As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Como o Resource Explorer funciona com IAM
Antes de usar IAM para gerenciar o acesso ao Explorador de recursos da AWS, você deve entender quais IAM recursos estão disponíveis para uso com o Resource Explorer. Para obter uma visão de alto nível de como o Resource Explorer e outros Serviços da AWS trabalham comIAM, consulte Serviços da AWS esse trabalho IAM no Guia do IAM usuário.
Tópicos
Como qualquer outro AWS service (Serviço da AWS), o Resource Explorer exige permissões para usar suas operações para interagir com seus recursos. Para pesquisar, os usuários devem ter permissão para recuperar os detalhes de uma visualização e também para pesquisar usando a visualização. Para criar índices ou visualizações, ou para modificá-los ou qualquer outra configuração do Explorador de Recursos, você deve ter permissões adicionais.
Atribua políticas IAM baseadas em identidade que concedam essas permissões aos diretores apropriadosIAM. O Explorador de Recursos fornece várias políticas gerenciadas que predefinem conjuntos comuns de permissões. Você pode atribuí-los aos seus IAM diretores.
Políticas baseadas em identidade do Explorador de Recursos
Com políticas IAM baseadas em identidade, você pode especificar ações permitidas ou negadas em relação a recursos específicos e as condições sob as quais essas ações são permitidas ou negadas. O Explorador de Recursos é compatível com ações, recursos e chaves de condição específicos. Para saber mais sobre todos os elementos que você usa em uma JSON política, consulte a referência IAM JSON de elementos de política no Guia IAM do usuário.
Ações
Os administradores podem usar AWS JSON políticas para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos, e em que condições.
O Action elemento de uma JSON política descreve as ações que você pode usar para permitir ou negar acesso em uma política. As ações de política geralmente têm o mesmo nome da AWS API operação associada. Há algumas exceções, como ações somente com permissão que não têm uma operação correspondente. API Algumas operações também exigem várias ações em uma política. Essas ações adicionais são chamadas de ações dependentes.
Incluem ações em uma política para conceder permissões para executar a operação associada.
As ações de política no Explorador de Recursos usam o prefixo do serviço resource-explorer-2 antes da ação. Por exemplo, para conceder a alguém permissão para pesquisar usando uma exibição, com a Search API operação Resource Explorer, você inclui a resource-explorer-2:Search ação em uma política atribuída a esse principal. As instruções de política devem incluir um elemento Action ou NotAction. O Explorador de Recursos define seu próprio conjunto de ações que descrevem as tarefas que você pode realizar com esse serviço. Eles se alinham às API operações do Resource Explorer.
Para especificar várias ações em uma única declaração, separe-as com vírgulas, conforme exibido no exemplo a seguir.
"Action": [ "resource-explorer-2:action1", "resource-explorer-2:action2" ]
É possível especificar várias ações usando caracteres curinga (*). Por exemplo, para especificar todas as ações que começam com a palavra Describe, inclua a ação a seguir:
"Action": "resource-explorer-2:Describe*"
Para ver uma lista das ações do Explorador de Recursos, consulte Ações definidas pelo Explorador de recursos da AWS na Referência de autorização do serviço da AWS .
Recursos
Os administradores podem usar AWS JSON políticas para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos, e em que condições.
O elemento Resource JSON de política especifica o objeto ou objetos aos quais a ação se aplica. As instruções devem incluir um elemento Resource ou NotResource. Como prática recomendada, especifique um recurso usando seu Amazon Resource Name (ARN). Isso pode ser feito para ações que oferecem compatibilidade com um tipo de recurso específico, conhecido como permissões em nível de recurso.
Para ações que não oferecem compatibilidade com permissões em nível de recurso, como operações de listagem, use um curinga (*) para indicar que a instrução se aplica a todos os recursos.
"Resource": "*"
Visão
O principal tipo de recurso do Explorador de Recursos é a visualização.
O recurso de visualização do Resource Explorer tem o seguinte ARN formato.
arn:${Partition}:resource-explorer-2:${Region}:${Account}:view/${ViewName}/${unique-id}
O ARN formato do Resource Explorer é mostrado no exemplo a seguir.
arn:aws:resource-explorer-2:us-east-1:123456789012:view/My-Search-View/1a2b3c4d-5d6e-7f8a-9b0c-abcd11111111
nota
O ARN for a view inclui um identificador exclusivo no final para garantir que cada visualização seja exclusiva. Isso ajuda a garantir que uma IAM política que concedeu acesso a uma exibição antiga excluída não possa ser usada para conceder acesso acidentalmente a uma nova exibição que por acaso tenha o mesmo nome da exibição antiga. Cada nova visualização recebe uma ID nova e exclusiva no final para garantir que nunca ARNs sejam reutilizadas.
