AWS App Runner tidak akan lagi terbuka untuk pelanggan baru mulai 30 April 2026. Jika Anda ingin menggunakan App Runner, daftar sebelum tanggal tersebut. Pelanggan yang sudah ada dapat terus menggunakan layanan ini seperti biasa. Untuk informasi selengkapnya, lihat [perubahan AWS App Runner ketersediaan](https://docs.aws.amazon.com/apprunner/latest/dg/apprunner-availability-change.html).
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Bagaimana App Runner bekerja dengan IAM
Sebelum Anda menggunakan IAM untuk mengelola akses AWS App Runner, Anda harus memahami fitur IAM apa yang tersedia untuk digunakan dengan App Runner. *Untuk mendapatkan tampilan tingkat tinggi tentang cara kerja App Runner dan AWS layanan lainnya dengan IAM, lihat [AWS Layanan yang Bekerja dengan IAM di Panduan Pengguna IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).*
Untuk topik keamanan App Runner lainnya, lihat[Keamanan di App Runner](security.md).
**Topics**
+ [Kebijakan berbasis identitas App Runner](#security_iam_service-with-iam-id-based-policies)
+ [Kebijakan berbasis sumber daya App Runner](#security_iam_service-with-iam-resource-based-policies)
+ [Otorisasi berdasarkan tag App Runner](#security_iam_service-with-iam-tags)
+ [Izin pengguna App Runner](#security_iam_service-with-iam-users)
+ [Peran IAM Pelari Aplikasi](#security_iam_service-with-iam-roles)
## Kebijakan berbasis identitas App Runner
Dengan kebijakan berbasis identitas IAM, Anda dapat menentukan secara spesifik apakah tindakan dan sumber daya diizinkan atau ditolak, serta kondisi yang menjadi dasar dikabulkan atau ditolaknya tindakan tersebut. App Runner mendukung tindakan, sumber daya, dan kunci kondisi tertentu. Untuk mempelajari semua elemen yang Anda gunakan dalam kebijakan JSON, lihat [Referensi Elemen Kebijakan JSON IAM ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) dalam *Panduan Pengguna IAM*.
### Tindakan
Administrator dapat menggunakan kebijakan AWS JSON untuk menentukan siapa yang memiliki akses ke apa. Yaitu, di mana **utama** dapat melakukan **tindakan** pada **sumber daya**, dan dalam **kondisi apa**.
Elemen `Action` dari kebijakan JSON menjelaskan tindakan yang dapat Anda gunakan untuk mengizinkan atau menolak akses dalam sebuah kebijakan. Sertakan tindakan dalam kebijakan untuk memberikan izin untuk melakukan operasi terkait.
Tindakan kebijakan di App Runner menggunakan awalan berikut sebelum tindakan:. `apprunner:` Misalnya, untuk memberikan izin kepada seseorang untuk menjalankan instans Amazon EC2 dengan operasi API `RunInstances` Amazon EC2, Anda menyertakan tindakan `ec2:RunInstances` dalam kebijakan mereka. Pernyataan kebijakan harus memuat elemen `Action` atau `NotAction`. App Runner mendefinisikan serangkaian tindakannya sendiri yang menjelaskan tugas yang dapat Anda lakukan dengan layanan ini.
Untuk menetapkan beberapa tindakan dalam satu pernyataan, pisahkan dengan koma seperti berikut:
```
"Action": [
"apprunner:CreateService",
"apprunner:CreateConnection"
]
```
Anda dapat menentukan beberapa tindakan menggunakan wildcard (\$1). Sebagai contoh, untuk menentukan semua tindakan yang dimulai dengan kata `Describe`, sertakan tindakan berikut:
```
"Action": "apprunner:Describe*"
```
Untuk melihat daftar tindakan Pelari Aplikasi, lihat [Tindakan yang ditentukan oleh AWS App Runner](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsapprunner.html#awsapprunner-actions-as-permissions) dalam Referensi *Otorisasi Layanan*.
### Sumber daya
Administrator dapat menggunakan kebijakan AWS JSON untuk menentukan siapa yang memiliki akses ke apa. Yaitu, di mana **utama** dapat melakukan **tindakan** pada **sumber daya**, dan dalam **kondisi apa**.
Elemen kebijakan JSON `Resource` menentukan objek yang menjadi target penerapan tindakan. Praktik terbaiknya, tentukan sumber daya menggunakan [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Untuk tindakan yang tidak mendukung izin di tingkat sumber daya, gunakan wildcard (\$1) untuk menunjukkan bahwa pernyataan tersebut berlaku untuk semua sumber daya.
```
"Resource": "*"
```
Sumber daya App Runner memiliki struktur ARN berikut:
```
arn:aws:apprunner:region:account-id:resource-type/resource-name[/resource-id]
```
Untuk informasi selengkapnya tentang format ARNs, lihat [Amazon Resource Names (ARNs) dan Ruang Nama AWS Layanan di](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html). *Referensi Umum AWS*
Misalnya, untuk menentukan `my-service` layanan dalam pernyataan Anda, gunakan ARN berikut:
```
"Resource": "arn:aws:apprunner:us-east-1:123456789012:service/my-service"
```
Untuk menentukan semua layanan milik akun tertentu, gunakan wildcard (\$1):
```
"Resource": "arn:aws:apprunner:us-east-1:123456789012:service/*"
```
Beberapa tindakan App Runner, seperti untuk membuat sumber daya, tidak dapat dilakukan pada sumber daya tertentu. Dalam kasus tersebut, Anda harus menggunakan wildcard (\$1).
