本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 中的安全性 AWS Supply Chain 的雲端安全 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為滿足最安全敏感組織的需求而 AWS 建置的。 安全性是您和 之間的共同責任 AWS。[共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)將此描述為**雲端安全性和**雲端安全性： + **雲端的安全性** – AWS 負責保護在 AWS 服務 中執行的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。在 [AWS 合規計劃](https://aws.amazon.com/compliance/programs/)中，第三方稽核員會定期測試並驗證我們的安全功效。若要了解適用的合規計劃 AWS Supply Chain，請參閱[AWS 合規計劃範圍內的服務](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端安全性** – 您使用 AWS 服務 的 決定您的責任。您也必須負責其他因素。 包括資料的敏感度、您的要求，以及適用的法律和法規。 本文件可協助您了解如何在使用 時套用共同責任模型 AWS Supply Chain。下列主題說明如何設定 AWS Supply Chain 以符合您的安全和合規目標。您也會了解如何使用其他 AWS 服務 來協助您監控和保護 AWS Supply Chain 資源。 **Topics** + [中的資料保護 AWS Supply Chain](data-protection.md) + [AWS Supply Chain 使用介面端點 (AWS PrivateLink) 存取](vpc-interface-endpoints.md) + [適用於 的 IAM AWS Supply Chain](security-iam.md) + [AWS 的 受管政策 AWS Supply Chain](security-iam-awsmanpol.md) + [的合規驗證 AWS Supply Chain](compliance-validation.md) + [中的彈性 AWS Supply Chain](disaster-recovery-resiliency.md) + [記錄和監控 AWS Supply Chain](monitoring-overview.md) + [使用 管理 AWS Supply Chain 事件 Amazon EventBridge](eventbridge-integration.md) # 中的資料保護 AWS Supply Chain AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 中的資料保護 AWS Supply Chain。如此模型所述， AWS 負責保護執行所有 的 全球基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 AWS Supply Chain 或使用主控台、API AWS CLI或其他 AWS 服務 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 處理的資料 AWS Supply Chain 為了限制特定 AWS Supply Chain 執行個體的授權使用者可存取的資料，持有於 AWS Supply Chain 內的資料會依 AWS 您的帳戶 ID 和 AWS Supply Chain 執行個體 ID 分隔。 AWS 供應鏈會處理各種供應鏈資料，例如使用者資訊、從資料連接器擷取的資訊，以及庫存詳細資訊。 ## 選擇退出偏好設定 我們可能會使用和存放由 處理的內容 AWS Supply Chain，如 [AWS 服務條款](https://aws.amazon.com/service-terms/)所述。如果您想要選擇退出 AWS Supply Chain 以使用或儲存內容，您可以在 AWS Organizations 中建立選擇退出政策。如需建立選擇退出政策的詳細資訊，請參閱 [AI 服務選擇退出政策語法和範例。 ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out_syntax.html) ## 靜態加密 分類為 PII 的聯絡資料，或代表客戶內容的資料，包括由 AWS Supply Chain 存放之 中 Amazon Q 中使用的內容 AWS Supply Chain，會靜態加密 （即在放入、存放或儲存到磁碟之前），其金鑰有時間限制且特定於 AWS Supply Chain 執行個體。 Amazon S3 伺服器端加密用於使用每個客戶帳戶唯一的資料金鑰加密所有主控台和 Web 應用程式 AWS Key Management Service 資料。如需 的相關資訊 AWS KMS keys，請參閱《 AWS Key Management Service 開發人員指南》中的[什麼是 AWS Key Management Service？](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html)。 **注意** AWS Supply Chain 功能 供應規劃和 N 層可見性不支援使用提供的 KMS-CMK data-at-rest。 ## 傳輸中加密 資料包括與 AWS Supply Chain AWS Supply Chain 交換之 Amazon Q 中使用的內容，會在使用者網頁瀏覽器與 AWS Supply Chain 之間使用業界標準的 TLS 加密進行傳輸時受到保護。 ## 金鑰管理 AWS Supply Chain 部分支援 KMS-CMK。 如需在 中更新 AWS KMS 金鑰的資訊 AWS Supply Chain，請參閱 [步驟 2：建立執行個體](creating-instance.md)。 ## 網際網路流量隱私權 **注意** AWS Supply Chain 不支援 PrivateLink。 的虛擬私有雲端 (VPC) 端點 AWS Supply Chain 是 VPC 內的邏輯實體，僅允許連線 AWS Supply Chain。VPC 會將請求路由至 ， AWS Supply Chain 並將回應路由回 VPC。如需詳細資訊，請參閱[《VPC 使用者指南》中的 VPC 端點](https://docs.aws.amazon.com/vpc/latest/privatelink/concepts.html)。 ## 如何在 中使用 AWS Supply Chain 授予 AWS KMS AWS Supply Chain 需要[授予](/kms/latest/developerguide/grants.html)才能使用您的客戶受管金鑰。 AWS Supply Chain 會使用 **CreateInstance** 操作期間傳遞的 AWS KMS 金鑰來建立數個授予。 會傳送 [/kms/latest/APIReference/API_CreateGrant.html](/kms/latest/APIReference/API_CreateGrant.html) 請求給 來代表您 AWS Supply Chain 建立授予 AWS KMS。中的授予 AWS KMS 用於授予客戶帳戶中 AWS KMS 金鑰的 AWS Supply Chain 存取權。 **注意** AWS Supply Chain 使用自己的授權機制。使用者新增至 後 AWS Supply Chain，您就無法使用 AWS KMS 政策拒絕列出相同的使用者。 AWS Supply Chain 會針對下列項目使用 授予： + 將 **GenerateDataKey** 請求傳送至 ， AWS KMS 以[/forecast/latest/dg/data-protection.html#kms-grants](/forecast/latest/dg/data-protection.html#kms-grants)存放在執行個體中的資料。 + 將**解密**請求傳送至 AWS KMS ，以讀取與執行個體相關聯的加密資料。 + 新增 *DescribeKey*、*CreateGrant* 和 *RetireGrant* 許可，以便在將資料傳送至 Amazon Forecast 等 AWS 其他服務時確保資料的安全。 您可以隨時撤銷授予的存取權，或移除服務對客戶受管金鑰的存取權。