Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Scegliere un AWS servizio di identità
Fare il primo passo
|
È ora di leggere |
10 minuti |
|
Scopo |
Aiutaci a determinare quale servizio di AWS identità è più adatto alla tua organizzazione. |
|
Ultimo aggiornamento |
15 agosto 2025 |
Introduzione
La gestione delle identità e degli accessi aiuta a garantire che solo gli utenti autenticati e autorizzati possano accedere solo alle risorse cloud di cui hanno bisogno per svolgere le proprie attività e che possano farlo in modo sicuro e conforme.
Come mostrato nel diagramma precedente, l'identità è l'identificazione univoca di un'entità, l'autenticazione è il processo di verifica dell'identità e l'autorizzazione è il processo di determinazione di ciò che l'entità autenticata è autorizzata a fare.
AWS offre diversi servizi che ti aiutano a gestire l'accesso alle tue risorse su. AWS Questi sono i seguenti:
Sebbene esistano somiglianze tra alcuni servizi di identità, questi servizi affrontano scenari diversi. Questa guida decisionale ti aiuta a iniziare e a scegliere il servizio di AWS identità giusto per il tuo caso d'uso.
Comprendi AWS identity and access management
Comprendere le basi di IAM può aiutarti a soddisfare le tue esigenze.
I principali, tra cui utenti umani, carichi di lavoro, utenti federati e ruoli assunti, accedono ai AWS servizi utilizzando le API. Tutti gli ambienti di AWS elaborazione forniscono credenziali che le applicazioni utilizzano per firmare le chiamate API e richiedere l'accesso ai servizi. AWS Le richieste API sono autenticate e autorizzate da un sistema di identità (come i ruoli IAM), azioni (politiche IAM) e risorse definite in IAM. Ogni AWS cliente le configura per utilizzare le API. AWS I ruoli IAM sono identità con autorizzazioni temporanee e condizionali per eseguire azioni con ambito sulle risorse. AWS Le policy IAM definiscono le azioni che i ruoli IAM possono eseguire su risorse specifiche. AWS
Creando con cura le policy IAM, puoi assicurarti che le autorizzazioni disponibili per un ruolo IAM consentano l'accesso solo alle risorse necessarie per svolgere un'attività: un concetto noto come privilegio minimo.
Il video precedente è tratto da una sessione di re:InForce 2024 di Lucas Wagner, senior application science manager presso, e Sean, principale scienziato applicato presso. AWS McLaughlin AWS Forniscono una rapida panoramica dell' AWS autorizzazione e di come AWS Identity and Access Management funziona, in un estratto di circa quattro minuti (08:35-12:30).
Considera i criteri per la scelta di un AWS servizio di identità
La scelta AWS dei servizi giusti dipende dalle tue esigenze e dalle seguenti considerazioni:
-
Chi richiede l'accesso: tu e la tua forza lavoro, una macchina e i tuoi carichi di lavoro o le applicazioni che crei.
-
A cosa vogliono accedere: AWS account, AWS applicazioni e servizi e i dati in essi contenuti o dati nelle applicazioni create da te.
-
Da dove vogliono accedervi: dall'interno AWS, dal tuo ambiente locale, da un altro ambiente cloud o dai AWS IoT dispositivi.
Scegli quale AWS servizi di identità da utilizzare
La tabella seguente ti aiuta a trovare AWS i servizi consigliati per i tuoi casi d'uso. Per ottenere risultati ottimali, considera i servizi e le funzionalità aggiuntivi consigliati per il tuo obiettivo.