Para obter mais informações sobre o formato deARNs, consulte Amazon Resource Names (ARNs).
Você usa políticas IAM baseadas em identidade atribuídas aos IAM diretores e especifica a exibição como a. Resource Isso permite que você conceda acesso de pesquisa a um conjunto de entidades principais usando uma visualização e acesso a um conjunto diferente de entidades principais usando uma visualização completamente diferente.
Por exemplo, para conceder permissão a uma única visualização nomeada ProductionResourcesView em uma declaração de IAM política, primeiro obtenha o nome do recurso Amazon (ARN) da visualização. Você pode usar a página VisualizaçõesListViews operação para recuperar a visualização completa ARN desejada. Em seguida, você o inclui em uma instrução de política, como a mostrada no exemplo a seguir, que concede permissão para modificar a definição de apenas uma visualização.
"Effect": "Allow", "Action": "UpdateView", "Resource": "arn:aws:resource-explorer-2:us-east-1:123456789012:view/ProductionResourcesView/<unique-id>"
Para permitir as ações em todas as visualizações que pertencem a uma conta específica, use o caractere curinga (*) na parte relevante doARN. O exemplo a seguir concede permissão de pesquisa a todas as visualizações em uma Região da AWS e uma conta especificadas.
"Effect": "Allow", "Action": "Search", "Resource": "arn:aws:resource-explorer-2:us-east-1:123456789012:view/*"
Algumas ações do Explorador de Recursos, como CreateView, não são executadas em um recurso específico porque, como no exemplo a seguir, o recurso ainda não existe. Nesses casos, você deve usar o caractere curinga (*) para todo o recursoARN.
"Effect": "Allow", "Action": "resource-explorer-2:CreateView" "Resource": "*"
Se você especificar um caminho que termine com um caractere curinga, poderá restringir a operação CreateView à criação de visualizações apenas com o caminho aprovado. O exemplo de política a seguir mostra como permitir que a entidade principal só crie visualizações no caminho view/ProductionViews/.
"Effect": "Allow", "Action": "resource-explorer-2:CreateView" "Resource": "arn:aws:resource-explorer-2:us-east-1:123456789012:view/ProductionViews/*""
Índice
Outro tipo de recurso que você pode usar para controlar o acesso à funcionalidade do Explorador de Recursos é o índice.
A maneira principal de interagir com o índice é ativar o Explorador de Recursos em uma Região da AWS criando um índice nessa região. Depois disso, você faz quase todo o resto interagindo com a visualização.
Uma das utilidades do índice é permitir que você controle quem pode criar visualizações em cada região.
nota
Depois de criar uma exibição, IAM autoriza todas as outras ações ARN de exibição somente em relação à exibição e não ao índice.
O índice tem um ARNque você pode referenciar em uma política de permissão. Um índice do Resource Explorer ARN tem o seguinte formato.
arn:${Partition}:resource-explorer-2:${Region}:${Account}:index/${unique-id}
Veja o exemplo a seguir de um índice do Resource ExplorerARN.
arn:aws:resource-explorer-2:us-east-1:123456789012:index/1a2b3c4d-5d6e-7f8a-9b0c-abcd22222222
Algumas ações do Explorador de Recursos verificam a autenticação em relação a vários tipos de recursos. Por exemplo, a CreateViewoperação autoriza tanto o ARN índice quanto a exibição, como ocorrerá após a criação ARN do Resource Explorer. Para conceder permissão aos administradores para gerenciar o serviço Explorador de Recursos, você pode usar "Resource": "*" para autorizar ações para qualquer recurso, índice ou visualização.
Como alternativa, você pode restringir uma entidade principal a só poder trabalhar com determinados recursos do Explorador de Recursos. Por exemplo, para limitar as ações somente aos recursos do Resource Explorer em uma região especificada, você pode incluir um ARN modelo que corresponda ao índice e à exibição, mas que destaque somente uma única região. No exemplo a seguir, o ARN corresponde aos índices ou às visualizações somente na us-west-2 região da conta especificada. Especifique a Região no terceiro campo doARN, mas use um caractere curinga (*) no campo final para corresponder a qualquer tipo de recurso.
