本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 中的安全性 AWS Clean Rooms 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端的安全性和雲端中的安全性： + **雲端的安全性** – AWS 負責保護在 AWS Cloud 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。在[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用的合規計劃 AWS Clean Rooms，請參閱[合規計劃的 AWS 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規 本文件可協助您了解如何在使用 時套用共同責任模型 AWS Clean Rooms。它說明如何設定 AWS Clean Rooms 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 AWS Clean Rooms 資源。 **Topics** + [資料保護](data-protection.md) + [使用服務連結角色](using-service-linked-roles.md) + [資料保留](data-retention.md) + [最佳實務](best-practices.md) + [身分和存取權管理](security-iam.md) + [法規遵循驗證](SERVICE-compliance.md) + [恢復能力](disaster-recovery-resiliency.md) + [基礎設施安全性](infrastructure-security.md) + [AWS PrivateLink](vpc-interface-endpoints.md) # 中的資料保護 AWS Clean Rooms AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 中的資料保護 AWS Clean Rooms。如此模型所述， AWS 負責保護執行所有 的 全球基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 AWS Clean Rooms 或使用主控台、API AWS CLI或其他 AWS 服務 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 靜態加密 AWS Clean Rooms 一律會加密所有靜態服務中繼資料，而不需要任何額外的組態。當您使用 時，此加密會自動執行 AWS Clean Rooms。 Clean Rooms ML 會加密所有存放在服務中的靜態資料 AWS KMS。如果您選擇提供自己的 KMS 金鑰，外觀模型和外觀區段產生任務的內容會使用 KMS 金鑰靜態加密。 使用 AWS Clean Rooms 自訂 ML 模型時，服務會加密所有存放於 的靜態資料 AWS KMS。 AWS Clean Rooms 支援使用您建立、擁有和管理的對稱客戶受管金鑰來加密靜態資料。如果未指定客戶受管金鑰， AWS 擁有的金鑰 預設會使用 。 AWS Clean Rooms 使用授予和金鑰政策來存取客戶受管金鑰。您可以隨時撤銷授予的存取權，或移除服務對客戶受管金鑰的存取權。如果您這麼做， AWS Clean Rooms 則無法存取客戶受管金鑰加密的任何資料，這會影響相依於該資料的操作。例如，如果您嘗試從 AWS Clean Rooms 無法存取的加密 ML 輸入通道建立訓練模型，則操作會傳回`ValidationException`錯誤。 **注意** 您可以使用 Amazon S3 中的加密選項來保護靜態資料。 如需詳細資訊，請參閱《[Amazon S3 使用者指南》中的指定 Amazon S3 加密](https://docs.aws.amazon.com/AmazonS3/latest/userguide/specifying-s3-encryption.html)。 *Amazon S3 * 在 中使用 ID 映射表時 AWS Clean Rooms，服務會加密所有以 存放的靜態資料 AWS KMS。如果您選擇提供自己的 KMS 金鑰，您的 ID 映射表的內容會透過您的 KMS 金鑰進行靜態加密 AWS Entity Resolution。如需使用 ID 映射工作流程進行加密所需許可的詳細資訊，請參閱*AWS Entity Resolution 《 使用者指南*》中的[為 建立工作流程任務角色 AWS Entity Resolution](https://docs.aws.amazon.com/entityresolution/latest/userguide/create-workflow-job-role.html)。 ## 傳輸中加密 AWS Clean Rooms 使用 Transport Layer Security (TLS) 進行傳輸中的加密。與 AWS Clean Rooms 的通訊一律透過 HTTPS 完成，因此無論資料是存放在 Amazon S3、Amazon Athena 或 Snowflake 中，您的資料一律會在傳輸中加密。這包括使用 Clean Rooms ML 時傳輸中的所有資料。 ## 加密基礎資料 如需如何加密基礎資料的詳細資訊，請參閱 [的加密運算 Clean Rooms](crypto-computing.md)。 ## 金鑰政策 金鑰政策會控制客戶受管金鑰的存取權限。每個客戶受管金鑰都必須只有一個金鑰政策，其中包含決定誰可以使用金鑰及其使用方式的陳述式。在建立客戶受管金鑰時，可以指定金鑰政策。如需詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的管理客戶受管金鑰的存取。 