Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Gestione delle identità e degli accessi per AWS Compute Optimizer
Puoi utilizzare AWS Identity and Access Management (IAM) per creare identità (utenti, gruppi o ruoli) e concedere a tali identità le autorizzazioni per accedere alla console e alle AWS Compute Optimizer API.
Per impostazione predefinita, gli utenti IAM non hanno accesso alla console e alle API di Compute Optimizer. Consenti agli utenti l'accesso allegando le policy IAM a un singolo utente, a un gruppo di utenti o a un ruolo. Per ulteriori informazioni, consulta [ Identità (utenti, gruppi e ruoli) ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html) e [ Panoramica delle politiche IAM nella IAM User Guide. ](https://docs.aws.amazon.com/IAM/latest/UserGuide/PoliciesOverview.html)
Dopo aver creato utenti IAM, puoi fornire loro una password. Quindi, possono accedere al tuo account e visualizzare le informazioni di Compute Optimizer utilizzando una pagina di accesso specifica per l'account. Per ulteriori informazioni, consulta [Modalità di accesso degli utenti al tuo account](https://docs.aws.amazon.com/IAM/latest/UserGuide/getting-started_how-users-sign-in.html).
**Importante**
Per visualizzare i consigli per le istanze EC2, un utente IAM richiede l'autorizzazione. `ec2:DescribeInstances`
Per visualizzare i consigli per i volumi EBS, un utente IAM richiede l'autorizzazione. `ec2:DescribeVolumes`
Per visualizzare i consigli per i gruppi EC2 Auto Scaling, un utente IAM richiede le `autoscaling:DescribeAutoScalingGroups` autorizzazioni and. `autoscaling:DescribeAutoScalingInstances`
Per visualizzare i consigli per le funzioni Lambda, un utente IAM richiede le autorizzazioni and. `lambda:ListFunctions` `lambda:ListProvisionedConcurrencyConfigs`
Per visualizzare i consigli per i servizi Amazon ECS su Fargate, un utente IAM richiede le autorizzazioni and. `ecs:ListServices` `ecs:ListClusters`
Per visualizzare i dati CloudWatch delle metriche correnti nella console Compute Optimizer, un utente IAM richiede l'autorizzazione. `cloudwatch:GetMetricData`
Per visualizzare le raccomandazioni, sono necessari le licenze software commerciali, determinati ruoli delle istanze Amazon EC2 e le autorizzazioni utente IAM. Per ulteriori informazioni, consultare [Politiche per abilitare le raccomandazioni relative alle licenze software commerciali](#license-access).
Per visualizzare i consigli per Amazon RDS, un utente IAM richiede le autorizzazioni and. `rds:DescribeDBInstances` `rds:DescribeDBClusters`
Se l'utente o il gruppo a cui desideri concedere le autorizzazioni dispone già di una policy, puoi aggiungere una delle dichiarazioni politiche specifiche di Compute Optimizer illustrate qui a tale policy.
**Topics**
+ [Accesso affidabile per AWS Organizations](#trusted-service-access)
+ [Esempi di policy per Compute Optimizer](#CO-policy-examples)
+ [Esempi di policy per l'automazione](#COA-policy-example)
+ [Risorse aggiuntive](#iam-resources)
## Accesso affidabile per AWS Organizations
Quando si sceglie di utilizzare l'account di gestione dell'organizzazione e si includono tutti gli account membri all'interno dell'organizzazione, l'accesso affidabile per Compute Optimizer viene abilitato automaticamente nell'account dell'organizzazione. Ciò consente a Compute Optimizer di analizzare le risorse di calcolo negli account dei membri e generare consigli in merito.
