Politica basata sull'identità con fatturazione AWS

Per impostazione predefinita, gli utenti e i ruoli non sono autorizzati a creare o modificare risorse di fatturazione. Inoltre, non possono eseguire attività utilizzando AWS Management Console, AWS Command Line Interface (AWS CLI) o l' AWS API. Per concedere agli utenti l'autorizzazione a eseguire operazioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. L'amministratore può quindi aggiungere le policy IAM ai ruoli e gli utenti possono assumere i ruoli.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy IAM nella Guida per l'utente di IAM.

Per informazioni dettagliate sulle azioni e sui tipi di risorse definiti da Billing, incluso il formato degli ARN per ciascun tipo di risorsa, consulta Azioni, risorse e chiavi di condizione per la AWS fatturazione nel Service Authorization Reference.

Indice

• Best practice per le policy
• Utilizzo della console di fatturazione
• Consentire agli utenti di visualizzare le loro autorizzazioni
• Utilizzo di politiche basate sull'identità per la fatturazione
  • AWS Azioni della console di fatturazione

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare le risorse di fatturazione nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

• Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni a utenti e carichi di lavoro, utilizza le politiche gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per ulteriori informazioni, consulta Policy gestite da AWSo Policy gestite da AWS per le funzioni dei processi nella Guida per l'utente IAM.

• Applica le autorizzazioni con privilegio minimo: quando imposti le autorizzazioni con le policy IAM, concedi solo le autorizzazioni richieste per eseguire un'attività. Puoi farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegi minimi. Per ulteriori informazioni sull'utilizzo di IAM per applicare le autorizzazioni, consulta Policy e autorizzazioni in IAM nella Guida per l'utente IAM.

• Condizioni d'uso nelle policy IAM per limitare ulteriormente l'accesso: per limitare l'accesso a operazioni e risorse puoi aggiungere una condizione alle tue policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio AWS CloudFormation. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l'utente IAM.

• Utilizzo di IAM Access Analyzer per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali: IAM Access Analyzer convalida le policy nuove ed esistenti in modo che aderiscano alla sintassi della policy IAM (JSON) e alle best practice di IAM. IAM Access Analyzer offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per ulteriori informazioni, consulta Convalida delle policy per IAM Access Analyzer nella Guida per l'utente IAM.

• Richiedi l'autenticazione a più fattori (MFA): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungi le condizioni MFA alle policy. Per ulteriori informazioni, consulta Configurazione dell'accesso alle API protetto con MFA nella Guida per l'utente IAM.

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.

Utilizzo della console di fatturazione

Per accedere alla console di AWS fatturazione, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse di fatturazione presenti nel tuo. Account AWS Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario consentire autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso AWS CLI o l'API. AWS Al contrario, concedi l'accesso solo alle operazioni che corrispondono all'operazione API che stanno cercando di eseguire.

Puoi trovare i dettagli di accesso, come le autorizzazioni necessarie per abilitare la console di AWS fatturazione, l'accesso come amministratore e l'accesso in sola lettura, nella sezione. AWS politiche gestite

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Utilizzo di politiche basate sull'identità per la fatturazione

Nota

Le seguenti azioni AWS Identity and Access Management (IAM) hanno raggiunto la fine del supporto standard a luglio 2023:

• Spazio dei nomi aws-portal

• purchase-orders:ViewPurchaseOrders

• purchase-orders:ModifyPurchaseOrders

Se utilizzi AWS Organizations, puoi utilizzare gli script Bulk Policy Migrator o Bulk Policy Migrator per aggiornare le politiche dal tuo account di pagamento. Puoi anche utilizzare il riferimento alla mappatura dalle vecchie operazioni alle operazioni granulari per verificare le operazioni IAM da aggiungere.

Se ne hai AWS Organizations creato uno Account AWS o ne fai parte a partire dal 6 marzo 2023 alle 11:00 (PDT), le azioni dettagliate sono già in vigore nella tua organizzazione.

Importante

Oltre alle policy IAM, è necessario concedere a IAM l'accesso alla console di fatturazione e gestione dei costi sulla pagina della console Impostazioni dell'account.

Per ulteriori informazioni, consulta i seguenti argomenti:

• Attivazione dell'accesso alla console di gestione fatturazione e costi

• Tutorial IAM: Concessione dell'accesso alla console di fatturazione nella Guida per utenti IAM

Utilizza questa sezione per scoprire come un amministratore di account con politiche basate sull'identità può allegare politiche di autorizzazione alle identità IAM (ruoli e gruppi) e concedere le autorizzazioni per eseguire operazioni sulle risorse di fatturazione.

Per ulteriori informazioni sugli utenti Account AWS e sugli utenti, consulta Che cos'è IAM? nella Guida per l'utente di IAM.

Per informazioni su come aggiornare le politiche gestite dai clienti, consulta Modifica delle politiche gestite dai clienti (console) nella Guida per l'utente IAM.

