使用政策管理 Amazon Q 開發人員的存取 - Amazon Q Developer

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

使用政策管理 Amazon Q 開發人員的存取

注意

此頁面上的資訊與存取 Amazon Q 開發人員有關。如需管理 Amazon Q 商務版存取權的相關資訊,請參閱 Amazon Q 商務使用者指南中的 Amazon Q 商務基於身分識別的政策範例

本主題中的政策和範例特定於 AWS Management Console, AWS Console Mobile Application, AWS 網站, AWS Documentation, AWS Chatbot,並在IDEs。與 Amazon Q 整合的其他服務可能需要不同的政策或設定。如需詳細資訊,請參閱包含 Amazon Q 功能或整合的服務文件。

依預設,使用者和角色沒有使用 Amazon Q 的權限。管理IAM員可以透過授予IAM身分許可來管理 Amazon Q 開發人員及其功能的存取。

管理員授予使用者存取權的最快方法是透過 AWS 受管理的策略。此AmazonQFullAccess政策可附加至IAM身分,以授與 Amazon Q 開發人員及其功能的完整存取權。如需此政策的詳細資訊,請參閱 AWS Amazon Q 開發人員適用的受管政策

若要管理IAM身分可與 Amazon Q Developer 一起執行的特定動作,管理員可以建立自訂政策來定義使用者、群組或角色擁有的許可。您也可以使用服務控制政策 (SCPs) 來控制組織中可用的 Amazon Q 功能。

如需您可以使用政策控制的所有 Amazon Q 許可清單,請參閱Amazon Q 開發人員許可參考

政策最佳實務

以身分識別為基礎的政策決定某人是否可以在您的帳戶中建立、存取或刪除 Amazon Q 開發人員資源。這些動作可能會為您帶來成本 AWS 帳戶。 建立或編輯以身分識別為基礎的原則時,請遵循下列準則和建議:

  • 開始使用 AWS 受管原則並朝著最低權限權限移轉 — 若要開始授與使用者和工作負載的權限,請使用 AWS 授與許多常見使用案例權限的受管理策略。他們是可用的 AWS 帳戶。 我們建議您透過定義來進一步減少使用權限 AWS 針對您的使用案例特定的客戶管理政策。如需詳細資訊,請參閱 AWS 受管理的策略AWS 《使用者指南》中針對工作職能的IAM管理策略

  • 套用最低權限權限 — 當您使用原則設定權限時,IAM只授與執行工作所需的權限。為實現此目的,您可以定義在特定條件下可以對特定資源採取的動作,這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊,請參閱《使用指南》IAM中的IAM《策略與權限

  • 使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件,以限制對動作和資源的存取。例如,您可以撰寫政策條件,以指定必須使用傳送所有要求SSL。如果服務動作是透過特定使用條件,您也可以使用條件來授與對服務動作的存取權 AWS 服務,例如, AWS CloudFormation。 如需詳細資訊,請參閱《IAM使用指南》中的IAMJSON策略元素:條件

  • 使用 IAM Access Analyzer 驗證您的原IAM則,以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則,以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可行的建議,協助您撰寫安全且功能正常的原則。如需詳細資訊,請參閱IAM使IAM用指南中的存取分析器原則驗證

  • 需要多因素驗證 (MFA) — 如果您有需要使IAM用者或 root 使用者的案例 AWS 帳戶,請開啟MFA以獲得額外的安全性。若要在呼叫API作業MFA時需要,請在原則中新增MFA條件。如需詳細資訊,請參閱《IAM使用指南》中的 < 設定MFA受保護的API存取 >。

如需中最佳作法的詳細資訊IAM,請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

指派許可

若要提供存取權,請新增權限至您的使用者、群組或角色:

  • 中的使用者和群組 AWS IAM Identity Center:

    建立權限合集。遵循中建立權限集中的指示 AWS IAM Identity Center 使用者指南

  • IAM透過身分識別提供者管理的使用者:

    建立聯合身分的角色。請遵循《使用指南》中的〈為第三方身分識別提供IAM者 (同盟) 建立角色〉中的指示進行。

  • IAM使用者:

    • 建立您的使用者可擔任的角色。請按照《用戶南》中的「為IAM用戶創建角色」中的IAM說明進行操作。

    • (不建議) 將政策直接附加至使用者,或將使用者新增至使用者群組。請遵循《使用指南》中的「向使用者 (主控台) 新增權限」IAM 中的示進行。

使用服務控制政策管理存取 (SCPs)

服務控制原則 (SCPs) 是一種組織原則,可用來管理組織中的權限。您可以透過建立指定部分或所有 Amazon Q 動作的許可來控制組織中可用的 Amazon Q 開發人員功能。SCP

如需有關使用SCPs來控制組織中存取的詳細資訊,請參閱建立、更新和刪除服務控制原則附加和卸離服務控制原則 AWS Organizations 使用者指南

以下是拒絕存取 Amazon 問題SCP的範例。此政策限制存取 Amazon Q chat、主控台錯誤疑難排解和網路疑難排解。

注意

拒絕訪問 Amazon Q 將不會禁用 Amazon Q 圖標或聊天面板 AWS 控制台, AWS 網站, AWS 文件頁面,或 AWS Console Mobile Application.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyAmazonQFullAccess", "Effect": "Deny", "Action": [ "q:*" ], "Resource": "*" } ] }

Amazon Q 資源的資料周長

對於某些功能,Amazon Q 會將成品上傳到 AWS 服務擁有的 Amazon S3 存儲桶。如果您使用資料周長控制環境中對 Amazon S3 的存取,則可能需要明確允許存取這些儲存貯體,才能使用對應的 Amazon Q 功能。

下表列出 Amazon Q 需要存取URL之每個 Amazon S3 儲存貯體的和,以及使用每個儲存貯體的功能。ARN您可以使用儲存貯體ARN或儲存貯體URL允許列出這些儲存貯體,具體取決於您控制 Amazon S3 存取的方式。

Amazon S3 桶 ARN Amazon S3 桶 URL 描述
arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b
https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

用於上傳成品以進行 Amazon Q 程式碼掃描的 Amazon S3 儲存貯體

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0
https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

用於上傳成品的 Amazon S3 儲存貯體 Amazon Q Developer Agent for code transformation

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6
https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/

用於上傳成品的 Amazon S3 儲存貯體 Amazon Q Developer Agent for software development