar AWS Harga. Untuk memungkinkan pengguna IAM menggunakan API Layanan Daftar AWS Harga, Anda harus mengizinkan`DescribeServices`,`GetAttributeValues`, dan`GetProducts`. Untuk contoh kebijakan, lihat Temukan produk dan harga.
`pricing:GetProducts`	Memberikan izin untuk melihat produk AWS layanan dan harga melalui API Layanan Daftar AWS Harga. Untuk memungkinkan pengguna IAM menggunakan API Layanan Daftar AWS Harga, Anda harus mengizinkan`DescribeServices`,`GetAttributeValues`, dan`GetProducts`. Untuk contoh kebijakan, lihat Temukan produk dan harga.
`purchase-orders:ViewPurchaseOrders`	Memberikan izin untuk melihat Pesanan Pembelian. Untuk contoh kebijakan, lihat Melihat dan mengelola pesanan pembelian.
`purchase-orders:ModifyPurchaseOrders`	Memberikan izin untuk memodifikasi Pesanan Pembelian. Untuk contoh kebijakan, lihat Melihat dan mengelola pesanan pembelian.
`tax:GetExemptions`	Memberikan izin untuk akses hanya-baca untuk melihat pengecualian dan jenis pembebasan berdasarkan konsol pajak. Untuk contoh kebijakan, lihat Izinkan pengguna IAM untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
`tax:UpdateExemptions`	Memberikan izin untuk mengunggah pengecualian ke konsol pembebasan pajak AS. Untuk contoh kebijakan, lihat Izinkan pengguna IAM untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
`support:CreateCase`	Memberikan izin untuk mengajukan kasus dukungan, diperlukan untuk mengunggah pembebasan dari konsol pembebasan pajak. Untuk contoh kebijakan, lihat Izinkan pengguna IAM untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
`support:AddAttachmentsToSet`	Memberikan izin untuk melampirkan dokumen untuk mendukung kasus yang diperlukan untuk mengunggah sertifikat pembebasan ke konsol pembebasan pajak. Untuk contoh kebijakan, lihat Izinkan pengguna IAM untuk melihat pembebasan pajak AS dan membuat kasus AWS Support.
`customer-verification:GetCustomerVerificationEligibility`	(Hanya untuk pelanggan dengan tagihan atau alamat kontak India) Memberikan izin untuk mengambil kelayakan verifikasi pelanggan.
`customer-verification:GetCustomerVerificationDetails`	(Hanya untuk pelanggan dengan tagihan atau alamat kontak India) Memberikan izin untuk mengambil data verifikasi pelanggan.
`customer-verification:CreateCustomerVerificationDetails`	(Hanya untuk pelanggan dengan tagihan atau alamat kontak India) Memberikan izin untuk membuat data verifikasi pelanggan.
`customer-verification:UpdateCustomerVerificationDetails`	(Hanya untuk pelanggan dengan tagihan atau alamat kontak India) Memberikan izin untuk memperbarui data verifikasi pelanggan.
`mapcredit:ListAssociatedPrograms`	Memberikan izin untuk melihat Migration Acceleration Program perjanjian dan dasbor terkait untuk akun pembayar.
`mapcredit:ListQuarterSpend`	Memberikan izin untuk melihat pengeluaran yang Migration Acceleration Program memenuhi syarat untuk akun pembayar.
`mapcredit:ListQuarterCredits`	Memberikan izin untuk melihat Migration Acceleration Program kredit untuk akun pembayar.

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Bagaimana AWS Penagihan bekerja dengan IAM

AWS Contoh kebijakan penagihan