AWS Azioni della console di fatturazione

Questa tabella riassume le autorizzazioni che garantiscono l'accesso alle informazioni e agli strumenti della console di fatturazione. Per esempi di policy che utilizzano queste autorizzazioni, consulta AWS Esempi di politiche di fatturazione.

Per un elenco delle politiche di azione per la console AWS Cost Management, consulta AWS Cost Management action policy nella Cost Management User AWS Guide.

Nome autorizzazione	Descrizione
aws-portal:ViewBilling	Concede l'autorizzazione a visualizzare le pagine della console di Billing and Cost Management.
aws-portal:ModifyBilling	Concede l'autorizzazione a modificare le seguenti pagine della console di Billing and Cost Management: Budget Fatturazione consolidata Preferenze di fatturazione Crediti Impostazioni fiscali Metodi di pagamento Ordini di acquisto Tag per l'allocazione dei costi Per permettere agli utenti IAM; di modificare queste pagine della console, devi installare sia ModifyBilling sia ViewBilling. Per un esempio di policy, consulta Permettere agli utenti IAM di modificare le informazioni di fatturazione.
aws-portal:ViewAccount	Concede l'autorizzazione a visualizzare le impostazioni dell'account.
aws-portal:ModifyAccount	Concede l'autorizzazione a modificare le impostazioni dell'account. Per permettere agli utenti IAM; di modificare le impostazioni dell'account, devi installare sia ModifyAccount sia ViewAccount. Per un esempio di policy che rifiuta esplicitamente a un utente IAM l'accesso alla pagina della console, Impostazioni account, consulta Nega l'accesso alle impostazioni dell'account, ma permette l'accesso completo a tutte le altre informazioni di fatturazione e utilizzo.
aws-portal:ViewPaymentMethods	Concede l'autorizzazione a visualizzare i metodi di pagamento.
aws-portal:ModifyPaymentMethods	Concede l'autorizzazione a modificare i metodi di pagamento. Per permettere agli utenti di modificare i metodi di pagamento, devi installare sia ModifyPaymentMethods sia ViewPaymentMethods.
billing:ListBillingViews	Concede l'autorizzazione a ottenere informazioni di fatturazione per i gruppi di fatturazione proforma. Questa operazione viene effettuata utilizzando AWS Billing Conductor nella pagina Fatture o nei report sui costi e sull'utilizzo.AWS Per ulteriori informazioni sulla visualizzazione dei dettagli del gruppo di fatturazione, consulta Visualizzazione dei dettagli del gruppo di fatturazione nella Guida per l'utente di Facilitatore della fatturazione AWS .
sustainability:GetCarbonFootprintSummary	Concede l'autorizzazione a visualizzare lo strumento e i dati sull'impronta di carbonio AWS del cliente. È accessibile dalla pagina AWS Cost and Usage Reports della console Billing and Cost Management. Per un esempio di policy, consulta Permetti agli utenti IAM di visualizzare le informazioni di fatturazione e il report sull'impronta di carbonio.
cur:DescribeReportDefinitions	Concede l'autorizzazione a visualizzare i report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando l'API AWS Cost and Usage Reports Service e la console Billing and Cost Management. Se crei i report tramite la console di Gestione costi e fatturazione, ti consigliamo di aggiornare le autorizzazioni per gli utenti IAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Permetti agli utenti IAM di accedere alla pagina della console Report.
cur:PutReportDefinition	Concede l'autorizzazione a creare report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando l'API AWS Cost and Usage Reports Service e la console Billing and Cost Management. Se crei i report tramite la console di Gestione costi e fatturazione, ti consigliamo di aggiornare le autorizzazioni per gli utenti IAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Permetti agli utenti IAM di accedere alla pagina della console Report.
cur:DeleteReportDefinition	Concede l'autorizzazione a eliminare i report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando l'API AWS Cost and Usage Reports Service e la console Billing and Cost Management. Se crei i report tramite la console di Gestione costi e fatturazione, ti consigliamo di aggiornare le autorizzazioni per gli utenti IAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Creazione, visualizzazione, modifica o eliminazione dei Report di utilizzo e dei costi di AWS.
cur:ModifyReportDefinition	Concede l'autorizzazione a modificare i report AWS sui costi e sull'utilizzo. AWS Le autorizzazioni Cost and Usage Reports si applicano a tutti i report creati utilizzando l'API AWS Cost and Usage Reports Service e la console Billing and Cost Management. Se crei i report tramite la console di Gestione costi e fatturazione, ti consigliamo di aggiornare le autorizzazioni per gli utenti IAM. Se non si aggiornano le autorizzazioni, gli utenti non avranno più accesso a visualizzazione, modifica e rimozione di report nella pagina dei report della console. Per un esempio di policy, consulta Creazione, visualizzazione, modifica o eliminazione dei Report di utilizzo e dei costi di AWS.
ce:CreateCostCategoryDefinition	Concede le autorizzazioni per creare categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