若要將客戶受管金鑰與 AWS Clean Rooms 自訂 ML 模型搭配使用，必須在金鑰政策中允許下列 API 操作： + `kms:DescribeKey` – 提供客戶受管金鑰詳細資訊， AWS Clean Rooms 以允許 驗證金鑰。 + `kms:Decrypt` – 提供 的存取權， AWS Clean Rooms 以解密加密的資料，並將其用於相關任務。 + `kms:CreateGrant` - Clean Rooms ML 透過為 Amazon ECR 建立授權，來加密 Amazon ECR 中的靜態訓練和推論映像。若要進一步了解，請參閱 [Amazon ECR 中的靜態加密](https://docs.aws.amazon.com/AmazonECR/latest/userguide/encryption-at-rest.html)。Clean Rooms ML 也會使用 Amazon SageMaker AI 執行訓練和推論任務，並為 SageMaker AI 建立授權，以加密連接至執行個體的 Amazon EBS 磁碟區，以及 Amazon S3 中的輸出資料。若要進一步了解，請參閱[在 Amazon SageMaker AI 中使用加密保護靜態資料](https://docs.aws.amazon.com/sagemaker/latest/dg/encryption-at-rest.html)。 + `kms:GenerateDataKey` - Clean Rooms ML 使用伺服器端加密來加密存放在 Amazon S3 中的靜態資料 AWS KMS keys。若要進一步了解，請參閱[在 Amazon S3 中使用伺服器端加密搭配 AWS KMS keys (SSE-KMS)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html)。 以下是您可以 AWS Clean Rooms 為下列資源新增的政策陳述式範例： **ML 輸入通道與合成資料** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "Allow access to principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" }, "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] }, "BoolIfExists": { "kms:GrantIsForAWSResource": true } } }, { "Sid": "Allow describe key for principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::444455556666:role/ExampleRole" }, "Action": [ "kms:DescribeKey" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" } } }, { "Sid": "Allow grant operations for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] } } }, { "Sid": "Allow describe key for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:DescribeKey" ], "Resource": "*" } ] } ``` **不含合成資料的 ML 輸入通道** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "Allow access to principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:DescribeKey", "kms:GenerateDataKey", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" } } }, { "Sid": "Allow access to AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:DescribeKey", "kms:GenerateDataKey", "kms:Decrypt" ], "Resource": "*" } ] } ``` ------ **訓練過的模型任務或訓練過的模型推論任務** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "Allow grant operations for principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" }, "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] }, "BoolIfExists": { "kms:GrantIsForAWSResource": true } } }, { "Sid": "Allow describe key for principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::444455556666:role/ExampleRole" }, "Action": [ "kms:DescribeKey" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" } } }, { "Sid": "Allow grant operations for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] } } }, { "Sid": "Allow describe key for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:DescribeKey" ], "Resource": "*" } ] } ``` ------ Clean Rooms ML 不支援在客戶受管金鑰政策中指定服務加密內容或來源內容。