本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Amazon Q 開發人員如何使用 IAM
在您用IAM來管理 Amazon Q 開發人員的存取權限之前，請先了解 Amazon Q 開發人員可以使用哪些IAM功能。
要獲得如何 Amazon Q 和其他的高層次視圖 AWS 服務 使用大多數IAM功能，請參閱 AWS 服務 在《IAM使用者指南》IAM中使用。
Amazon Q 身分型政策
支援身分型政策：是
以身分識別為基礎的原則是您可以附加至身分識別 (例如使用者、使用IAM者群組或角色) 的JSON權限原則文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。若要瞭解如何建立以身分識別為基礎的策略，請參閱IAM使用指南中的建立IAM策略。
使用以IAM身分識別為基礎的策略，您可以指定允許或拒絕的動作和資源，以及允許或拒絕動作的條件。您無法在身分型政策中指定主體，因為這會套用至連接的使用者或角色。若要瞭解可在JSON策略中使用的所有元素，請參閱《使用IAM者指南》中的IAMJSON策略元素參考資料。
Amazon Q 的身分型政策範例
若要檢視 Amazon Q 開發人員身分型政策的範例，請參閱。Amazon Q 開發人員適用的身分識別政策範例
Amazon Q 中的資源型政策
支援資源型政策：否
以資源為基礎的JSON策略是您附加至資源的政策文件。以資源為基礎的政策範例包括IAM角色信任政策和 Amazon S3 儲存貯體政策。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中指定主體。主參與者可以包括帳戶、使用者、角色、同盟使用者或 AWS 服務.
若要啟用跨帳戶存取，您可以在以資源為基礎的策略中指定一個或多個帳戶中的一個或多個帳戶中的IAM實體作為主體。新增跨帳戶主體至資源型政策，只是建立信任關係的一半。當主參與者與資源不同時 AWS 帳戶，受信任帳戶中的IAM管理員也必須授與主參與者實體 (使用者或角色) 存取資源的權限。其透過將身分型政策連接到實體來授與許可。不過，如果資源型政策會為相同帳戶中的主體授予存取，這時就不需要額外的身分型政策。如需詳細資訊，請參閱《IAM使用指南》IAM中的〈跨帳號資源存取〉。
Amazon Q 的政策動作
支援政策動作：是
管理員可以使用 AWS JSON策略，用於指定誰可以存取什麼內容。也就是說，哪個主體在什麼條件下可以對什麼資源執行哪些動作。
JSON策略Action元素描述了您可以用來允許或拒絕策略中存取的動作。策略動作通常與關聯的名稱相同 AWS API操作。有一些例外情況，例如沒有匹配API操作的僅限權限的操作。也有一些作業需要政策中的多個動作。這些額外的動作稱為相依動作。
政策會使用動作來授予執行相關聯動作的許可。
若要查看 Amazon Q 動作的清單，請參閱 使用政策管理 Amazon Q 開發人員的存取。
Amazon Q 中的政策動作會在動作之前使用下列前綴：
q
若要在單一陳述式中指定多個動作，請以逗號分隔動作。
"Action": [ "q:action1", "q:action2" ]
您也可以使用萬用字元 (*) 來指定多個動作。例如，若要指定開頭是 Get 文字的所有動作，請包含以下動作：
"Action": "q:Get*"
若要檢視 Amazon Q 開發人員身分型政策的範例，請參閱。Amazon Q 開發人員適用的身分識別政策範例
Amazon Q 的政策資源
支援政策資源：否
管理員可以使用 AWS JSON策略，用於指定誰可以存取什麼內容。也就是說，哪個主體在什麼條件下可以對什麼資源執行哪些動作。
ResourceJSON原則元素會指定要套用動作的一個或多個物件。陳述式必須包含 Resource 或 NotResource 元素。最佳做法是使用其 Amazon 資源名稱 (ARN) 指定資源。您可以針對支援特定資源類型的動作 (稱為資源層級許可) 來這麼做。
對於不支援資源層級許可的動作 (例如列出操作)，請使用萬用字元 (*) 來表示陳述式適用於所有資源。
"Resource": "*"
若要檢視 Amazon Q 開發人員身分型政策的範例，請參閱。Amazon Q 開發人員適用的身分識別政策範例
Amazon Q 的政策條件金鑰
支援服務特定政策條件金鑰：否
管理員可以使用 AWS JSON策略，用於指定誰可以存取什麼內容。也就是說，哪個主體在什麼條件下可以對什麼資源執行哪些動作。
Condition 元素 (或 Condition 區塊) 可讓您指定使陳述式生效的條件。Condition 元素是選用項目。您可以建立使用條件運算子的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。