```
"Resource": "*"
```
Untuk melihat daftar jenis sumber daya App Runner dan jenisnya ARNs, lihat Sumber [daya yang ditentukan oleh AWS App Runner](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsapprunner.html#awsapprunner-resources-for-iam-policies) dalam Referensi *Otorisasi Layanan*. Untuk mempelajari dengan tindakan mana Anda dapat menentukan ARN setiap sumber daya, lihat [Tindakan yang ditentukan oleh AWS App Runner](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsapprunner.html#awsapprunner-actions-as-permissions).
### Kunci syarat
Administrator dapat menggunakan kebijakan AWS JSON untuk menentukan siapa yang memiliki akses ke apa. Yaitu, **principal** dapat melakukan **tindakan** pada suatu **sumber daya**, dan dalam suatu **syarat**.
Elemen `Condition` menentukan ketika pernyataan dieksekusi berdasarkan kriteria yang ditetapkan. Anda dapat membuat ekspresi bersyarat yang menggunakan [operator kondisi](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), misalnya sama dengan atau kurang dari, untuk mencocokkan kondisi dalam kebijakan dengan nilai-nilai yang diminta. Untuk melihat semua kunci kondisi AWS global, lihat [kunci konteks kondisi AWS global](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) di *Panduan Pengguna IAM*.
App Runner mendukung penggunaan beberapa kunci kondisi global. Untuk melihat semua kunci kondisi AWS global, lihat [Kunci Konteks Kondisi AWS Global](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) di *Panduan Pengguna IAM*.
App Runner mendefinisikan satu set kunci kondisi khusus layanan. Selain itu, App Runner mendukung kontrol akses berbasis tag, yang diimplementasikan menggunakan tombol kondisi. Lihat perinciannya di [Otorisasi berdasarkan tag App Runner](#security_iam_service-with-iam-tags).
Untuk melihat daftar kunci kondisi App Runner, lihat [Kunci kondisi untuk AWS App Runner Referensi](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsapprunner.html#awsapprunner-policy-keys) *Otorisasi Layanan*. Untuk mempelajari tindakan dan sumber daya yang dapat Anda gunakan kunci kondisi, lihat [Tindakan yang ditentukan oleh AWS App Runner](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsapprunner.html#awsapprunner-actions-as-permissions).
### Contoh
Untuk melihat contoh kebijakan berbasis identitas App Runner, lihat. [Contoh kebijakan berbasis identitas App Runner](security_iam_id-based-policy-examples.md)
## Kebijakan berbasis sumber daya App Runner
App Runner tidak mendukung kebijakan berbasis sumber daya.
## Otorisasi berdasarkan tag App Runner
Anda dapat melampirkan tag ke resource App Runner atau meneruskan tag dalam permintaan ke App Runner. Untuk mengendalikan akses berdasarkan tanda, berikan informasi tentang tanda di [elemen kondisi](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dari kebijakan menggunakan kunci kondisi `apprunner:ResourceTag/key-name`, `aws:RequestTag/key-name`, atau `aws:TagKeys`. Untuk informasi selengkapnya tentang menandai resource App Runner, lihat. [Mengonfigurasi layanan App Runner](manage-configure.md)
Untuk melihat contoh kebijakan berbasis identitas untuk membatasi akses ke sumber daya berdasarkan tag pada sumber daya tersebut, lihat [Mengontrol akses ke layanan App Runner berdasarkan tag](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-view-widget-tags).
## Izin pengguna App Runner
Untuk menggunakan App Runner, pengguna IAM memerlukan izin untuk tindakan App Runner. Cara umum untuk memberikan izin kepada pengguna adalah dengan melampirkan kebijakan ke pengguna atau grup IAM. Untuk informasi selengkapnya tentang mengelola izin pengguna, lihat [Mengubah izin untuk pengguna IAM di Panduan Pengguna](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html) *IAM*.
App Runner menyediakan dua kebijakan terkelola yang dapat Anda lampirkan ke pengguna.
+ [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAppRunnerReadOnlyAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAppRunnerReadOnlyAccess.html)— Memberikan izin untuk membuat daftar dan melihat detail tentang sumber daya Pelari Aplikasi.
+ [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAppRunnerFullAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAppRunnerFullAccess.html)— Memberikan izin untuk semua tindakan App Runner.
Untuk kontrol izin pengguna yang lebih terperinci, Anda dapat membuat kebijakan khusus dan melampirkannya ke pengguna Anda. Untuk detailnya, lihat [Membuat kebijakan IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) di *Panduan Pengguna IAM*.
Untuk contoh kebijakan pengguna, lihat[Kebijakan pengguna](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-users).