Ogni volta che accedi ai consigli per gli account dei membri, Compute Optimizer verifica che l'accesso affidabile sia abilitato nell'account dell'organizzazione. Se disabiliti l'accesso affidabile di Compute Optimizer dopo aver effettuato l'attivazione, Compute Optimizer nega l'accesso ai consigli per gli account membri della tua organizzazione. Inoltre, gli account dei membri all'interno dell'organizzazione non sono abilitati a Compute Optimizer. Per riattivare l'accesso affidabile, attivate nuovamente Compute Optimizer utilizzando l'account di gestione della vostra organizzazione e includete tutti gli account dei membri all'interno dell'organizzazione. Per ulteriori informazioni, consulta [Attivazione di AWS Compute Optimizer](account-opt-in.md). Per ulteriori informazioni sull'accesso AWS Organizations affidabile, consulta [ Utilizzo AWS Organizations con altri AWS servizi ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_integrate_services.html) nella Guida per l'*AWS Organizations utente. *
## Esempi di policy per Compute Optimizer
**Topics**
+ [Politica di adesione a Compute Optimizer](#opting-in-access)
+ [Politiche per concedere l'accesso a Compute Optimizer in modalità standalone Account AWS](#standalone-account-access)
+ [Politiche per concedere l'accesso a Compute Optimizer per un account di gestione di un'organizzazione](#organization-account-access)
+ [Criteri per concedere l'accesso per gestire le preferenze relative ai consigli di Compute Optimizer](#enhanced-infrastructure-metrics-permissions)
+ [Politiche per abilitare le raccomandazioni relative alle licenze software commerciali](#license-access)
+ [Politica per negare l'accesso a Compute Optimizer](#deny-access)
### Politica di adesione a Compute Optimizer
Questa dichiarazione politica garantisce quanto segue:
+ Accesso per aderire a Compute Optimizer.
+ Accesso per creare un ruolo collegato al servizio per Compute Optimizer. Per ulteriori informazioni, consulta [Utilizzo di ruoli collegati ai servizi per AWS Compute Optimizer](using-service-linked-roles.md).
+ Accesso per aggiornare lo stato di registrazione al servizio Compute Optimizer.
**Importante**
È necessario aderire a questo ruolo IAM. AWS Compute Optimizer
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer*",
"Condition": {"StringLike": {"iam:AWSServiceName": "compute-optimizer.amazonaws.com"}}
},
{
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer"
},
{
"Effect": "Allow",
"Action": "compute-optimizer:UpdateEnrollmentStatus",
"Resource": "*"
}
]
}
```
------
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws-cn:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer*",
"Condition": {"StringLike": {"iam:AWSServiceName": "compute-optimizer.amazonaws.com"}}
},
{
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws-cn:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer"
},
{
"Effect": "Allow",
"Action": "compute-optimizer:UpdateEnrollmentStatus",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "organizations:DescribeOrganization",
"Resource": "*"
}
]
}
```
------
### Politiche per concedere l'accesso a Compute Optimizer in modalità standalone Account AWS
La seguente dichiarazione politica garantisce l'accesso completo a Compute Optimizer per la versione standalone. Account AWS
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:*",
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"ecs:ListServices",
"ecs:ListClusters",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeAutoScalingInstances",
"lambda:ListFunctions",
"lambda:ListProvisionedConcurrencyConfigs",
"cloudwatch:GetMetricData"
],
"Resource": "*"
}
]
}
```
------
La seguente dichiarazione politica garantisce l'accesso in sola lettura a Compute Optimizer in modalità standalone. Account AWS
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:GetEnrollmentStatus",
"compute-optimizer:GetEffectiveRecommendationPreferences",
"compute-optimizer:GetRecommendationPreferences",
"compute-optimizer:GetRecommendationSummaries",
"compute-optimizer:GetEC2InstanceRecommendations",
"compute-optimizer:GetEC2RecommendationProjectedMetrics",
"compute-optimizer:GetAutoScalingGroupRecommendations",
"compute-optimizer:GetEBSVolumeRecommendations",
"compute-optimizer:GetLambdaFunctionRecommendations",
"compute-optimizer:DescribeRecommendationExportJobs",
"compute-optimizer:GetEffectiveRecommendationPreferences",
"compute-optimizer:GetRecommendationPreferences",
"compute-optimizer:GetECSServiceRecommendations",
"compute-optimizer:GetECSServiceRecommendationProjectedMetrics",
"compute-optimizer:GetRDSDatabaseRecommendations",
"compute-optimizer:GetRDSDatabaseRecommendationProjectedMetrics",