如果您這麼做， AWS Supply Chain 您將無法存取客戶受管金鑰加密的任何資料，這會影響依賴該資料的操作。 ### 監控 的加密 AWS Supply Chain 下列範例是 `Encrypt`、 和 AWS CloudTrail 的事件`GenerateDataKey`，`Decrypt`用於監控 呼叫的 KMS 操作 AWS Supply Chain ，以存取客戶受管金鑰加密的資料： ------ #### [ Encrypt ] ``` { "eventVersion": "1.08", "userIdentity": { "type": "AWSService", "invokedBy": "scn.amazonaws.com" }, "eventTime": "2024-03-06T22:39:32Z", "eventSource": "kms.amazonaws.com", "eventName": "Encrypt", "awsRegion": "us-east-1", "sourceIPAddress": "172.12.34.56" "userAgent": "Example/Desktop/1.0 (V1; OS)", "requestParameters": { "encryptionAlgorithm": "SYMMETRIC_DEFAULT", "keyId": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample" }, "responseElements": null, "requestID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr", "eventID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr", "readOnly": true, "resources": [ { "accountId": account ID, "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "112233445566", "sharedEventID": "fdf9ee0f-e43f-4e43-beac-df69067edb8b", "eventCategory": "Management" } ``` ------ #### [ GenerateDataKey ] ``` { "eventVersion": "1.08", "userIdentity": { "type": "AWSService", "invokedBy": "scn.amazonaws.com" }, "eventTime": "2024-03-06T22:39:32Z", "eventSource": "kms.amazonaws.com", "eventName": "GenerateDataKey", "awsRegion": "us-east-1", "sourceIPAddress": "172.12.34.56" "userAgent": "Example/Desktop/1.0 (V1; OS)", "requestParameters": { "encryptionContext": { "aws:s3:arn": "arn:aws:s3:::test/rawEvent/bf6666c1-111-48aaca-b6b0-dsadsadsa3432423/noFlowName/scn.data.inboundorder/20240306_223934_536" }, "keyId": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample", "keySpec": "AES_222" }, "responseElements": null, "requestID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr", "eventID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr", "readOnly": true, "resources": [ { "accountId": account ID, "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "112233445566", "sharedEventID": "fdf9ee0f-e43f-4e43-beac-df69067edb8b", "eventCategory": "Management" } ``` ------ #### [ Decrypt ] ``` { "eventVersion": "1.08", "userIdentity": { "type": "AWSService", "invokedBy": "scn.amazonaws.com" }, "eventTime": "2024-03-06T22:39:32Z", "eventSource": "kms.amazonaws.com", "eventName": "Decrypt", "awsRegion": "us-east-1", "sourceIPAddress": "172.12.34.56" "userAgent": "Example/Desktop/1.0 (V1; OS)", "requestParameters": { "keyId": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample", "encryptionAlgorithm": "SYMMETRIC_DEFAULT" }, "responseElements": null, "requestID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr", "eventID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr", "readOnly": true, "resources": [ { "accountId": account ID, "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "112233445566", "sharedEventID": "fdf9ee0f-e43f-4e43-beac-df69067edb8b", "eventCategory": "Management" } ``` ------ # AWS Supply Chain 使用介面端點 (AWS PrivateLink) 存取 您可以使用 在 VPC 和 之間 AWS PrivateLink 建立私有連線 AWS Supply Chain。您可以 AWS Supply Chain 像在 VPC 中一樣存取 ，無需使用網際網路閘道、NAT 裝置、VPN 連線或 Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址即可存取 AWS Supply Chain。 您可以建立由 AWS PrivateLink提供支援的*介面端點*來建立此私有連線。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是請求者管理的網路介面，可作為目的地為 AWS Supply Chain之流量的進入點。 如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[AWS 服務 透過 存取 AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) 。 ## 的考量事項 AWS Supply Chain 在您設定 的介面端點之前 AWS Supply Chain，請檢閱 *AWS PrivateLink 指南*中的[考量事項](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。 AWS Supply Chain 支援透過介面端點呼叫其所有 API 動作。 ## 建立 的介面端點 AWS Supply Chain 您可以使用 Amazon VPC AWS Supply Chain 主控台或 AWS Command Line Interface () 建立 的介面端點AWS CLI。