Segurança para a capacidade de análise de custos do Amazon Q Developer

A seguir, é apresentada uma visão geral das permissões e da proteção de dados do recurso de análise de custos do Amazon Q Developer.

Permissões

Todos os dados de custo fornecidos pelo Amazon Q Developer são provenientes do Cost Explorer. O usuário do IAM que acessa os recursos de análise de custos do Amazon Q Developer deve ter permissões para usar o Amazon Q Developer e permissões para recuperar dados de custo e uso do Cost Explorer. A maneira mais rápida de um administrador conceder aos usuários acesso ao Amazon Q Developer é usar a política AmazonQFullAccess gerenciada. Os usuários também precisam ter acesso à permissão ce:GetCostAndUsage.

A seguinte declaração de política do IAM concede aos usuários acesso ao recurso de análise de custos no Amazon Q Developer:

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "EnablesCostAnalysisInAmazonQ",
			"Effect": "Allow",
			"Action": [
				"q:StartConversation",
				"q:SendMessage",
				"q:GetConversation",
				"q:ListConversations",
				"q:PassRequest",
				"ce:GetCostAndUsage",
				"ce:GetCostForecast",
				"ce:GetDimensionValues",
				"ce:GetTags",
				"ce:GetCostCategories"
			],
			"Resource": "*"
		}
	]
}

q:PassRequesté uma permissão do Amazon Q Developer que permite que o Amazon Q Developer ligue AWS APIs em seu nome. Quando você adiciona a q:PassRequest permissão a uma identidade do IAM, o Amazon Q Developer ganha permissão para chamar qualquer API que a identidade do IAM tenha permissão para chamar. Por exemplo, se uma função do IAM tiver a ce:GetCostAndUsage permissão e a q:PassRequest permissão, o Amazon Q Developer poderá chamar a GetCostAndUsage API quando um usuário assumindo essa função do IAM solicitar ao Amazon Q Developer que recupere dados de custo e uso do Cost Explorer.

Você também pode permitir que os diretores do IAM acessem o Cost Explorer e usem o Amazon Q Developer, mas restringi-los de usar o recurso de análise de custos no Amazon Q Developer, usando a chave de condição aws:CalledVia global. A política do IAM a seguir fornece um exemplo do uso dessa chave de condição.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "q:StartConversation",
                "q:SendMessage",
                "q:GetConversation",
                "q:ListConversations",
                "q:PassRequest",
                "ce:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ce:*"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "q.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Para usuários do AWS Organizations, os administradores da conta de gerenciamento podem restringir o acesso dos usuários da conta membro aos dados do Cost Explorer (incluindo acesso a descontos, créditos e reembolsos) usando as preferências de Gerenciamento de Custos no console AWS Billing and Cost Management. Essas preferências se aplicam ao Amazon Q Developer da mesma forma que se aplicam ao console de gerenciamento, ao SDK e à CLI. O Amazon Q Developer respeita as preferências existentes dos clientes.

Proteção de dados

Podemos usar determinados conteúdos do Amazon Q Developer Free Tier para melhorar o serviço. O Amazon Q pode usar esse conteúdo, por exemplo, para fornecer melhores respostas a perguntas comuns, corrigir problemas operacionais do Amazon Q, para depuração ou para treinamento de modelos. O conteúdo que AWS pode ser usado para melhorar o serviço inclui, por exemplo, suas perguntas para o Amazon Q e as respostas e o código que o Amazon Q gera. Não usamos conteúdo do Amazon Q Developer Pro ou do Amazon Q Business para melhorar o serviço.

A forma como você opta por não usar o Amazon Q Developer Free Tier usando conteúdo para melhoria de serviços depende do ambiente em que você usa o Amazon Q. Para o AWS Management Console, o AWS Console Mobile Application, os AWS sites e o AWS Chatbot, configure uma política de exclusão de serviços de IA em Organizations. AWS Para obter mais informações, consulte as políticas de exclusão de serviços de IA no Guia do Usuário do AWS Organizations. No IDE, para o nível gratuito do Amazon Q Developer, ajuste suas configurações no IDE. Para obter mais informações, consulte Optar por não compartilhar dados no IDE no Amazon Q Developer User Guide.