"compute-optimizer:GetIdleRecommendations",
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"ecs:ListServices",
"ecs:ListClusters",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeAutoScalingInstances",
"lambda:ListFunctions",
"lambda:ListProvisionedConcurrencyConfigs",
"cloudwatch:GetMetricData",
"rds:DescribeDBInstances",
"rds:DescribeDBClusters"
],
"Resource": "*"
}
]
}
```
------
### Politiche per concedere l'accesso a Compute Optimizer per un account di gestione di un'organizzazione
La seguente dichiarazione politica garantisce l'accesso completo a Compute Optimizer per un account di gestione dell'organizzazione.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:*",
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"ecs:ListServices",
"ecs:ListClusters",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeAutoScalingInstances",
"lambda:ListFunctions",
"lambda:ListProvisionedConcurrencyConfigs",
"cloudwatch:GetMetricData",
"organizations:ListAccounts",
"organizations:DescribeOrganization",
"organizations:DescribeAccount",
"organizations:EnableAWSServiceAccess",
"organizations:ListDelegatedAdministrators",
"organizations:RegisterDelegatedAdministrator",
"organizations:DeregisterDelegatedAdministrator"
],
"Resource": "*"
}
]
}
```
------
La seguente dichiarazione politica garantisce l'accesso in sola lettura a Compute Optimizer per un account di gestione di un'organizzazione.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:GetEnrollmentStatus",
"compute-optimizer:GetEnrollmentStatusesForOrganization",
"compute-optimizer:GetRecommendationSummaries",
"compute-optimizer:GetEC2InstanceRecommendations",
"compute-optimizer:GetEC2RecommendationProjectedMetrics",
"compute-optimizer:GetAutoScalingGroupRecommendations",
"compute-optimizer:GetEBSVolumeRecommendations",
"compute-optimizer:GetLambdaFunctionRecommendations",
"compute-optimizer:GetEffectiveRecommendationPreferences",
"compute-optimizer:GetRecommendationPreferences",
"compute-optimizer:GetECSServiceRecommendations",
"compute-optimizer:GetECSServiceRecommendationProjectedMetrics",
"compute-optimizer:GetRDSDatabaseRecommendations",
"compute-optimizer:GetRDSDatabaseRecommendationProjectedMetrics",
"compute-optimizer:GetIdleRecommendations",
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"ecs:ListServices",
"ecs:ListClusters",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeAutoScalingInstances",
"lambda:ListFunctions",
"lambda:ListProvisionedConcurrencyConfigs",
"cloudwatch:GetMetricData",
"organizations:ListAccounts",
"organizations:DescribeOrganization",
"organizations:DescribeAccount",
"organizations:ListDelegatedAdministrators",
"rds:DescribeDBInstances",
"rds:DescribeDBClusters"
],
"Resource": "*"
}
]
}
```
------
### Criteri per concedere l'accesso per gestire le preferenze relative ai consigli di Compute Optimizer
Le seguenti dichiarazioni politiche consentono l'accesso alla visualizzazione e alla modifica delle preferenze relative ai consigli.
**Concedi l'accesso per gestire le preferenze relative ai consigli solo per le istanze EC2 **
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:DeleteRecommendationPreferences",
"compute-optimizer:GetEffectiveRecommendationPreferences",
"compute-optimizer:GetRecommendationPreferences",
"compute-optimizer:PutRecommendationPreferences"
],
"Resource": "*",
"Condition" : {
"StringEquals" : {
"compute-optimizer:ResourceType" : "Ec2Instance"
}
}
}
]
}
```
------
**Concedi l'accesso per gestire le preferenze relative ai consigli solo per i gruppi EC2 Auto Scaling **
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:DeleteRecommendationPreferences",
"compute-optimizer:GetEffectiveRecommendationPreferences",
"compute-optimizer:GetRecommendationPreferences",
"compute-optimizer:PutRecommendationPreferences"
],
"Resource": "*",
"Condition" : {
"StringEquals" : {
"compute-optimizer:ResourceType" : "AutoScalingGroup"
}
}
}
]
}
```
------
**Concedi l'accesso per gestire le preferenze relative ai consigli solo per le istanze RDS **
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"compute-optimizer:DeleteRecommendationPreferences",
"compute-optimizer:GetEffectiveRecommendationPreferences",
"compute-optimizer:GetRecommendationPreferences",
"compute-optimizer:PutRecommendationPreferences"
],
"Resource": "*",
"Condition" : {
"StringEquals" : {
"compute-optimizer:ResourceType" : "RdsDBInstance"
}
}
}
]
}
```
------
### Politiche per abilitare le raccomandazioni relative alle licenze software commerciali
Affinché Compute Optimizer generi consigli sulle licenze, allega i seguenti ruoli e policy delle istanze Amazon EC2.
