Gestisci l'accesso ad Amazon Q Developer con policy

Nota

Le informazioni in questa pagina riguardano l'accesso ad Amazon Q Developer. Per informazioni sulla gestione dell'accesso ad Amazon Q Business, consulta gli esempi di policy basate sull'identità per Amazon Q Business nella Amazon Q Business User Guide.

Le politiche e gli esempi in questo argomento sono specifici di Amazon Q nel AWS sito Web AWS Management Console AWS Console Mobile Application AWS Documentation, AWS Chatbot, e inIDEs. Altri servizi integrati con Amazon Q potrebbero richiedere policy o impostazioni diverse. Per ulteriori informazioni, consulta la documentazione del servizio che contiene una funzionalità o un'integrazione di Amazon Q.

Per impostazione predefinita, gli utenti e i ruoli non sono autorizzati a utilizzare Amazon Q. IAM Gli amministratori possono gestire l'accesso ad Amazon Q Developer e alle sue funzionalità concedendo le autorizzazioni alle identità. IAM

Il modo più rapido per un amministratore di concedere l'accesso agli utenti è tramite una policy gestita. AWS La AmazonQFullAccess policy può essere allegata alle IAM identità per garantire l'accesso completo ad Amazon Q Developer e alle sue funzionalità. Per ulteriori informazioni su questa policy, consulta AWS politiche gestite per Amazon Q Developer.

Per gestire azioni specifiche che le IAM identità possono eseguire con Amazon Q Developer, gli amministratori possono creare policy personalizzate che definiscono le autorizzazioni di cui dispone un utente, un gruppo o un ruolo. Puoi anche utilizzare le policy di controllo del servizio (SCPs) per controllare quali funzionalità di Amazon Q sono disponibili nella tua organizzazione.

Per un elenco di tutte le autorizzazioni di Amazon Q che puoi controllare con le policy, consulta laRiferimento alle autorizzazioni di Amazon Q Developer.

Argomenti

• Best practice per le policy
• Assegnazione delle autorizzazioni
• Gestisci l'accesso con le politiche di controllo del servizio () SCPs
• Perimetri di dati per le risorse Amazon Q
• Esempi di policy basate sull'identità per Amazon Q Developer

Best practice per le policy

Le policy basate sull'identità determinano se qualcuno può creare, accedere o eliminare risorse Amazon Q Developer nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

• Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni a utenti e carichi di lavoro, utilizza le politiche gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per ulteriori informazioni, consulta le politiche AWS gestite o le politiche AWS gestite per le funzioni lavorative nella Guida per l'IAMutente.

• Applica le autorizzazioni con privilegi minimi: quando imposti le autorizzazioni con le IAM politiche, concedi solo le autorizzazioni necessarie per eseguire un'attività. Puoi farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegi minimi. Per ulteriori informazioni sull'utilizzo per applicare le autorizzazioni, consulta Politiche e autorizzazioni nella Guida IAM per l'utente. IAM IAM

• Utilizza le condizioni nelle IAM politiche per limitare ulteriormente l'accesso: puoi aggiungere una condizione alle tue politiche per limitare l'accesso ad azioni e risorse. Ad esempio, puoi scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzandoSSL. È inoltre possibile utilizzare condizioni per concedere l'accesso alle azioni di servizio se vengono utilizzate tramite uno specifico AWS servizio, ad esempio AWS CloudFormation. Per ulteriori informazioni, consulta Elementi IAM JSON della politica: Condizione nella Guida IAM per l'utente.

• Usa IAM Access Analyzer per convalidare IAM le tue policy e garantire autorizzazioni sicure e funzionali: IAM Access Analyzer convalida le policy nuove ed esistenti in modo che aderiscano al linguaggio delle IAM policy () e alle best practice. JSON IAM IAMAccess Analyzer fornisce più di 100 controlli delle politiche e consigli pratici per aiutarti a creare policy sicure e funzionali. Per ulteriori informazioni, vedere Convalida delle policy di IAM Access Analyzer nella Guida per l'utente. IAM

• Richiedi l'autenticazione a più fattori (MFA): se hai uno scenario che richiede l'utilizzo di IAM utenti o di un utente root Account AWS, attiva questa opzione MFA per una maggiore sicurezza. Per richiedere MFA quando vengono richiamate API le operazioni, aggiungi MFA delle condizioni alle tue politiche. Per ulteriori informazioni, vedere Configurazione dell'APIaccesso MFA protetto nella Guida per l'IAMutente.