如需詳細資訊，請參閱《AWS PrivateLink 指南》**中的[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)。 AWS Supply Chain 使用下列服務名稱建立 的介面端點： ``` com.amazonaws.region.scn ``` 如果您為介面端點啟用私有 DNS，您可以使用 AWS Supply Chain 其預設的區域 DNS 名稱向 提出 API 請求。例如：`scn.region.amazonaws.com`。 ## 為您的介面端點建立端點政策 端點政策為 IAM 資源，您可將其連接至介面端點。預設端點政策允許 AWS Supply Chain 透過介面端點完整存取 。若要控制 AWS Supply Chain 從 VPC 允許存取的 ，請將自訂端點政策連接至介面端點。 端點政策會指定以下資訊： + 可執行動作的主體 (AWS 帳戶、IAM 使用者和 IAM 角色） + 可執行的動作 + 可以對其執行動作的資源 如需詳細資訊，請參閱「*AWS PrivateLink 指南*」中的[使用端點政策控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)。 **範例： AWS Supply Chain 動作的 VPC 端點政策** 以下是自訂端點政策的範例。將此政策附加至介面端點後，此政策會針對所有資源上的所有主體，授予列出的 AWS Supply Chain 動作的存取權限。 ``` { "Statement": [ { "Principal": "*", "Effect": "Allow", "Action": [ "scn:action-1", "scn:action-2", "scn:action-3" ], "Resource":"*" } ] } ``` # 適用於 的 IAM AWS Supply Chain AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以進行*驗證 *（登入） 和*授權* （具有許可） 來使用 AWS Supply Chain 資源。IAM 是 AWS 服務 您可以免費使用的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS Supply Chain 如何使用 IAM](security_iam_service-with-iam.md) + [的身分型政策範例 AWS Supply Chain](security_iam_id-based-policy-examples.md) + [對 AWS Supply Chain 身分和存取進行故障診斷](security_iam_troubleshoot.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Supply Chain 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Supply Chain 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS Supply Chain](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分可完整存取所有 AWS 服務 和 資源。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或是 AWS 服務 使用身分來源的憑證 Directory Service 存取的使用者。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在以資源為基礎的政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS Supply Chain 如何使用 IAM 在您使用 IAM 管理對 的存取之前 AWS Supply Chain，請先了解哪些 IAM 功能可與 搭配使用 AWS Supply Chain。 **您可以搭配 使用的 IAM 功能 AWS Supply Chain** | IAM 功能 | AWS Supply Chain 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 是 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 否 | 若要全面了解 AWS Supply Chain 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## 的身分型政策 AWS Supply Chain **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 的身分型政策範例 AWS Supply Chain 若要檢視 AWS Supply Chain 身分型政策的範例，請參閱 [的身分型政策範例 AWS Supply Chain](security_iam_id-based-policy-examples.md)。 ## 中的資源型政策 AWS Supply Chain **支援資源型政策：**否 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 的政策動作 AWS Supply Chain **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 中的政策動作在動作之前 AWS Supply Chain 使用以下字首： ``` scn ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "scn:action1", "scn:action2" ] ``` 若要檢視 AWS Supply Chain 身分型政策的範例，請參閱 [的身分型政策範例 AWS Supply Chain](security_iam_id-based-policy-examples.md)。 ## 的政策資源 AWS Supply Chain **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要檢視 AWS Supply Chain 身分型政策的範例，請參閱 [的身分型政策範例 AWS Supply Chain](security_iam_id-based-policy-examples.md)。 ## 的政策條件索引鍵 AWS Supply Chain **支援服務特定政策條件金鑰：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 若要檢視 AWS Supply Chain 身分型政策的範例，請參閱 [的身分型政策範例 AWS Supply Chain](security_iam_id-based-policy-examples.md)。 ## 搭配 使用臨時登入資料 AWS Supply Chain **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，並在您使用聯合或切換角色時自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 轉送 的存取工作階段 AWS Supply Chain **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## 的服務角色 AWS Supply Chain **支援服務角色：**是 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 AWS Supply Chain 功能。只有在 AWS Supply Chain 提供指引時，才能編輯服務角色。 ## 的服務連結角色 AWS Supply Chain **支援服務連結角色：**否 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 如需建立或管理服務連結角色的詳細資訊，請參閱《[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)》。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。 # 的身分型政策範例 AWS Supply Chain 根據預設，使用者和角色沒有建立或修改 AWS Supply Chain 資源的許可。