AWS políticas gerenciadas para WorkSpaces

O uso de políticas AWS gerenciadas facilita a adição de permissões a usuários, grupos e funções do que a criação de políticas por conta própria. É preciso tempo e experiência para criar políticas gerenciadas pelo IAM cliente que forneçam à sua equipe somente as permissões necessárias. Use políticas AWS gerenciadas para começar rapidamente. Essas políticas abrangem casos de uso comuns e estão disponíveis em sua AWS conta. Para obter mais informações sobre políticas AWS gerenciadas, consulte políticas AWS gerenciadas no Guia IAM do usuário.

AWS os serviços mantêm e atualizam as políticas AWS gerenciadas. Você não pode alterar as permissões nas políticas AWS gerenciadas. Ocasionalmente, os serviços podem adicionar permissões adicionais a uma política AWS gerenciada para oferecer suporte a novos recursos. Esse tipo de atualização afeta todas as identidades (usuários, grupos e funções) em que a política está anexada. É mais provável que os serviços atualizem uma política AWS gerenciada quando um novo recurso é lançado ou quando novas operações são disponibilizadas. Os serviços não removem as permissões de uma política AWS gerenciada, portanto, as atualizações de políticas não violarão suas permissões existentes.

Além disso, AWS oferece suporte a políticas gerenciadas para funções de trabalho que abrangem vários serviços. Por exemplo, a política ReadOnlyAccess AWS gerenciada fornece acesso somente de leitura a todos os AWS serviços e recursos. Quando um serviço executa um novo recurso, a AWS adiciona permissões somente leitura para novas operações e recursos. Para obter uma lista e descrições das políticas de funções de trabalho, consulte políticas AWS gerenciadas para funções de trabalho no Guia IAM do usuário.

AWS política gerenciada: AmazonWorkSpacesAdmin

Essa política fornece acesso às ações WorkSpaces administrativas da Amazon. Ela fornece as seguintes permissões:

• workspaces- Permite o acesso para realizar ações administrativas em recursos WorkSpaces pessoais e de WorkSpaces grupos.

• kms- Permite o acesso para listar e descrever KMS chaves, bem como listar aliases.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonWorkSpacesAdmin",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:ListAliases",
                "kms:ListKeys",
                "workspaces:CreateTags",
                "workspaces:CreateWorkspaceImage",
                "workspaces:CreateWorkspaces",
                "workspaces:CreateWorkspacesPool",
                "workspaces:CreateStandbyWorkspaces",
                "workspaces:DeleteTags",
                "workspaces:DeregisterWorkspaceDirectory",
                "workspaces:DescribeTags",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:DescribeWorkspacesPools",
                "workspaces:DescribeWorkspacesPoolSessions",
                "workspaces:DescribeWorkspacesConnectionStatus",
                "workspaces:ModifyCertificateBasedAuthProperties",
                "workspaces:ModifySamlProperties",
                "workspaces:ModifyStreamingProperties",
                "workspaces:ModifyWorkspaceCreationProperties",
                "workspaces:ModifyWorkspaceProperties",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces",
                "workspaces:RegisterWorkspaceDirectory",
                "workspaces:RestoreWorkspace",
                "workspaces:StartWorkspaces",
                "workspaces:StartWorkspacesPool",
                "workspaces:StopWorkspaces",
                "workspaces:StopWorkspacesPool",
                "workspaces:TerminateWorkspaces",
                "workspaces:TerminateWorkspacesPool",
                "workspaces:TerminateWorkspacesPoolSession",
                "workspaces:UpdateWorkspacesPool"
            ],
            "Resource": "*"
        }
    ]
}

AWS política gerenciada: AmazonWorkspaces PCAAccess

Essa política gerenciada fornece acesso aos AWS recursos da Autoridade de Certificação Privada (CA Privada) do Certificate Manager em sua AWS conta para autenticação baseada em certificado. Ela está incluída na AmazonWorkSpaces PCAAccess função e fornece as seguintes permissões:

• acm-pca- Permite acesso à CA AWS privada para gerenciar a autenticação baseada em certificados.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "acm-pca:IssueCertificate",
                "acm-pca:GetCertificate",
                "acm-pca:DescribeCertificateAuthority"
            ],
            "Resource": "arn:*:acm-pca:*:*:*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/euc-private-ca": "*"
                }
            }
        }
    ]
}