Per ulteriori informazioni sulle procedure consigliate inIAM, consulta la sezione Procedure consigliate in materia di sicurezza IAM nella Guida per l'IAMutente.

Assegnazione delle autorizzazioni

Per fornire l'accesso, aggiungi autorizzazioni ai tuoi utenti, gruppi o ruoli:

• Utenti e gruppi in AWS IAM Identity Center:

  Crea un set di autorizzazioni. Segui le istruzioni riportate nella pagina Create a permission set (Creazione di un set di autorizzazioni) nella Guida per l'utente di AWS IAM Identity Center .

• Utenti gestiti IAM tramite un provider di identità:

  Crea un ruolo per la federazione delle identità. Segui le istruzioni riportate in Creazione di un ruolo per un provider di identità di terze parti (federazione) nella Guida per l'IAMutente.

• IAMutenti:

  • Crea un ruolo che l'utente possa assumere. Segui le istruzioni riportate nella sezione Creazione di un ruolo per un IAM utente nella Guida per l'IAMutente.

  • (Non consigliato) Collega una policy direttamente a un utente o aggiungi un utente a un gruppo di utenti. Segui le istruzioni riportate in Aggiungere autorizzazioni a un utente (console) nella Guida per l'IAMutente.

Gestisci l'accesso con le politiche di controllo del servizio () SCPs

Le politiche di controllo del servizio (SCPs) sono un tipo di politica organizzativa che è possibile utilizzare per gestire le autorizzazioni all'interno dell'organizzazione. Puoi controllare quali funzionalità di Amazon Q Developer sono disponibili nella tua organizzazione creando un account SCP che specifichi le autorizzazioni per alcune o tutte le azioni di Amazon Q.

Per ulteriori informazioni sull'utilizzo SCPs per controllare l'accesso nella tua organizzazione, consulta Creazione, aggiornamento ed eliminazione delle politiche di controllo del servizio e Allegare e scollegare le politiche di controllo del servizio nella Guida per l'utente.AWS Organizations

Di seguito è riportato un esempio di un account SCP che nega l'accesso ad Amazon Q. Questa politica limita l'accesso alla chat di Amazon Q, alla risoluzione degli errori della console e alla risoluzione dei problemi di rete.

Nota

Il rifiuto dell'accesso ad Amazon Q non disattiverà l'icona o il pannello di chat di Amazon Q nella AWS console, nel AWS sito Web, nelle pagine di AWS documentazione o AWS Console Mobile Application.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Perimetri di dati per le risorse Amazon Q

Per alcune funzionalità, Amazon Q carica gli artefatti nei bucket Amazon S3 di AWS proprietà del servizio. Se utilizzi perimetri di dati per controllare l'accesso ad Amazon S3 nel tuo ambiente, potresti dover consentire esplicitamente l'accesso a questi bucket per utilizzare le funzionalità di Amazon Q corrispondenti.

La tabella seguente elenca ARN la fine URL di ogni bucket Amazon S3 a cui Amazon Q richiede l'accesso e le funzionalità che utilizzano ogni bucket. Puoi utilizzare il bucket ARN o il bucket URL per consentire l'elenco di questi bucket, a seconda di come controlli l'accesso ad Amazon S3.

Bucket Amazon S3 ARN	Bucket Amazon S3 URL	Descrizione
arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b	https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/	Un bucket Amazon S3 utilizzato per caricare artefatti per le scansioni del codice Amazon Q
arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0	https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/	Un bucket Amazon S3 utilizzato per caricare artefatti per il Amazon Q Developer Agent for code transformation
arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6	https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/	Un bucket Amazon S3 utilizzato per caricare artefatti per il Amazon Q Developer Agent for software development