| Sono un... | Voglio... | AWS servizio di identità | Servizi e funzionalità aggiuntivi da prendere in considerazione |
|---|---|---|---|
|
Cloud/Identity amministratore |
Semplifica al mio team la concessione e il controllo dell'accesso ad AWS applicazioni, come Amazon Q e Amazon SageMaker AI. |
Propagazione affidabile delle identità in IAM Identity Center |
|
|
Cloud/Identity amministratore |
Facilita ai proprietari dei dati della mia organizzazione la concessione dell'accesso ai dati per utente o gruppo di lavoro. |
Propagazione affidabile delle identità in IAM Identity Center |
|
|
Cloud/Identity amministratore O Developer |
Configura l'accesso della forza lavoro agli AWS account e alle risorse in essi contenuti, come i bucket Amazon S3. |
||
|
Cloud/Identity amministratore |
Esegui carichi di lavoro dipendenti da Active Directory in AWS. |
AWS Directory Service for Microsoft Active Directory, noto anche come AWS Managed Microsoft AD |
|
|
Cloud/Identity amministratore |
Unisci i miei AWS carichi di lavoro ai miei servizi di dominio Microsoft Active Directory locali. |
AWS Directory Service for Microsoft Active Directory, noto anche come AWS Managed Microsoft AD |
|
|
Cloud/Identity amministratore |
Configura l'accesso dei miei carichi di lavoro alle AWS risorse. |
||
|
Cloud/Identity amministratore |
Stabilisci un perimetro di dati per far rispettare i requisiti di sicurezza della mia organizzazione. |
I guardrail delle autorizzazioni IAM utilizzano i perimetri dei dati |
|
|
Cloud/Identity amministratore |
Verifica quali ruoli e utenti IAM all'interno della mia organizzazione hanno accesso alle AWS risorse critiche. |
||
|
Cloud/Identity amministratore |
Analizza e perfeziona le autorizzazioni per ottenere il privilegio minimo. |
||
|
Cloud/Identity amministratore |
Concedi ai carichi di lavoro locali l'accesso a. AWS |
(richiede PKI, la capacità di emettere e gestire certificati) |
|
|
Cloud/Identity amministratore |
Concedi a un dispositivo IoT l'accesso a AWS. |
||
|
Developer |
Concedi l'accesso al codice in qualsiasi ambiente esterno al AWS cloud a. AWS |
||
|
Developer |
Esegui l'autenticazione e l'autorizzazione da servizio a servizio nella mia applicazione in esecuzione esclusivamente in. AWS |
Amazon API Gateway con autenticazione AWS Signature Version 4 |
|
|
Developer |
Eseguo l'autenticazione e l'autorizzazione da servizio a servizio nella mia applicazione con componenti in vari ambienti cloud. |
Autorizzazioni verificate da Amazon | |
|
Developer |
Consenti ai tuoi clienti di accedere alla tua applicazione AI e di gestire le identità degli agenti AI. |
Amazon Bedrock AgentCore |
|
|
Developer |
Crea e gestisci software per dispositivi IoT su. AWS |
||
|
Developer |
Crea un meccanismo di autenticazione nella mia applicazione. |
||
|
Developer |
Crea un meccanismo di autorizzazione in un'applicazione. |
Utilizzo AWS servizi di identità
Per te e la tua forza lavoro
Centro identità IAM
IAM Identity Center ti aiuta a configurare l'esperienza di Single Sign-on dei tuoi dipendenti, dal tuo provider di identità esistente alle AWS applicazioni rivolte agli utenti, come Amazon Q e Amazon SageMaker AI, e a Console di gestione AWS, compresi gli AWS account assegnati ai tuoi dipendenti. Con un'unica connessione del tuo provider di identità, puoi scalare l'uso delle AWS applicazioni in base alle esigenze aziendali e offrire un'esperienza utente continua tra le applicazioni.
Con IAM Identity Center, AWS applicazioni come Amazon Q possono fornire agli utenti esperienze personalizzate, come una dashboard che mostra su cosa stava lavorando un utente quando ha effettuato l'ultimo accesso. I proprietari dei servizi dati, ad esempio un amministratore di Amazon Redshift, possono definire le autorizzazioni e controllare l'accesso ai dati AWS da parte degli utenti nella tua directory. AWS i servizi di dati e analisi sono in grado di riconoscere i dipendenti in base alle loro identità di directory. Per ulteriori informazioni, vedere Accesso alle applicazioni nella Guida per l' Centro identità AWS IAM utente.
Un'istanza organizzativa di IAM Identity Center può aiutarti anche a gestire l'accesso della tua forza lavoro agli AWS account. Ti consente di assegnare le autorizzazioni agli utenti e di fornire le autorizzazioni a più account da una posizione centrale. Per ulteriori informazioni, consulta l'accesso all'AWS account nella Guida per l' Centro identità AWS IAM utente.
Federazione con IAM
Puoi anche utilizzare IAM per federare gli utenti della forza lavoro tramite il tuo provider di identità verso account specifici AWS . Gli utenti assumono ruoli IAM per eseguire azioni con ambito sulle AWS risorse dell'account. Puoi effettuare la federazione con un provider di identità che fornisce informazioni sull'identità utilizzando OpenID Connect (OIDC) o SAML 2.0. Per ulteriori informazioni, consulta Provider di identità e federazione.
Per i tuoi carichi di lavoro
IAM
IAM consente al carico di lavoro di assumere ruoli IAM con credenziali di sicurezza temporanee per utilizzare le AWS API ed eseguire azioni con ambito sulle risorse. AWS Ad esempio, consentono ai carichi di lavoro di eseguire codice su servizi di elaborazione come Amazon EC2 o Lambda. Per ulteriori informazioni, consulta i ruoli IAM nella IAM User Guide.