CloudTrail 中的客戶可以看到服務在內部使用的加密內容。 # 使用 的服務連結角色 AWS Clean Rooms AWS Clean Rooms use AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 的唯一 IAM 角色類型 AWS Clean Rooms。服務連結角色由 預先定義， AWS Clean Rooms 並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。 服務連結角色可讓您更 AWS Clean Rooms 輕鬆地設定，因為您不必手動新增必要的許可。 AWS Clean Rooms 會定義其服務連結角色的許可，除非另有定義，否則 AWS Clean Rooms 只能擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。 您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 AWS Clean Rooms 資源，因為您不會不小心移除存取資源的許可。 如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。 ## 的服務連結角色許可 AWS Clean Rooms AWS Clean Rooms 使用名為 **AWSServiceRoleForAWSCleanRooms** 的服務連結角色 – 將 Clean Rooms 相關 CloudWatch 指標發佈至 AWS 您的帳戶。 AWSServiceRoleForAWSCleanRooms 服務連結角色信任下列服務擔任該角色： + `cleanrooms.amazonaws.com` 名為 AWSCleanRoomsServiceRolePolicy 的角色許可政策允許 對指定的資源 AWS Clean Rooms 完成下列動作： + 動作：`all AWS resources, restricted to the AWS Clean Rooms namespace` 上的 `cloudwatch:PutMetricData` 您必須設定許可，以允許您的使用者、群組或角色建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。 ## 為 建立服務連結角色 AWS Clean Rooms 您可以使用 IAM 主控台建立具有 **AWSServiceRoleForAWSCleanRooms** 使用案例的服務連結角色。在 AWS CLI 或 AWS API 中，使用服務名稱建立`cleanrooms.amazonaws.com`服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的「[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)」。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。 ## 編輯 的服務連結角色 AWS Clean Rooms AWS Clean Rooms 不允許您編輯 AWSServiceRoleForAWSCleanRooms 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除 的服務連結角色 AWS Clean Rooms 若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。 若要刪除 **AWSServiceRoleForAWSCleanRooms**，您必須先刪除 中的所有[協同合作](https://docs.aws.amazon.com/clean-rooms/latest/userguide/delete-collaboration.html)和[成員資格](https://docs.aws.amazon.com/clean-rooms/latest/userguide/leave-collab.html) AWS 帳戶。 **注意** 如果 AWS Clean Rooms 服務在您嘗試刪除資源時使用角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。 **使用 IAM 手動刪除服務連結角色** 使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AWSServiceRoleForAWSCleanRooms 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 ## AWS Clean Rooms 服務連結角色支援的 區域 AWS Clean Rooms 支援在所有提供服務的區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS Regions and endpoints](https://docs.aws.amazon.com/general/latest/gr/clean-rooms.html#clean-rooms_region)。 # 中的資料保留 AWS Clean Rooms 任何暫時讀取到 AWS Clean Rooms 協同合作的資料都會在查詢完成後刪除。 