他們也無法使用 AWS 管理主控台、AWS Command Line Interface (AWS CLI) 或 AWS API 來執行任務。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。然後，管理員可以將 IAM 政策新增至角色，使用者便能擔任這些角色。 若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《[IAM 使用者指南》中的建立 IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS Supply Chain 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 # 對 AWS Supply Chain 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 AWS Supply Chain 和 IAM 時可能遇到的常見問題。 **Topics** + [我未獲授權在 中執行動作 AWS Supply Chain](#security_iam_troubleshoot-no-permissions) + [我未獲授權執行 iam:PassRole](#security_iam_troubleshoot-passrole) + [我想要允許 以外的人員 AWS 帳戶 存取我的 AWS Supply Chain 資源](#security_iam_troubleshoot-cross-account-access) ## 我未獲授權在 中執行動作 AWS Supply Chain 如果您未獲授權執行動作的 AWS 管理主控台 ，則必須聯絡管理員尋求協助。您的管理員是為您提供使用者名稱和密碼的人員。 下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `scn:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: scn:GetWidget on resource: my-example-widget ``` 在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `my-example-widget` 動作存取 `scn:GetWidget` 資源。 ## 我未獲授權執行 iam:PassRole 如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 AWS Supply Chain。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 AWS Supply Chain中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 AWS Supply Chain 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 是否 AWS Supply Chain 支援這些功能，請參閱 [AWS Supply Chain 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何提供您擁有 AWS 帳戶 的資源存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《IAM 使用者指南》**中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # AWS 的 受管政策 AWS Supply Chain AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策：AWSSupplyChainFederationAdminAccess AWSSupplyChainFederationAdminAccess AWS Supply Chain 可讓聯合身分使用者存取 AWS Supply Chain 應用程式，包括在 AWS Supply Chain 應用程式中執行動作所需的許可。此政策透過 IAM Identity Center 使用者和群組提供管理許可，並連接到 AWS Supply Chain 為您建立的角色。您不應將 AWSSupplyChainFederationAdminAccess 政策連接至任何其他 IAM 實體。 雖然此政策 AWS Supply Chain 透過 scn：\$1 許可提供 的所有存取權，但 AWS Supply Chain 角色會決定您的許可。 AWS Supply Chain 角色僅包含必要的許可，而且沒有管理員 APIs許可。 **許可詳細資訊** 此政策包含以下許可： + `Chime` – 提供在 Amazon Chime AppInstance 下建立或刪除使用者的存取權；提供管理頻道、頻道成員和主持人的存取權；提供傳送訊息至頻道的存取權。Chime 操作的範圍是標記為 "SCNInstanceId" 的應用程式執行個體。 + `AWS IAM Identity Center (AWS SSO)` – 提供在 IAM Identity Center 中關聯和取消關聯使用者設定檔、列出設定檔關聯、列出應用程式指派、描述應用程式、描述執行個體和取得應用程式指派組態所需的許可。 + `AppFlow` – 提供建立、更新和刪除連線設定檔的存取權；提供建立、更新、刪除、啟動和停止流程的存取權；提供標記和取消標記流程的存取權，以及描述流程記錄。 + `Amazon S3` – 提供列出所有儲存貯體的存取權。提供 GetBucketLocation、GetBucketPolicy、PutObject、GetObject 和 ListBucket 存取具有 arn：aws：s3：：aws-supply-chain-data-\$1 資源的儲存貯體。 + `SecretsManager` – 提供建立秘密和更新秘密政策的存取權。 + `KMS` – 為 Amazon AppFlow 服務提供列出金鑰和金鑰別名的存取權。提供 DescribeKey、CreateGrant 和 ListGrants 許可給標記為 key-value aws-suply-chain-access 的 KMS 金鑰： true；提供建立秘密和更新秘密政策的存取權。 許可 (*kms:ListKeys*、 *kms:ListAliases*、 *kms:GenerateDataKey* 和 *kms:Decrypt)* 不限於 Amazon AppFlow，而且這些許可可以授予您帳戶中的任何 AWS KMS 金鑰。 若要檢視此政策的許可，請參閱《》中的 [AWSSupplyChainFederationAdminAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSSupplyChainFederationAdminAccess) AWS 管理主控台。 ## AWS Supply Chain AWS 受管政策的更新 下表列出自此服務開始追蹤這些變更以來， AWS AWS Supply Chain 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Supply Chain 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSSupplyChainFederationAdminAccess](#security-iam-awsmanpol-AWSSupplyChainFederationAdminAccess) – 更新的政策 | AWS Supply Chain 已更新 受管政策，以允許聯合身分使用者存取使用客戶受管 KMS 金鑰 (CMKs) 加密的 IAM Identity Center 中的資料。 | 2025 年 10 月 30 日 | | [AWSSupplyChainFederationAdminAccess](#security-iam-awsmanpol-AWSSupplyChainFederationAdminAccess) – 更新的政策 | AWS Supply Chain 已更新 受管政策，以允許聯合身分使用者存取 IAM Identity Center 中的 `ListApplicationAssignments`、`DescribeInstance`、 `DescribeApplication`和 `GetApplicationAssignmentConfiguration`操作。 | 2024 年 12 月 10 日 | | [AWSSupplyChainFederationAdminAccess](#security-iam-awsmanpol-AWSSupplyChainFederationAdminAccess) – 更新的政策 | AWS Supply Chain 已更新 受管政策，以允許聯合身分使用者存取 IAM Identity Center 中的 ListProfileAssociations 操作。 | 2023 年 11 月 1 日 | | [AWSSupplyChainFederationAdminAccess](#security-iam-awsmanpol-AWSSupplyChainFederationAdminAccess) – 更新的政策 | AWS Supply Chain 已更新 受管政策，以允許聯合身分使用者存取專用 S3 儲存貯體上的 PutObject 和 GetObject 操作，其中資源 arn arn：aws：s3：：aws-Provide- chain-data-\$1。 | 2023 年 9 月 21 日 | | [AWSSupplyChainFederationAdminAccess](#security-iam-awsmanpol-AWSSupplyChainFederationAdminAccess) – 新政策 | AWS Supply Chain 新增了新的政策，以允許聯合身分使用者存取 AWS Supply Chain 應用程式。這包括在 AWS Supply Chain 應用程式中執行動作所需的許可。 | 2023 年 3 月 1 日 | | AWS Supply Chain 開始追蹤變更 | AWS Supply Chain 已開始追蹤其 AWS 受管政策的變更。 | 2023 年 3 月 1 日 | # 的合規驗證 AWS Supply Chain 第三方稽核人員 AWS Supply Chain 會在多個合規計畫中評估 的安全性和 AWS 合規性。這些計劃包括 SOC、PCI、FedRAMP、HIPAA 等等。 如需 AWS 服務 屬於特定合規計劃範圍內的 清單，請參閱[AWS 合規計劃範圍內的服務](https://aws.amazon.com/compliance/services-in-scope/)。如需一般資訊，請參閱 [AWS Compliance Programs](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您使用 時的合規責任 AWS Supply Chain 取決於資料的敏感度、您公司的合規目標，以及適用的法律和法規。 AWS 提供下列資源以協助合規： + [安全與合規快速入門指南](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance) – 這些部署指南討論架構考量，並提供部署以安全為中心和以合規為中心的基準 AWS 環境時應採取的步驟。 + [HIPAA 安全與合規架構白皮書 ](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html) – 此白皮書說明公司如何使用 AWS 來建立符合 HIPAA 規範的應用程式。 + [AWS 合規資源](https://aws.amazon.com/compliance/resources/) – 此工作手冊和指南的集合可能適用於您的產業和位置。 + *AWS Config 開發人員指南*中的[使用規則評估資源](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html) – 本指南會評估資源組態符合內部實務、產業準則和法規的程度。 + [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) – 這 AWS 服務 可讓您全面檢視 的安全狀態 AWS ，協助您檢查是否符合安全產業標準和最佳實務。 # 中的彈性 AWS Supply Chain AWS 全域基礎設施是以 AWS 區域 和 可用區域為基礎建置。 AWS 區域 提供多個實體分隔和隔離的可用區域。這些都與低延遲、高輸送量和高備援聯網連線。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域 和 可用區域的詳細資訊，請參閱[AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 除了 AWS 全球基礎設施之外， AWS Supply Chain 還提供多種功能，以協助支援您的資料彈性和備份需求。 # 記錄和監控 AWS Supply Chain 記錄和監控是維護 AWS Supply Chain 和其他 AWS 解決方案的可靠性、可用性和效能的重要部分。 AWS 提供 AWS CloudTrail 監控工具來監看 AWS Supply Chain、在發生錯誤時回報，以及適時採取自動動作。 **注意** 只會擷取從 AWS Supply Chain 主控台呼叫的 APIs AWS CloudTrail。 *AWS CloudTrail* 擷取您 AWS 帳戶 發出或代表發出的 API 呼叫和相關事件，並傳送日誌檔案至您指定的 Amazon S3 儲存貯體。您可以找出哪些使用者和帳戶呼叫 AWS、發出呼叫的來源 IP 位址，以及呼叫的發生時間。您可以在 https：//*scn.amazonaws.com* 下檢視 AWS 供應鏈事件。如需詳細資訊，請參閱[「AWS CloudTrail 使用者指南」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)。 **注意** 請注意下列事項 AWS Supply Chain： 當您邀請無法存取 的使用者時 AWS Supply Chain，這些使用者不會在從 Web 應用程式收到的通知中收到資訊。受邀使用者會收到包含 Web 應用程式連結的電子郵件通知。他們只有在擁有必要的使用者許可時，才能登入和檢視通知中的內容。 具有或沒有特定 Insight 使用者許可的所有使用者都可以檢視 Insights 聊天訊息。 身為應用程式管理員，當您將使用者新增至 AWS Supply Chain 執行個體時，他們可以存取 AWS KMS key。您可以管理使用者許可來新增或移除使用者。如需使用者許可的詳細資訊，請參閱 [管理使用者許可角色](adding-users-groups.md)。 ## AWS Supply Chain CloudTrail 中的資料事件 **注意** 下列出的 Web 應用程式 APIs [AWS Supply Chain Web 應用程式 APIs](webappi.md)會列在 CloudTrail 的資料事件中。 [資料事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events)提供在資源上或在資源中執行的資源操作的相關資訊 (例如，讀取或寫入 Amazon S3 物件)。這些也稱為資料平面操作。資料事件通常是大量資料的活動。根據預設，CloudTrail 不會記錄資料事件。CloudTrail **事件歷史記錄**不會記錄資料事件。 資料事件需支付額外的費用。如需 CloudTrail 定價的詳細資訊，請參閱 [AWS CloudTrail 定價](https://aws.amazon.com/cloudtrail/pricing/)。 您可以使用 CloudTrail 主控台 AWS CLI或 CloudTrail API 操作來記錄 AWS Supply Chain 資源類型的資料事件。 + 若要使用 CloudTrail 主控台記錄資料事件，請建立[線](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-a-trail-using-the-console-first-time.html#creating-a-trail-in-the-console)索或[事件資料存放區](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/query-event-data-store-cloudtrail.html)以記錄資料事件，或[更新現有的線索或事件資料存放區](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events-console)以記錄資料事件。 1. 選擇**資料事件**以記錄資料事件。 1. 