"Resource": "arn:aws:resource-explorer-2:us-west-2:123456789012:*
Para obter mais informações, consulte Ações definidas pelo Explorador de recursos da AWS na Referência de autorização do serviço da AWS . Para saber com quais ações você pode especificar cada recurso, consulte Ações definidas por Explorador de recursos da AWS. ARN
Chaves de condição
O Explorador de Recursos não fornece nenhuma chave de condição específica do serviço, mas é compatível com o uso de algumas chaves de condição globais. Para ver todas as chaves de condição AWS globais, consulte as chaves de contexto de condição AWS global no Guia IAM do usuário.
Os administradores podem usar AWS JSON políticas para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos, e em que condições.
O elemento Condition (ou bloco Condition) permite que você especifique condições nas quais uma instrução estiver em vigor. O elemento Condition é opcional. É possível criar expressões condicionais que usem agentes de condição, como “igual a” ou “menor que”, para fazer a condição da política corresponder aos valores na solicitação.
Se você especificar vários elementos Condition em uma instrução ou várias chaves em um único Condition elemento, a AWS os avaliará usando uma operação lógica AND. Se você especificar vários valores para uma única chave de condição, AWS avalia a condição usando uma OR operação lógica. Todas as condições devem ser atendidas antes que as permissões da instrução sejam concedidas.
Você também pode usar variáveis de espaço reservado ao especificar condições. Por exemplo, você pode conceder permissão a um IAM usuário para acessar um recurso somente se ele estiver marcado com o nome de IAM usuário. Para obter mais informações, consulte elementos de IAM política: variáveis e tags no Guia IAM do usuário.
AWS suporta chaves de condição globais e chaves de condição específicas do serviço. Para ver todas as chaves de condição AWS globais, consulte as chaves de contexto de condição AWS global no Guia IAM do usuário.
Para ver uma lista de chaves de condição do CloudTrail, consulte Chaves de condição do Explorador de recursos da AWS na Referência de autorização do serviço da AWS . Para saber com quais ações e recursos é possível usar uma chave de condição, consulte Ações definidas pelo Explorador de recursos da AWS.
Exemplos
Para ver exemplos das políticas baseadas em identidade do Explorador de Recursos, consulte Exemplos de políticas baseadas em identidade do Explorador de recursos da AWS.
Autorização baseada em tags do Explorador de Recursos
Você pode anexar tags aos recursos do Explorador de Recursos ou passar as tags em uma solicitação do Explorador de Recursos. Para controlar o acesso baseado em tags, forneça informações sobre as tags no elemento de condição de uma política usando as resource-explorer-2:ResourceTag/, key-nameaws:RequestTag/ ou chaves de condição key-nameaws:TagKeys. Para obter mais informações sobre o uso de tags em recursos do Explorador de Recursos, consulte Adicionar tags a visualizações. Para usar a autorização baseada em tags no Explorador de Recursos, consulte Usar autorização baseada em tags para controlar o acesso às visualizações.
IAMFunções do Resource Explo
Uma IAMfunção é uma principal dentro da sua Conta da AWS que tem permissões específicas.
Usar credenciais temporárias com o Explorador de Recursos
Você pode usar credenciais temporárias para entrar com a federação, assumir uma IAM função ou assumir uma função entre contas. Você obtém credenciais de segurança temporárias chamando API operações AWS Security Token Service (AWS STS) como AssumeRoleou GetFederationToken.
O Explorador de Recursos é compatível com o uso de credenciais temporárias.
Funções vinculadas a serviço
As funções vinculadas ao serviço permitem Serviços da AWS acessar recursos em outros serviços para concluir uma ação em seu nome. As funções vinculadas ao serviço aparecem em sua IAM conta e são de propriedade do serviço. Um IAM administrador pode visualizar, mas não editar, as permissões para funções vinculadas ao serviço.
O Explorador de Recursos usa perfis vinculados ao serviço para realizar seu trabalho. Para obter detalhes sobre perfis vinculadas ao serviço, consulte Usar perfis vinculados ao serviço para o Explorador de Recursos.