+ Il `AmazonSSMManagedInstanceCore` ruolo per abilitare Systems Manager. Per ulteriori informazioni, vedere [AWS Systems Manager gli esempi di policy basate sull'identità ](https://docs.aws.amazon.com/systems-manager/latest/userguide/security_iam_id-based-policy-examples) nella Guida per l'*AWS Systems Manager utente. *
+ La `CloudWatchAgentServerPolicy` policy per abilitare il rilascio delle metriche e dei log delle istanze. CloudWatch Per ulteriori informazioni, consulta [ Creazione di ruoli e utenti IAM da utilizzare con l' CloudWatch agente ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/create-iam-roles-for-cloudwatch-agent) nella * Amazon CloudWatch User Guide*.
+ La seguente dichiarazione sulla politica in linea IAM per leggere la stringa di connessione segreta di Microsoft SQL Server memorizzata. AWS Systems Manager Per ulteriori informazioni sulle politiche in linea, consulta le politiche [ gestite e le politiche inline ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline) nella Guida per l'*AWS Identity and Access Management utente. *
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"secretsmanager:GetSecretValue*"
],
"Resource": "arn:aws:secretsmanager:*:*:secret:ApplicationInsights-*"
}
]
}
```
------
Inoltre, per abilitare e ricevere consigli sulle licenze, allega la seguente politica IAM al tuo utente, gruppo o ruolo. Per ulteriori informazioni, consulta la policy [ IAM ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/appinsights-iam) nella * Amazon CloudWatch User Guide*.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"applicationinsights:*",
"iam:CreateServiceLinkedRole",
"iam:ListRoles",
"resource-groups:ListGroups"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
### Politica per negare l'accesso a Compute Optimizer
La seguente dichiarazione politica nega l'accesso a Compute Optimizer.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "compute-optimizer:*",
"Resource": "*"
}
]
}
```
------
## Esempi di policy per l'automazione
**Topics**
+ [Politica per abilitare l'automazione per il tuo account](#policy-automation-enable)
+ [Politica per abilitare l'automazione in tutta l'organizzazione](#automation-enable-org)
+ [Politica per concedere l'accesso completo a Compute Optimizer Automation in modalità standalone AWS account](#automation-account-full)
+ [Politica per concedere l'accesso in sola lettura a Compute Optimizer Automation per la versione standalone AWS account](#automation-account-read)
+ [Politica per concedere l'accesso completo a Compute Optimizer Automation per un account di gestione di un'organizzazione](#automation-account-mgmt)
+ [Politica per concedere l'accesso in sola lettura a Compute Optimizer Automation per un account di gestione di un'organizzazione](#automation-account-mgmt-readonly)
### Politica per abilitare l'automazione per il tuo account
La seguente dichiarazione informativa abilita l'automazione per il tuo account.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation",
"Condition": {"StringLike": {"iam:AWSServiceName": "aco-automation.amazonaws.com"}}
},
{
"Effect": "Allow",
"Action": [
"iam:PutRolePolicy",
"iam:AttachRolePolicy"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation"
},
{
"Effect": "Allow",
"Action": "aco-automation:UpdateEnrollmentConfiguration",
"Resource": "*"
}
]
}
```
### Politica per abilitare l'automazione in tutta l'organizzazione
La seguente dichiarazione politica consente l'automazione in tutta l'organizzazione.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation",
"Condition": {"StringLike": {"iam:AWSServiceName": "aco-automation.amazonaws.com"}}
},
{
"Effect": "Allow",
"Action": [
"iam:PutRolePolicy",