如果您在一個語句中指定多個Condition元素，或在單個Condition元素中指定多個鍵， AWS 使用邏輯AND運算來評估它們。如果您為單個條件鍵指定多個值， AWS 使用邏輯OR運算來評估條件。必須符合所有條件，才會授與陳述式的許可。
您也可以在指定條件時使用預留位置變數。例如，只有在IAM使用者名稱標記資源時，您才可以授與IAM使用者存取資源的權限。如需詳細資訊，請參閱《IAM使用指南》中的IAM政策元素：變數和標籤。
AWS 支援全域條件金鑰和服務特定條件金鑰。若要查看全部 AWS 全域條件索引鍵，請參閱 AWS《IAM使用指南》中的整體條件前後關聯鍵字。
若要檢視 Amazon Q 開發人員身分型政策的範例，請參閱。Amazon Q 開發人員適用的身分識別政策範例
ACLs在 Amazon Q
支持ACLs：無
存取控制清單 (ACLs) 控制哪些主參與者 (帳戶成員、使用者或角色) 具有存取資源的權限。ACLs類似於以資源為基礎的策略，雖然它們不使用JSON政策文件格式。
ABAC與 Amazon Q
支援 ABAC (策略中的標籤): 否
以屬性為基礎的存取控制 (ABAC) 是一種授權策略，可根據屬性定義權限。In (入) AWS，這些屬性稱為標籤。您可以將標籤附加到IAM實體 (使用者或角色) 以及許多實體 AWS 的費用。標記實體和資源是的第一步ABAC。然後，您可以設計ABAC策略，以便在主參與者的標籤符合他們嘗試存取的資源上的標籤時允許作業。
ABAC在快速成長的環境中很有幫助，並且有助於原則管理變得繁瑣的情況。
如需根據標籤控制存取，請使用 aws:ResourceTag/、key-nameaws:RequestTag/ 或 key-nameaws:TagKeys 條件索引鍵，在政策的條件元素中，提供標籤資訊。
如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 Yes。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 Partial。
如需有關的詳細資訊ABAC，請參閱什麼是ABAC？ 在《IAM使用者指南》中。若要檢視包含設定步驟的自學課程ABAC，請參閱《使用指南》中的〈使用以屬性為基礎的存取控制 (ABAC) IAM 〉。
搭配 Amazon Q 使用臨時憑證
支援臨時憑證：是
一些 AWS 服務 使用臨時憑據登錄時不起作用。有關其他信息，包括 AWS 服務 使用臨時登入資料，請參閱 AWS 服務 在《IAM使用者指南》IAM中使用。
您正在使用臨時登入資料 (如果您登入 AWS Management Console 使用除了使用者名稱和密碼之外的任何方法。例如，當您訪問 AWS 使用貴公司的單一登入 (SSO) 連結，該程序會自動建立臨時登入資料。當您以使用者身分登入主控台，然後切換角色時，也會自動建立臨時憑證。如需有關切換角色的詳細資訊，請參閱《IAM使用者指南》中的〈切換到角色 (主控台)〉。
您可以使用 AWS CLI 或 AWS API。然後，您可以使用這些臨時登入資料來存取 AWS. AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱IAM。
Amazon Q 的跨服務主體許可
支援轉寄存取工作階段 (FAS)：是
當您使用使用IAM者或角色執行動作 AWS，您被視為校長。使用某些服務時，您可能會執行某個動作，進而在不同服務中啟動另一個動作。FAS使用主體呼叫 AWS 服務，與請求相結合 AWS 服務 向下游服務提出請求。FAS只有當服務收到需要與其他人互動的請求時才會發出請求 AWS 服務 或要完成的資源。在此情況下，您必須具有執行這兩個動作的許可。有關提出FAS請求時的策略詳細信息，請參閱轉發訪問會話。
Amazon Q 的服務角色
支援服務角色：否
服務角色是服務假定代表您執行動作的IAM角色。IAM管理員可以從中建立、修改和刪除服務角色IAM。如需詳細資訊，請參閱建立角色以委派權限給 AWS 服務 (在 IAM 使用者指南中)
警告
變更服務角色的許可可能會中斷 Amazon Q 功能。只有在 Amazon Q 提供指引時，才能編輯服務角色。
Amazon Q 的服務連結角色
支援服務連結角色：是
服務連結角色是一種服務角色類型，連結至 AWS 服務。 服務可以扮演角色代表您執行動作。服務連結角色會出現在 AWS 帳戶 並由服務擁有。IAM管理員可以檢視 (但無法編輯服務連結角色) 的權限。
如需建立或管理 Amazon Q 服務連結角色的詳細資訊，請參閱針對 Amazon Q 開發人員和使用者訂閱使用服務連結角色。