AWS política gerenciada: AmazonWorkSpacesSelfServiceAccess

Essa política fornece acesso ao WorkSpaces serviço da Amazon para realizar ações de WorkSpaces autoatendimento iniciadas por um usuário. Ela está incluída no perfil workspaces_DefaultRole e fornece as seguintes permissões:

• workspaces- Permite o acesso aos recursos de WorkSpaces gerenciamento de autoatendimento para os usuários.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces",
                "workspaces:ModifyWorkspaceProperties"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS política gerenciada: AmazonWorkSpacesServiceAccess

Esta política fornece acesso à conta do cliente ao WorkSpaces serviço da Amazon para o lançamento de um WorkSpace. Ela está incluída no perfil workspaces_DefaultRole e fornece as seguintes permissões:

• ec2- Permite o acesso para gerenciar EC2 recursos da Amazon associados a um WorkSpace, como interfaces de rede.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:DescribeNetworkInterfaces"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS política gerenciada: AmazonWorkSpacesPoolServiceAccess

Essa política é usada no workspaces_DefaultRole, WorkSpaces usado para acessar os recursos necessários na AWS conta do cliente do Pools. WorkSpaces Para ter mais informações, consulte Crie os espaços de trabalho_ Role DefaultRole . Ela fornece as seguintes permissões:

• ec2- Permite o acesso para gerenciar EC2 recursos da Amazon associados a um WorkSpaces pool, como sub-redesVPCs, zonas de disponibilidade, grupos de segurança e tabelas de rotas.

• s3- Permite o acesso para realizar ações nos buckets do Amazon S3 necessários para registros, configurações de aplicativos e o recurso de pasta inicial.

Commercial Regiões da AWS

A política a seguir JSON se aplica ao comercial Regiões da AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ProvisioningWorkSpacesPoolPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeRouteTables",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "WorkSpacesPoolS3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:DeleteObjectVersion",
                "s3:GetBucketPolicy",
                "s3:PutBucketPolicy",
                "s3:PutEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::wspool-logs-*",
                "arn:aws:s3:::wspool-app-settings-*",
                "arn:aws:s3:::wspool-home-folder-*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

AWS GovCloud (US) Regions

A política a seguir JSON se aplica ao comercial AWS GovCloud (US) Regions.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ProvisioningWorkSpacesPoolPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeRouteTables",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "WorkSpacesPoolS3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:DeleteObjectVersion",
                "s3:GetBucketPolicy",
                "s3:PutBucketPolicy",
                "s3:PutEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws-us-gov:s3:::wspool-logs-*",
                "arn:aws-us-gov:s3:::wspool-app-settings-*",
                "arn:aws-us-gov:s3:::wspool-home-folder-*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

WorkSpaces atualizações nas políticas AWS gerenciadas

Veja detalhes sobre as atualizações das políticas AWS gerenciadas WorkSpaces desde que esse serviço começou a rastrear essas alterações.

Alteração	Descrição	Data
AWS política gerenciada: AmazonWorkSpacesPoolServiceAccess: nova política adicionada	WorkSpaces adicionou uma nova política gerenciada para conceder permissão para visualizar a Amazon EC2 VPCs e os recursos relacionados e para visualizar e gerenciar buckets do Amazon S3 para pools. WorkSpaces	24 de junho de 2024
AWS política gerenciada: AmazonWorkSpacesAdmin: Atualizar política	WorkSpaces adicionou várias ações para WorkSpaces Pools à política WorkSpacesAdmin gerenciada da Amazon, concedendo aos administradores acesso para gerenciar WorkSpace os recursos do Pool.	24 de junho de 2024
AWS política gerenciada: AmazonWorkSpacesAdmin: Atualizar política	WorkSpaces adicionou a workspaces:RestoreWorkspace ação à política WorkSpacesAdmin gerenciada da Amazon, concedendo aos administradores acesso para restaurar. WorkSpaces	25 de junho de 2023
AWS política gerenciada: AmazonWorkspaces PCAAccess: nova política adicionada	WorkSpaces adicionou uma nova política gerenciada para conceder acm-pca permissão para gerenciar a CA AWS privada para gerenciar a autenticação baseada em certificados.	18 de novembro de 2022
WorkSpaces começou a rastrear as alterações	WorkSpaces começou a rastrear as mudanças em suas políticas WorkSpaces gerenciadas.	1º de março de 2021