Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identity-based esempi di policy per AWS Glue DataBrew

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell’autorizzazione per creare o modificare risorse DataBrew . Inoltre, non possono eseguire attività utilizzando le Console di gestione AWSAWS CLI, o AWS API. Un amministratore deve creare le policy IAM che concedono a utenti e ruoli l'autorizzazione per eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. L’amministratore devi quindi collegare queste policy a utenti o gruppi che richiedono tali autorizzazioni.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy nella scheda JSON nella Guida per l’utente IAM.

Best practice delle policy

Identity-based le politiche determinano se qualcuno può creare, accedere o eliminare DataBrew risorse nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l’Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l’utente di IAM.

Utilizzo della console DataBrew

Per accedere alla AWS Glue DataBrew console, è necessario disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle DataBrew risorse del tuo AWS account. Se crei una politica basata sull'identità che è più restrittiva delle autorizzazioni minime richieste, la console non funziona come previsto per gli utenti o i ruoli con quella politica.

Per garantire che utenti e ruoli possano utilizzare la DataBrew console, allega anche la seguente politica AWS gestita alle entità. Per ulteriori informazioni, consulta Aggiunta di autorizzazioni a un utente nella Guida per l’utente IAM.

AWSDataBrewConsoleAccess

Non è necessario consentire autorizzazioni minime per la console per gli utenti che effettuano chiamate solo verso AWS CLI o l' DataBrew API. Al contrario, è possibile accedere solo alle operazioni che soddisfano l’operazione API che stai cercando di eseguire.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice.AWS CLIAWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Gestione delle DataBrew risorse in base ai tag

È possibile utilizzare le condizioni della politica basata sull'identità per gestire DataBrew le risorse in base ai tag, ad esempio per eliminare, aggiornare o descrivere le risorse. L'esempio seguente mostra una politica che nega l'eliminazione di un progetto. Tuttavia, l'eliminazione viene negata solo se il tag del progetto Owner ha il valore di admin. Questo criterio concede anche le autorizzazioni necessarie per negare questa azione sulla console.

JSON

{
   "Version":"2012-10-17",
   "Statement": [
      {
         "Sid": "DeleteResourceInConsole",
         "Effect": "Allow",
         "Action": "databrew:DeleteProject",
         "Resource": "*"
       },
       {
         "Sid": "DenyDeleteProjectIfAdminTag",
         "Effect": "Deny",
         "Action": "databrew:DeleteProject",
         "Resource": "arn:aws:databrew:*:*:project/*",
         "Condition": {
            "StringEquals": {"aws:ResourceTag/Owner": "admin"}
         }
      }
   ]
}

È possibile collegare questa policy agli utenti nell'account. Se un utente di nome richard-roe tenta di eliminare un DataBrew progetto, la risorsa non deve essere contrassegnata con owner=admin o owner=admin. In caso contrario, all'utente viene negata l'autorizzazione a eliminare il progetto. La chiave del tag di condizione Owner corrisponde sia a Owner che a owner perché i nomi delle chiavi di condizione non fanno distinzione tra maiuscole e minuscole. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l'utente di IAM.