從**資料事件類型**清單中，選擇您要記錄資料事件的資源類型。 1. 選擇您要使用的日誌選取器範本。您可以記錄資源類型的所有資料事件、記錄所有`readOnly`事件、記錄所有`writeOnly`事件，或建立自訂日誌選取器範本來篩選 `readOnly`、 `eventName`和 `resources.ARN` 欄位。 + 若要使用 記錄資料事件 AWS CLI，請設定 `--advanced-event-selectors` 參數以將 `eventCategory` 欄位設定為 ，`Data`並將 `resources.type` 欄位設定為 資源類型值 。您可以新增條件來篩選 `readOnly`、 `eventName`和 `resources.ARN` 欄位的值。 + 若要設定追蹤記錄資料事件，請執行 [https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/put-event-selectors.html](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/put-event-selectors.html)命令。如需詳細資訊，請參閱[使用 記錄線索的資料事件 AWS CLI](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events-CLI-trail-examples)。 + 若要設定事件資料存放區來記錄資料事件，請執行 [https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/create-event-data-store.html](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/create-event-data-store.html)命令來建立新的事件資料存放區來記錄資料事件，或執行 [https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/update-event-data-store.html](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/update-event-data-store.html)命令來更新現有的事件資料存放區。如需詳細資訊，請參閱[使用 記錄事件資料存放區的資料事件 AWS CLI](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events-CLI-eds-examples)。 \$1您可以設定進階事件選取器來篩選 `eventName`、 和 `resources.ARN` 欄位`readOnly`，以僅記錄對您重要的事件。如需有關這些欄位的詳細資訊，請參閱 [https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_AdvancedFieldSelector.html](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_AdvancedFieldSelector.html)。 ## AWS Supply Chain CloudTrail 中的 管理事件 [管理事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-management-events-with-cloudtrail.html#logging-management-events)提供對 AWS 帳戶中資源執行的管理操作的相關資訊。這些也稱為控制平面操作。根據預設，CloudTrail 記錄管理事件。 AWS Supply Chain 會將 CloudTrail 的所有控制平面操作記錄為管理事件。 # AWS Supply Chain Web 應用程式 APIs 本節中列出的 APIs 由 AWS Supply Chain 應用程式代表聯合身分使用者呼叫。這些 APIs 不會顯示在 CloudTrail 日誌中，也不會擷取在*服務授權參考*文件中，請參閱 [AWS Supply Chain](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssupplychain.html)。這些 APIs存取是由 AWS Supply Chain 應用程式根據聯合身分使用者角色許可來控制。您不應該嘗試控制對這些 APIs存取，以防止破壞 AWS Supply Chain 應用程式。 # 使用者角色 下列 APIs用於管理 中的使用者、使用者角色、使用者通知和聊天訊息 AWS Supply Chain。 ``` scn:AddMembersToResourceBasedChat scn:AssignGalaxyRoleToUser scn:AssociateUser scn:BatchGetUsers scn:BatchMarkNotificationAsDelivered scn:CreateRole scn:DeleteRole scn:DescribeChatForUser scn:GetAccessDetailConfig scn:GetChatPreferencesForUser scn:GetMessagingSessionConnectionDetails scn:GetNotificationsPreference scn:GetOrCreateChimeUser scn:GetOrCreateResourceBasedChat scn:GetOrCreateUserBasedChat scn:GetOrganizationInfo scn:GetResourceBasedChatArn scn:GetUserDetails scn:ListChatMembers scn:ListChatMessages scn:ListChatModerators scn:ListChats scn:ListRoles scn:ListUserNotifications scn:ListUsersWithRole scn:MarkNotificationAsDelivered scn:MarkNotificationAsRead scn:RemoveMemberFromResourceBasedChat scn:RemoveUser scn:SearchChimeUsers scn:SearchUsers scn:SendChatMessage scn:SetNotificationsPreference scn:UpdateChatPreferencesForUser scn:UpdateChatReadMarker scn:UpdateOrganizationInfo scn:UpdateRole scn:UpdateUser ``` # 資料湖 下列 APIs用於在資料湖中建立和管理資料流程和連線。 ``` scn:CreateConnection scn:CreateDataflow scn:CreateDeleteDataByPartitionJob scn:CreateExtractFlows scn:CreatePresignedUrl scn:CreateSampleParsingJob scn:CreateSapODataConnection scn:CreateUpdateDatasetSchemaJob scn:DeleteConnection scn:DeleteDataflow scn:DeleteExtractFlows scn:DeleteSapODataConnection scn:describeDatasetGroup scn:DescribeDataset scn:DescribeJob scn:GetConnection scn:GetCreateExtractFlowsStatus scn:GetDataflow scn:ListConnections scn:ListCustomerFiles scn:ListDataflows scn:ListDataflowStats scn:ListDatasets scn:UpdateConnection scn:UpdateDataflow scn:UpdateExtractFlow ``` # 洞見 Insights 應用程式會使用下列 APIs 來管理篩選條件、監視清單和檢視庫存變更。 ``` scn:AddModeratorToResourceBasedChat scn:ComputePostRebalancedQuantities scn:ComputePostRebalancedQuantitiesV1 scn:CreateInsightFilter scn:CreateInsightSubscription scn:DeleteInsightFilter scn:DeleteInsightSubscription scn:GetInsightLineItem scn:GetInsightSubscription scn:GetInstanceAttribute scn:GetInstanceRequiredDatasetAvailabilityStatus scn:GetKpiData scn:GetModelEndpointStatus scn:GetPIVForProduct scn:GetPIVForSite scn:GetPIVForSiteAndProduct scn:GetPIVForSitesAndProducts scn:GetProducts scn:GetProductSummaryAggregates scn:GetSites scn:GetSiteSummaryAggregates scn:IsUserAuthorizedForInsightLineItem scn:ListCustomAttributeValues scn:ListGeographiesAsGalaxyAdmin scn:ListInsightFilters scn:ListInsightLineItems scn:ListInsightSubscriptions scn:ListInventoryQuantityAggregates scn:ListInventoryRisksBySiteAndProduct scn:ListInventorySummariesBySite scn:ListPIVProductsBySite scn:ListProductHierarchiesAsGalaxyAdmin scn:ListProducts scn:ListProductsAsGalaxyAdmin scn:ListSites scn:ListUsers scn:PotentiallyComputeThenListRebalancingOptionsForInsightLineItem scn:RegisterInstanceAttribute scn:UpdateInsightFilter scn:UpdateInsightLineItemStatus scn:UpdateInsightSubscription scn:UpdateRebalancingOptionStatus scn:UpdateRebalancingOptionStatusV1 ``` # 需求規劃 下列 APIs用於 AWS Supply Chain 建立和管理預測、需求計劃或工作手冊。 ``` scn:AssociateDatasetWithWorkbook scn:CreateBaselineForecast scn:CreateDemandPlan scn:CreateDemandPlanningCycle scn:CreateDemandPlanningDatasetExportJob scn:CreateDerivedForecast scn:CreateWorkbook scn:DeleteDemandForecastConfig scn:DeleteDemandPlanningCycle scn:DeleteDerivedForecast scn:DeleteWorkbook scn:DescribeBaselineForecast scn:DescribeDemandPlanningCycleAccuracyJob scn:DescribeDerivedForecast scn:DescribePlanningCycle scn:DescribeWorkbook scn:DisassociatePlanningCycle scn:GetDemandForecastConfig scn:GetDemandPlan scn:GetDemandPlanningCycle scn:GetDemandPlanningCycleAccuracy scn:GetDemandPlanningDatasetJob scn:ListDemandPlans scn:ListDerivedForecasts scn:ListForecastingJobs scn:ListPlanningCycles scn:ListWorkbooks scn:PublishDemandPlan scn:PutDemandForecastConfig scn:StartDemandPlanningCycleAccuracyJob scn:StartForecastingJob scn:UpdateDemandPlan scn:UpdateDemandPlanningCycleMetadata scn:UpdateWorkbook ``` # 供應規劃 下列 APIs用於 AWS Supply Chain 建立和管理供應計劃。 ``` scn:CreateReplenishmentPipeline scn:GetReplenishmentPipeline scn:UpdateReplenishmentPipeline scn:ListReplenishmentPipelinesByInstance scn:GetInstanceReplenishmentConfig scn:CreateBacktest scn:CreateReplenishmentReviewInstanceConfig scn:GetReplenishmentReviewInstanceConfig scn:ListReplenishmentVendors scn:GetExceptionsSupplyInsightsStatistics scn:GetPorSupplyInsightsStatistics scn:GetPlanToPOConversionAnalytics scn:GetPurchasePlanStatistics scn:ListPlanExceptions scn:ListPurchaseOrderRequestLines scn:UpdatePurchaseOrderRequestLines scn:ListBomPurchasePlans scn:ListBomProductionPlans scn:ListBomTransferPlans scn:ListBomInsights scn:ListBomProcesses scn:ExportBomPlans scn:GetBomPlanSummary scn:GetDashboardAnalytics scn:GetPurchaseOrderRequestExplanation scn:ListBomSupplyPlan scn:GetBomPlanRecordDetails scn:GetBomPlanSummaryAnalytics scn:ListBomPurchaseOrders scn:ListBomTransferOrders scn:ListBomProductionOrders scn:ExportAllExplodedBoms scn:ExportBillOfMaterials scn:ExportInventoryPolicy scn:ExportProductionProcess scn:ExportSourcingRule scn:ExportTransportationLane scn:ExportVendorLeadTime scn:ImportBillOfMaterials scn:ImportInventoryPolicy scn:ImportProductionProcess scn:ImportSourcingRule scn:ImportTransportationLane scn:ImportVendorLeadTime ``` # 中的 Amazon Q AWS Supply Chain Amazon Q in 中會使用下列 APIs AWS Supply Chain。 ``` scn:GetQMessage scn:ListQMessages scn:PutQMessageFeedback scn:SendQMessage scn:GetQEnablementStatus scn:UpdateQEnablementStatus ``` # 使用 管理 AWS Supply Chain 事件 Amazon EventBridge 使用 EventBridge，您可以將其他 服務自動化，以回應 Step Functions 標準工作流程的執行狀態變更。 