Come AWS Application Discovery Service funziona con IAM

Prima di utilizzare IAM per gestire l'accesso a Application Discovery Service, è necessario comprendere quali IAM funzionalità sono disponibili per l'uso con Application Discovery Service. Per una panoramica generale del funzionamento di Application Discovery Service e di altri AWS serviziIAM, consulta AWS Services That Work with IAM nella IAMUser Guide.

Politiche basate sull'identità di Application Discovery Service

Con le policy IAM basate sull'identità, è possibile specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. Application Discovery Service supporta azioni, risorse e chiavi di condizione specifiche. Per informazioni su tutti gli elementi utilizzati in una JSON policy, consulta IAMJSONPolicy Elements Reference nella Guida per l'IAMutente.

Azioni

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'Actionelemento di una JSON policy descrive le azioni che è possibile utilizzare per consentire o negare l'accesso a una policy. Le azioni politiche in genere hanno lo stesso nome dell' AWS APIoperazione associata. Esistono alcune eccezioni, come le azioni basate solo sulle autorizzazioni che non hanno un'operazione corrispondente. API Esistono anche alcune operazioni che richiedono più operazioni in una policy. Queste operazioni aggiuntive sono denominate operazioni dipendenti.

Includi le operazioni in una policy per concedere le autorizzazioni a eseguire l'operazione associata.

Le azioni politiche in Application Discovery Service utilizzano il seguente prefisso prima dell'azione:discovery:. Le istruzioni della policy devono includere un elemento Action o NotAction. Application Discovery Service definisce il proprio set di azioni che descrivono le attività che è possibile eseguire con questo servizio.

Per specificare più azioni in una sola istruzione, separa ciascuna di esse con una virgola come mostrato di seguito:

"Action": [
      "discovery:action1",
      "discovery:action2"

È possibile specificare più azioni tramite caratteri jolly (*). Ad esempio, per specificare tutte le azioni che iniziano con la parola Describe, includi la seguente azione:

"Action": "discovery:Describe*"

Per visualizzare un elenco delle azioni di Application Discovery Service, vedere Actions Defined by AWS Application Discovery Service nella Guida per l'IAMutente.

Risorse

Application Discovery Service non supporta la specificazione di risorse ARNs in una policy. Per separare l'accesso, crea e usa un accesso separato Account AWS.

Chiavi di condizione

Application Discovery Service non fornisce chiavi di condizione specifiche del servizio, ma supporta l'utilizzo di alcune chiavi di condizione globali. Per visualizzare tutte le chiavi di condizione AWS globali, consulta AWS Global Condition Context Keys nella Guida per l'IAMutente.

Esempi

Per visualizzare esempi di policy basate sull'identità di Application Discovery Service, vedere. AWS Application Discovery Service esempi di politiche basate sull'identità

Politiche basate sulle risorse di Application Discovery Service

Application Discovery Service non supporta policy basate sulle risorse.

Autorizzazione basata sui tag di Application Discovery Service

Application Discovery Service non supporta l'etichettatura delle risorse o il controllo dell'accesso in base ai tag.

IAMRuoli di Application Discovery Service

Un IAMruolo è un'entità all'interno AWS dell'account che dispone di autorizzazioni specifiche.

Utilizzo di credenziali temporanee con Application Discovery Service

Application Discovery Service non supporta l'utilizzo di credenziali temporanee.

Ruoli collegati ai servizi

I ruoli collegati ai AWS servizi consentono ai servizi di accedere alle risorse di altri servizi per completare un'azione per conto dell'utente. I ruoli collegati ai servizi vengono visualizzati nell'IAMaccount e sono di proprietà del servizio. Un IAM amministratore può visualizzare ma non modificare le autorizzazioni per i ruoli collegati al servizio.

Application Discovery Service supporta i ruoli collegati ai servizi. Per informazioni dettagliate sulla creazione o la gestione dei ruoli collegati ai servizi di Application Discovery Service, vedere. Utilizzo di ruoli collegati ai servizi per Application Discovery Service

Ruoli dei servizi

Questa caratteristica consente a un servizio di assumere un ruolo di servizio per conto dell'utente. Questo ruolo consente al servizio di accedere alle risorse in altri servizi per completare un'azione per conto dell'utente. I ruoli di servizio vengono visualizzati nell'IAMaccount e sono di proprietà dell'account. Ciò significa che un IAM amministratore può modificare le autorizzazioni per questo ruolo. Tuttavia, il farlo potrebbe pregiudicare la funzionalità del servizio.

Application Discovery Service supporta i ruoli di servizio.