當您建立外觀相似的模型時，Clean Rooms ML 會讀取您的訓練資料，將其轉換為適合我們 ML 模型的格式，並將訓練過的模型參數存放在 Clean Rooms ML 中。Clean Rooms ML 不會保留訓練資料的副本。 AWS Clean Rooms SQL 查詢不會在查詢執行後保留任何資料。Clean Rooms ML 接著會使用訓練過的模型來摘要所有使用者的行為。只要您的外觀模型處於作用中狀態，Clean Rooms ML 就會將每個使用者的使用者層級資料集存放在您的資料中。 當您開始類似區段的產生任務時，Clean Rooms ML 會讀取種子資料、從相關聯的類似外觀模型讀取行為摘要，以及建立存放在 AWS Clean Rooms 服務中的類似區段。Clean Rooms ML 不會保留種子資料的副本。只要任務處於作用中狀態，Clean Rooms ML 就會儲存任務的使用者層級輸出。 如果您的種子資料來自 SQL 查詢，則該查詢的輸出只會在任務期間存放在服務中。查詢的結果會在靜態和傳輸中加密。 如果您想要移除看起來像模型或看起來像區段產生任務資料，請使用 API 將其刪除。Clean Rooms ML 會非同步刪除與模型或任務相關聯的所有資料。此程序完成後，Clean Rooms ML 會刪除模型或任務的中繼資料，而且不會再出現在 API 中。Clean Rooms ML 會保留已刪除的資料 3 天，以防止災難復原。一旦任務或模型不再顯示在 API 中且已超過 3 天，與該模型或任務相關聯的所有資料都已永久刪除。 # 中的資料協同合作最佳實務 AWS Clean Rooms 本主題說明在 中執行資料協作的最佳實務 AWS Clean Rooms。 AWS Clean Rooms 遵循[AWS 共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)。 AWS Clean Rooms 提供您可以設定的[分析規則](analysis-rules.md)，以增強您在協同合作中保護敏感資料的能力。您在 中設定的分析規則 AWS Clean Rooms 會強制執行您已設定的限制 （查詢控制項和查詢輸出控制項）。您需負責判斷限制，並相應地設定分析規則。 資料協作可能不僅涉及您使用 AWS Clean Rooms。為了協助您最大化資料協同合作的優勢，我們建議您使用 執行下列最佳實務 AWS Clean Rooms ，特別是分析規則。 **Topics** + [的最佳實務 AWS Clean Rooms](#best-practices-with-clean-rooms) + [在 中使用分析規則的最佳實務 AWS Clean Rooms](#best-practices-for-analysis-rules) ## 的最佳實務 AWS Clean Rooms 您有責任評估每個資料協作的風險，並將其與您的隱私權要求進行比較，例如外部和內部合規計劃和政策。我們建議您在使用 時採取其他動作 AWS Clean Rooms。這些動作可能有助於進一步管理風險，並協助防止第三方嘗試重新識別您的資料 （例如，差異化攻擊或側邊通道攻擊）。 例如，考慮對您的其他協作者進行盡職調查，並在參與協作*之前*與他們簽訂法律協議。若要監控資料的使用情況，也請考慮在您使用 時採用其他稽核機制 AWS Clean Rooms。 ## 在 中使用分析規則的最佳實務 AWS Clean Rooms 中的分析規則 AWS Clean Rooms 可讓您透過在設定的資料表上設定查詢控制項來限制可執行的查詢。例如，您可以設定查詢控制，以了解如何聯結已設定的資料表，以及可以選取哪些資料欄。您也可以透過設定查詢結果控制項來限制查詢輸出，例如輸出列上的彙總閾值。服務會拒絕任何查詢，並移除不符合查詢中成員所設定資料表之分析規則的資料列。 我們建議您在已設定的資料表上使用分析規則的 *10 個最佳實務*： + 為個別查詢使用案例建立個別設定的資料表 （例如，受眾規劃或歸因）。您可以使用相同的基礎資料表建立多個已設定的 AWS Glue 資料表。 + 在分析規則中指定協同合作中查詢所需的資料欄 （例如維度資料欄、列出資料欄、聯結資料欄）。這可能有助於降低不同攻擊的風險，或讓其他成員反向設計您的資料。使用**允許清單資料欄**功能，記下您可能希望在未來進行查詢的其他資料欄。若要自訂可用於特定協同合作的資料欄，請使用相同的基礎資料表建立其他設定的 AWS Glue 資料表。 + 在分析規則中指定在協同合作中分析所需的函數。這有助於降低罕見函數錯誤的風險，這些錯誤可能會呈現個別資料點的資訊。若要自訂可用於特定協同合作的函數，請使用相同的基礎 AWS Glue 資料表建立其他設定的資料表。 + 在資料列層級值敏感的任何資料欄上新增彙總限制。這包括已設定資料表中的資料欄，這些資料欄也存在於其他協同合作成員的資料表和分析規則中，做為彙總限制條件。這也包含已設定資料表中不可查詢的資料欄，也就是已設定資料表中但不在分析規則中的資料欄。彙總限制有助於降低將查詢結果與協同合作以外的資料建立關聯的風險。 + 建立測試協同合作和分析規則，以測試使用指定分析規則建立的限制。 + 在設定的資料表上檢閱協作者設定的資料表和成員的分析規則，以檢查它們是否符合協作商定的內容。這有助於降低其他成員自行設計資料以執行未同意之查詢的風險。 + 在您設定分析規則後，檢閱在已設定資料表上啟用的範例查詢 （僅限主控台）。 **注意** 除了提供的範例查詢之外，也可以根據分析規則和其他協同合作成員資料表和分析規則進行其他查詢。 + 您可以在協同合作中新增或更新已設定資料表的分析規則。當您這麼做時，請檢閱已設定資料表相關聯的所有協同合作及其產生的影響。這有助於確保沒有任何協同合作使用過時的分析規則。 + 檢閱協同合作中執行的查詢，以檢查查詢是否符合協同合作商定的使用案例或查詢。（開啟查詢記錄功能時，**查詢可在查詢**日誌中使用。) 這有助於降低執行未同意分析之成員的風險，以及潛在攻擊，例如側邊頻道攻擊。 + 檢閱協同合作成員分析規則和查詢中使用的已設定資料表資料欄，以檢查它們是否符合協同合作中同意的內容。（開啟此功能時，查詢可在查詢日誌中使用。) 這有助於降低其他成員自行設計資料以進行未同意之查詢的風險。 # 的 Identity and Access Management AWS Clean Rooms AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行驗證* （登入） 和*授權* （具有許可） 來使用 AWS Clean Rooms 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security-iam-audience) + [使用身分驗證](#security-iam-auth-with-identities) + [使用政策管理存取權](#security-iam-managing-access) + [AWS Clean Rooms 如何使用 IAM](security_iam_service-with-iam.md) + [的身分型政策範例 AWS Clean Rooms](security_iam_id-based-policy-examples.md) + [AWS 的 受管政策 AWS Clean Rooms](security-iam-awsmanpol.md) + [對 AWS Clean Rooms 身分和存取進行故障診斷](security_iam_troubleshoot.md) + [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md) + [AWS Clean Rooms ML 的 IAM 行為](ml-behaviors.md) + [Clean Rooms ML 自訂模型的 IAM 行為](ml-behaviors-byom.md) ## 目標對象 如何使用 AWS Identity and Access Management (IAM) 會因您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Clean Rooms 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Clean Rooms 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS Clean Rooms](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者身分、IAM 使用者身分或擔任 IAM 角色來*驗證* （登入 AWS)。 您可以使用透過身分來源提供的憑證，以聯合身分 AWS 身分身分登入 。 AWS IAM Identity Center (IAM Identity Center) 使用者或您公司的單一登入身分驗證是聯合身分的範例。您以聯合身分登入時，您的管理員先前已設定使用 IAM 角色的聯合身分。當您使用聯合 AWS 身分存取 時，您會間接擔任角色。 根據您的使用者類型，您可以登入 AWS 管理主控台 或 AWS 存取入口網站。如需登入的詳細資訊 AWS，請參閱*AWS 登入 《 使用者指南*》中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) 。 如果您以 AWS 程式設計方式存取 ， AWS 會提供軟體開發套件 (SDK) 和命令列界面 (CLI)，以使用您的 憑證以密碼編譯方式簽署您的請求。如果您不使用 AWS 工具，則必須自行簽署請求。如需使用建議方法來自行簽署請求的詳細資訊，請參閱 *AWS 一般參考* 中的[第 4 版簽署程序](https://docs.aws.amazon.com//general/latest/gr/signature-version-4.html)。 無論您使用何種身分驗證方法，您可能都需要提供額外的安全性資訊。例如， AWS 建議您使用多重驗證 (MFA) 來提高帳戶的安全性。如需更多資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[多重要素驗證](https://docs.aws.amazon.com//singlesignon/latest/userguide/enable-mfa.html)和 *IAM 使用者指南*中的[在 AWS中使用多重要素驗證 (MFA)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_credentials_mfa.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個登入身分開始，該身分可完整存取帳戶中的所有 AWS 服務 和 資源。此身分稱為 AWS 帳戶 *根使用者*，使用建立帳戶時所使用的電子郵件地址和密碼即可登入並存取。強烈建議您不要以根使用者處理日常作業。保護您的根使用者憑證，並將其用來執行只能由根使用者執行的任務。如需需要您以根使用者身分登入的任務完整清單，請參閱 中的[AWS 帳戶根使用者 登入資料和 IAM 身分](https://docs.aws.amazon.com/general/latest/gr/root-vs-iam.html#aws_tasks-that-require-root)*AWS 一般參考*。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是來自您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 的使用者。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者，以 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策是 中的物件，當與身分或資源建立關聯時， AWS 會定義其許可。