## Peran IAM Pelari Aplikasi
[Peran IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) adalah entitas di dalam Anda Akun AWS yang memiliki izin khusus.
### Peran terkait layanan
[Peran terkait AWS layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) memungkinkan layanan mengakses sumber daya di layanan lain untuk menyelesaikan tindakan atas nama Anda. Peran terkait layanan muncul di akun IAM Anda dan dimiliki oleh layanan tersebut. Administrator IAM dapat melihat tetapi tidak dapat mengedit izin untuk peran terkait layanan.
App Runner mendukung peran terkait layanan. Untuk informasi tentang membuat atau mengelola peran terkait layanan App Runner, lihat. [Menggunakan peran terkait layanan untuk App Runner](security-iam-slr.md)
### Peran layanan
Fitur ini memungkinkan layanan untuk menerima [peran layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) atas nama Anda. Peran ini mengizinkan layanan untuk mengakses sumber daya di layanan lain untuk menyelesaikan tindakan atas nama Anda. Peran layanan muncul di akun IAM Anda dan dimiliki oleh akun tersebut. Ini berarti bahwa pengguna IAM dapat mengubah izin untuk peran ini. Namun, melakukan hal itu dapat merusak fungsionalitas layanan.
App Runner mendukung beberapa peran layanan.
#### Peran akses
Peran akses adalah peran yang digunakan App Runner untuk mengakses gambar di Amazon Elastic Container Registry (Amazon ECR) Registry ECR) di akun Anda. Diperlukan untuk mengakses gambar di Amazon ECR, dan tidak diperlukan dengan Amazon ECR Public.
Sebelum membuat layanan berdasarkan gambar di Amazon ECR, gunakan IAM untuk membuat peran layanan. Gunakan kebijakan terkelola [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAppRunnerServicePolicyForECRAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAppRunnerServicePolicyForECRAccess.html)dalam peran layanan Anda. Anda kemudian dapat meneruskan peran ini ke App Runner saat memanggil [CreateService](https://docs.aws.amazon.com/apprunner/latest/api/API_CreateService.html)API di [AuthenticationConfiguration](https://docs.aws.amazon.com/apprunner/latest/api/API_AuthenticationConfiguration.html)anggota [SourceConfiguration](https://docs.aws.amazon.com/apprunner/latest/api/API_SourceConfiguration.html)parameter, atau saat Anda menggunakan konsol App Runner untuk membuat layanan.
**catatan**
Jika Anda membuat kebijakan kustom sendiri untuk peran akses Anda, pastikan `"Resource": "*"` untuk menentukan `ecr:GetAuthorizationToken` tindakan tersebut. Token dapat digunakan untuk mengakses registri ECR Amazon apa pun yang dapat Anda akses.
Saat membuat peran akses, pastikan untuk menambahkan kebijakan kepercayaan yang menyatakan prinsip layanan App Runner `build.apprunner.amazonaws.com` sebagai entitas tepercaya.
##### Kebijakan kepercayaan untuk peran akses
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "build.apprunner.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
Jika Anda menggunakan konsol App Runner untuk membuat layanan, konsol dapat secara otomatis membuat peran akses untuk Anda dan memilihnya untuk layanan baru. Konsol juga mencantumkan peran lain di akun Anda, dan Anda dapat memilih peran yang berbeda jika Anda mau.
#### Peran instans
Peran instans adalah peran opsional yang digunakan App Runner untuk memberikan izin ke tindakan AWS layanan yang diperlukan instance komputasi layanan Anda. Anda perlu memberikan peran instance ke App Runner jika kode aplikasi Anda memanggil AWS actions (APIs). Sematkan izin yang diperlukan dalam peran instans Anda atau buat kebijakan kustom Anda sendiri dan gunakan dalam peran instance. Kami tidak memiliki cara untuk mengantisipasi panggilan mana yang digunakan kode Anda. Oleh karena itu, kami tidak menyediakan kebijakan terkelola untuk tujuan ini.
Sebelum membuat layanan App Runner, gunakan IAM untuk membuat peran layanan dengan kebijakan kustom atau tertanam yang diperlukan. Anda kemudian dapat meneruskan peran ini ke App Runner sebagai peran instance saat memanggil [CreateService](https://docs.aws.amazon.com/apprunner/latest/api/API_CreateService.html)API di `InstanceRoleArn` anggota [InstanceConfiguration](https://docs.aws.amazon.com/apprunner/latest/api/API_InstanceConfiguration.html)parameter, atau saat Anda menggunakan konsol App Runner untuk membuat layanan.
Saat membuat peran instance, pastikan untuk menambahkan kebijakan kepercayaan yang menyatakan prinsip layanan App Runner `tasks.apprunner.amazonaws.com` sebagai entitas tepercaya.
##### Kebijakan kepercayaan untuk peran contoh
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "tasks.apprunner.aws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
Jika Anda menggunakan konsol App Runner untuk membuat layanan, konsol akan mencantumkan peran di akun Anda, dan Anda dapat memilih peran yang Anda buat untuk tujuan ini.
Untuk informasi tentang membuat layanan, lihat[Membuat layanan App Runner](manage-create.md).