Sistema di analisi degli accessi IAM
IAM Access Analyzer ti guida verso il privilegio minimo fornendo funzionalità per impostare, verificare e perfezionare le autorizzazioni. Ti aiuta a implementare la tua strategia di gestione degli accessi analizzando gli accessi esterni, interni e non utilizzati e convalidando che le politiche IAM corrispondano agli standard di sicurezza specificati. Usa IAM Access Analyzer per effettuare le seguenti operazioni:
-
Genera politiche con privilegi minimi in base all'attività di accesso
-
Verifica che le tue politiche corrispondano alle best practice IAM e ai tuoi standard di sicurezza
-
Verifica chi può accedere a cosa e rileva gli accessi pubblici e tra più account non intenzionali
-
Verifica l'accesso interno alle risorse critiche identificando quali ruoli e utenti IAM all'interno della tua AWS organizzazione hanno accesso a risorse critiche come bucket Amazon S3, tabelle Amazon DynamoDB e snapshot Amazon RDS.
-
Perfeziona le autorizzazioni identificando gli accessi non utilizzati nelle tue policy IAM https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-concepts.html#access-analyzer-work-with-findings-unused
L'immagine seguente mostra la dashboard di IAM Access Analyzer con i risultati degli accessi esterni e interni.
L'immagine seguente mostra i risultati di accesso non utilizzati nella dashboard di IAM Access Analyzer.
IAM Roles Anywhere
IAM Roles Anywhere estende le funzionalità di IAM ai carichi di lavoro on-premise e sul cloud ibrido. Usalo per ottenere credenziali di sicurezza temporanee e per utilizzare le stesse policy IAM e gli stessi ruoli IAM che usi per i carichi di lavoro. AWS
Servizio di directory AWS
AWS Directory Service for Microsoft Active Directory, noto anche come AWS Managed Microsoft AD, è un servizio Microsoft Active Directory (AD) ad alta disponibilità e completamente gestito. Estende le configurazioni locali di Microsoft AD AWS in modo che i carichi di lavoro locali di Microsoft Windows possano comunicare con le risorse. AWS Utilizzando AWS Managed Microsoft AD, puoi aggiungere AWS risorse del tuo dominio come istanze Amazon EC2, desktop WorkSpaces gestiti Amazon e Amazon RDS per Microsoft SQL Server.
Per le applicazioni che crei
Amazon Cognito
Amazon Cognito aiuta i tuoi sviluppatori a implementare la gestione delle identità e degli accessi dei clienti (CIAM) nelle applicazioni web e mobili che sviluppano. È un servizio scalabile che possono utilizzare nelle tue applicazioni per gestire gli utenti, autenticare e autorizzare il loro accesso. Oltre a CIAM, Amazon Cognito supporta l'autenticazione e l'autorizzazione da servizio a servizio all'interno delle tue applicazioni. È scalabile fino a milioni di utenti su tutti i dispositivi ed elabora più di 100 miliardi di autenticazioni al mese.
Autorizzazioni verificate da Amazon
Verified Permissions è un servizio di autorizzazione completamente gestito, che utilizza il linguaggio di policy Cedar di facile comprensione per autorizzazioni granulari.
L'immagine seguente mostra un esempio dei dettagli della politica delle autorizzazioni di Autorizzazioni verificate e a chi la politica concede l'accesso.
Esplora altri AWS services
Questa sezione suggerisce servizi aggiuntivi da prendere in considerazione.
-
AWS Control Tower
- Consente di configurare un AWS ambiente multi-account ben progettato basato sulle migliori pratiche di sicurezza e conformità e di gestirlo su larga scala. -
AWS Resource Access Manager
- Ti aiuta a condividere le tue risorse tra gli account. AWS -
Amazon VPC Lattice
: consente di connettere, proteggere e monitorare servizi e risorse per la tua applicazione. -
Amazon API Gateway
: consente di creare, pubblicare, mantenere, monitorare e proteggere REST, HTTP e WebSocket API. -
AWS IoT Device Management
- Consente di integrare, organizzare e gestire dispositivi Internet of Things (IoT). -
AWS IoT Greengrass
- Consente di creare, distribuire e gestire il software per dispositivi IoT.
Risorse aggiuntive
Guide per l'utente con indicazioni specifiche per l'implementazione dei servizi di AWS identità:
AWS Post sul blog sulla sicurezza con indicazioni specifiche per i casi d'uso:
-
Come utilizzare le applicazioni AWS gestite con IAM Identity Center (Amazon Q)
-
Personalizza l'ambito dell'analisi degli accessi inutilizzati di IAM Access Analyzer
-
Usa i ruoli IAM per collegare GitHub le azioni alle azioni in AWS
-
Come monitorare, ottimizzare e proteggere l'autorizzazione da macchina a macchina di Amazon Cognito
-
Come supportare le richieste OpenID AuthZen con le autorizzazioni verificate di Amazon
-
Approcci per l'autenticazione di applicazioni esterne in uno scenario da macchina a macchina
-
Serie di post sul blog: Stabilire un perimetro di dati su AWS