ce:DeleteCostCategoryDefinition	Concede le autorizzazioni per eliminare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
ce:DescribeCostCategoryDefinition	Concede le autorizzazioni per visualizzare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
ce:ListCostCategoryDefinitions	Concede le autorizzazioni per elencare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
ce:UpdateCostCategoryDefinition	Concede le autorizzazioni per aggiornare le categorie di costi. Per un esempio di policy, consulta Visualizza e gestisci le categorie di costo.
aws-portal:ViewUsage	Concede l'autorizzazione a visualizzare i report di utilizzo AWS . Per permettere agli utenti IAM di visualizzare i report di utilizzo, devi permettere sia ViewUsage sia ViewBilling. Per un esempio di policy, consulta Permetti agli utenti IAM di accedere alla pagina della console Report.
payments:ListTagsForResource	Consenti o nega agli utenti IAM l'autorizzazione a visualizzare i tag per un metodo di pagamento.
payments:TagResource	Consenti o nega agli utenti IAM l'autorizzazione ad aggiungere tag per un metodo di pagamento.
payments:UntagResource	Consenti o nega agli utenti IAM l'autorizzazione a rimuovere i tag da un metodo di pagamento.
payments:ListPaymentInstruments	Consenti o nega agli utenti IAM l'autorizzazione a elencare i metodi di pagamento registrati.
payments:UpdatePaymentInstrument	Consenti o nega agli utenti IAM l'autorizzazione ad aggiornare i loro metodi di pagamento.
pricing:DescribeServices	Concede l'autorizzazione a visualizzare i prodotti AWS di servizio e i prezzi tramite l'API AWS Price List Service. Per consentire agli utenti IAM di utilizzare l'API AWS Price List Service, devi consentire DescribeServicesGetAttributeValues, eGetProducts. Per un esempio di policy, consulta Individuazione di prodotti e prezzi.
pricing:GetAttributeValues	Concede l'autorizzazione a visualizzare i prodotti AWS di servizio e i prezzi tramite l'API AWS Price List Service. Per consentire agli utenti IAM di utilizzare l'API AWS Price List Service, devi consentire DescribeServicesGetAttributeValues, eGetProducts. Per un esempio di policy, consulta Individuazione di prodotti e prezzi.
pricing:GetProducts	Concede l'autorizzazione a visualizzare i prodotti AWS di servizio e i prezzi tramite l'API AWS Price List Service. Per consentire agli utenti IAM di utilizzare l'API AWS Price List Service, devi consentire DescribeServicesGetAttributeValues, eGetProducts. Per un esempio di policy, consulta Individuazione di prodotti e prezzi.
purchase-orders:ViewPurchaseOrders	Concede l'autorizzazione a visualizzare gli ordini di acquisto. Per un esempio di policy, consulta Visualizzare e gestire gli ordini di acquisto.
purchase-orders:ModifyPurchaseOrders	Concede l'autorizzazione a modificare gli ordini di acquisto. Per un esempio di policy, consulta Visualizzare e gestire gli ordini di acquisto.
tax:GetExemptions	Concede l'autorizzazione per l'accesso in sola lettura alla visualizzazione delle esenzioni e dei tipi di esenzione tramite la console fiscale. Per un esempio di policy, consulta Consenti agli utenti IAM di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
tax:UpdateExemptions	Concede l'autorizzazione a caricare un'esenzione nella console delle esenzioni fiscali degli Stati Uniti. Per un esempio di policy, consulta Consenti agli utenti IAM di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
support:CreateCase	Concede l'autorizzazione a presentare le richieste di assistenza, necessaria per caricare la console sull'esenzione dalle esenzioni fiscali. Per un esempio di policy, consulta Consenti agli utenti IAM di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
support:AddAttachmentsToSet	Concede l'autorizzazione ad allegare documenti ai casi di supporto necessari per caricare i certificati di esenzione sulla console di esenzione fiscale. Per un esempio di policy, consulta Consenti agli utenti IAM di visualizzare le esenzioni fiscali statunitensi e creare casi AWS Support.
customer-verification:GetCustomerVerificationEligibility	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione a recuperare l'idoneità alla verifica del cliente.
customer-verification:GetCustomerVerificationDetails	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione a recuperare i dati di verifica del cliente.
customer-verification:CreateCustomerVerificationDetails	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione a creare dati di verifica dei clienti.
customer-verification:UpdateCustomerVerificationDetails	(Solo per i clienti con un indirizzo di fatturazione o contatto indiano) Concede l'autorizzazione ad aggiornare i dati di verifica del cliente.
mapcredit:ListAssociatedPrograms	Concede l'autorizzazione a visualizzare Migration Acceleration Program gli accordi e la dashboard associati per l'account del pagatore.
mapcredit:ListQuarterSpend	Concede l'autorizzazione a visualizzare la spesa Migration Acceleration Program idonea per l'account del pagatore.
mapcredit:ListQuarterCredits	Concede l'autorizzazione a visualizzare i Migration Acceleration Program crediti per l'account del pagatore.