"iam:AttachRolePolicy"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation"
},
{
"Effect": "Allow",
"Action": "aco-automation:UpdateEnrollmentConfiguration",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "aco-automation:AssociateAccounts",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "aco-automation:DisassociateAccounts",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "aco-automation:ListAccounts",
"Resource": "*"
}
]
}
```
### Politica per concedere l'accesso completo a Compute Optimizer Automation in modalità standalone AWS account
La seguente politica garantisce l'accesso completo a Compute Optimizer Automation per gli account indipendenti. AWS
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aco-automation:*",
"ec2:DescribeVolumes"
],
"Resource": "*"
}
]
}
```
### Politica per concedere l'accesso in sola lettura a Compute Optimizer Automation per la versione standalone AWS account
La seguente policy garantisce l'accesso in sola lettura a Compute Optimizer Automation per account indipendenti. AWS
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aco-automation:GetEnrollmentConfiguration",
"aco-automation:GetAutomationEvent",
"aco-automation:GetAutomationRule",
"aco-automation:ListAutomationEvents",
"aco-automation:ListAutomationEventSteps",
"aco-automation:ListAutomationEventSummaries",
"aco-automation:ListAutomationRules",
"aco-automation:ListAutomationRulePreview",
"aco-automation:ListAutomationRulePreviewSummaries",
"aco-automation:ListRecommendedActions",
"aco-automation:ListRecommendedActionSummaries",
"aco-automation:ListTagsForResource",
"ec2:DescribeVolumes"
],
"Resource": "*"
}
]
}
```
### Politica per concedere l'accesso completo a Compute Optimizer Automation per un account di gestione di un'organizzazione
La seguente politica garantisce l'accesso completo a Compute Optimizer Automation per un account di gestione di un'organizzazione.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aco-automation:*",
"ec2:DescribeVolumes",
"organizations:ListAccounts",
"organizations:DescribeOrganization",
"organizations:DescribeAccount",
"organizations:EnableAWSServiceAccess",
"organizations:ListDelegatedAdministrators",
"organizations:RegisterDelegatedAdministrator",
"organizations:DeregisterDelegatedAdministrator"
],
"Resource": "*"
}
]
}
```
### Politica per concedere l'accesso in sola lettura a Compute Optimizer Automation per un account di gestione di un'organizzazione
La seguente politica garantisce l'accesso in sola lettura a Compute Optimizer Automation per un account di gestione di un'organizzazione.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aco-automation:GetEnrollmentConfiguration",
"aco-automation:GetAutomationEvent",
"aco-automation:GetAutomationRule",
"aco-automation:ListAccounts",
"aco-automation:ListAutomationEvents",
"aco-automation:ListAutomationEventSteps",
"aco-automation:ListAutomationEventSummaries",
"aco-automation:ListAutomationRules",
"aco-automation:ListAutomationRulePreview",
"aco-automation:ListAutomationRulePreviewSummaries",
"aco-automation:ListRecommendedActions",
"aco-automation:ListRecommendedActionSummaries",
"aco-automation:ListTagsForResource",
"ec2:DescribeVolumes"
],
"Resource": "*"
}
]
}
```
## Risorse aggiuntive
+ Risoluzione dei problemi — [Risoluzione dei problemi in Compute Optimizer](troubleshooting-account-opt-in.md)
+ [Attivazione di AWS Compute Optimizer](account-opt-in.md)
+ [AWS politiche gestite per AWS Compute Optimizer](managed-policies.md)
+ [Utilizzo di ruoli collegati ai servizi per AWS Compute Optimizer](using-service-linked-roles.md)
+ [Utilizzo di ruoli collegati ai servizi per l'automazione](using-service-linked-roles-automation.md)