Amazon EventBridge 是一種無伺服器服務，使用事件將應用程式元件連接在一起，讓您更輕鬆地建置可擴展的事件驅動型應用程式。事件驅動架構是一種建置鬆耦合軟體系統的方式，透過發出和回應事件來協作。事件代表資源或環境中的變更。 以下是其運作方式： 如同許多 AWS 服務， AWS Supply Chain 會產生事件並將其傳送至 EventBridge 預設事件匯流排。（預設事件匯流排會自動在每個 AWS 帳戶中佈建。) 事件匯流排是接收事件，並將事件傳遞至零個或多個目的地或*目標*的路由器。為事件匯流排指定的規則會在事件到達時評估事件。每項規則都會檢查事件是否與規則的*事件模式*相符。如果事件不相符，事件匯流排會將事件傳送至指定的目標。 ![\[AWS 服務會將事件傳送至 EventBridge 預設事件匯流排。如果事件符合規則的事件模式， 會將事件 EventBridge 傳送至為該規則指定的目標。\]](http://docs.aws.amazon.com/zh_tw/aws-supply-chain/latest/adminguide/images/eventbridge-integration-how-it-works.png) **Topics** + [AWS Supply Chain 事件](#supported-events) + [使用 EventBridge 規則交付 AWS Supply Chain 事件](#eventbridge-using-events-rules) + [AWS Supply Chain 事件詳細資訊參考](events-detail-reference.md) ## AWS Supply Chain 事件 AWS Supply Chain 會自動將下列事件傳送至預設 EventBridge 事件匯流排。符合規則事件模式的事件會根據[基準](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-service-event.html#eb-service-event-delivery-level)交付至指定的目標。事件可能無法按順序交付。 如需詳細資訊，請參閱《 使用者指南》中的[EventBridge 事件](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-events.html)。 *Amazon EventBridge * | 事件詳細資訊類型 | Description | | --- | --- | | [AWS 供應鏈資料整合狀態變更](events-detail-reference.md#event-detail-event-name-1-no-caps-or-spaces) | 顯示每個擷取檔案的狀態 AWS Supply Chain。 | ## 使用 EventBridge 規則交付 AWS Supply Chain 事件 若要讓 EventBridge 預設事件匯流排將 AWS Supply Chain 事件傳送至目標，您必須建立規則。每個規則都包含一個事件模式，與事件匯流排上收到的每個事件 EventBridge 相符。如果事件資料符合指定的事件模式， 會將該事件 EventBridge 傳遞至規則的目標 (s)。 如需建立事件匯流排規則的完整說明，請參閱*EventBridge 《 使用者指南*》中的[建立對事件做出反應的規則](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-create-rule.html)。 ### 建立符合事件 AWS Supply Chain 的事件模式 每個事件模式都是 JSON 物件，它包含： + 識別傳送事件之服務的 `source` 屬性。對於 AWS Supply Chain 事件，來源為 `aws.supplychain`。 + (選擇性)：包含要比對之事件類型陣列的 `detail-type` 屬性。 + (選擇性)：包含要比對的任何其他事件資料的 `detail` 屬性。 例如，下列事件模式會比對來自 的所有`AWS Supply Chain Data Integration Status Change`事件 AWS Supply Chain： ``` { "source": ["aws.supplychain"], "detail-type": ["AWS Supply Chain Data Integration Status Change"] } ``` 如需撰寫事件模式的詳細資訊，請參閱*EventBridge 《 使用者指南*》中的[事件模式](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-event-patterns.html)。 # AWS Supply Chain 事件詳細資訊參考 AWS 服務中的所有事件都有一組通用的欄位，其中包含事件的中繼資料，例如事件來源 AWS 的服務、事件產生的時間、事件發生的帳戶和區域，以及其他。如需這些一般欄位的定義，請參閱*Amazon EventBridge 《 使用者指南*》中的[事件結構參考](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-events-structure.html)。 此外，每個事件都有一個 `detail` 欄位，其中包含該特定事件的特定資料。以下參考定義了各種 AWS Supply Chain 事件的詳細資訊欄位。 使用 EventBridge 來選取和管理 AWS Supply Chain 事件時，請謹記下列事項： + 來自 的所有事件的 `source` 欄位 AWS Supply Chain 都設定為 `aws.supplychain`。 + `detail-type` 欄位指定事件類型。 例如 `AWS Supply Chain Data Integration Status Change`。 + `detail` 欄位包含該特定事件的特定資料。 如需建構事件模式以讓規則符合 AWS Supply Chain 事件的資訊，請參閱*Amazon EventBridge 《 使用者指南*》中的[事件模式](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-event-patterns.html)。 如需事件及其 EventBridge 處理方式的詳細資訊，請參閱*Amazon EventBridge 《 使用者指南*》中的[Amazon EventBridge 事件](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-events.html)。 ## AWS 供應鏈資料整合狀態變更 以下是`AWS Supply Chain Data Integration Status Change event`事件的範例。 ``` { "version": "0", "id": "instanceID", "detail-type": "AWS Supply Chain Data Integration Status Change", "source": "aws.supplychain", "account": "acccountID", "time": "2024-03-30T12:26:13Z", "region": "us-east-1", "resources": [], "detail": { "version": "1.0", "instanceId": "instanceID", "flowArn": "arn:aws:scn:region:acccountID:instance/instanceID/data-integration-flows/flowname", "flowExecutionId": "flowExecutionId", "status": "IN_PROGRESS", "startTime": "2024-03-30T12:26:13Z", "endTime": "", "message": "", "sourceType": "S3", "sourceInfo": { "s3Source": { "bucketName": "aws-supply-chain-data-instanceID", "key": "flowname" } } } } ``` `endTime` 只有在*狀態*為失敗或成功時才可用。