當委託人 （使用者、根使用者或角色工作階段） 發出請求時， 會 AWS 評估這些政策。政策中的許可決定是否允許或拒絕請求。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需 JSON 政策文件結構和內容的詳細資訊，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 每個 IAM 實體 (使用者或角色) 在開始時都沒有許可。根據預設，使用者無法執行任何作業，甚至也無法變更他們自己的密碼。若要授予使用者執行動作的許可，管理員必須將許可政策附加到使用者。或者，管理員可以將使用者新增到具備預定許可的群組。管理員將許可給予群組時，該群組中的所有使用者都會獲得那些許可。 IAM 政策定義該動作的許可，無論您使用何種方法來執行操作。例如，假設您有一個允許 `iam:GetRole` 動作的政策。具有該政策的使用者可以從 AWS 管理主控台 AWS CLI、 或 AWS API 取得角色資訊。 ### 身分型政策 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可進一步分類成*內嵌政策*或*受管政策*。內嵌政策會直接內嵌到單一使用者、群組或角色。受管政策則是獨立的政策，您可以將這些政策附加到 AWS 帳戶中的多個使用者、群組和角色。受管政策包括 AWS 受管政策和客戶受管政策。如需了解如何在受管政策及內嵌政策間選擇，請參閱 *IAM 使用者指南*中的[在受管政策和內嵌政策間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#choosing-managed-or-inline)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他較不常見的政策類型。這些政策類型可設定較常見政策類型授予您的最大許可。 + **許可界限** – 許可範圍是一種進階功能，可供您設定身分型政策能授予 IAM 實體 (IAM 使用者或角色) 的最大許可。您可以為實體設定許可界限。所產生的許可會是實體的身分型政策和其許可界限的交集。會在 `Principal` 欄位中指定使用者或角色的資源型政策則不會受到許可界限限制。所有這類政策中的明確拒絕都會覆寫該允許。如需許可界限的詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 SCPs)** – SCPs是 JSON 政策，可指定 中組織或組織單位 (OU) 的最大許可 AWS Organizations。 AWS Organizations 是一種用於分組和集中管理您企業擁有 AWS 帳戶 的多個 的服務。若您啟用組織中的所有功能，您可以將服務控制政策 (SCP) 套用到任何或所有帳戶。SCP 會限制成員帳戶中實體的許可，包括每個實體 AWS 帳戶根使用者。如需 Organizations 和 SCP 的詳細資訊，請參閱 *AWS Organizations 使用者指南*中的 [SCP 運作方式](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_about-scps.html)。 + **工作階段政策** – 工作階段政策是一種進階政策，您可以在透過編寫程式的方式建立角色或聯合使用者的暫時工作階段時，作為參數傳遞。所產生工作階段的許可會是使用者或角色的身分型政策和工作階段政策的交集。許可也可以來自資源型政策。所有這類政策中的明確拒絕都會覆寫該允許。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS Clean Rooms 如何使用 IAM 在您使用 IAM 管理對 的存取之前 AWS Clean Rooms，請先了解可使用哪些 IAM 功能 AWS Clean Rooms。 **您可以搭配 使用的 IAM 功能 AWS Clean Rooms** | IAM 功能 | AWS Clean Rooms 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 部分 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵 (服務特定)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 部分 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 是 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 否 | 若要全面了解 AWS Clean Rooms 和其他 如何與大多數 IAM 功能 AWS 服務 搭配使用，請參閱《[AWS 服務 IAM 使用者指南》中的 與 IAM 搭配使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## 的身分型政策 AWS Clean Rooms **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 的身分型政策範例 AWS Clean Rooms 若要檢視 AWS Clean Rooms 身分型政策的範例，請參閱 [的身分型政策範例 AWS Clean Rooms](security_iam_id-based-policy-examples.md)。 ## 中的資源型政策 AWS Clean Rooms **支援資源型政策：**部分 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 AWS Clean Rooms 此服務僅支援一種資源類型政策，稱為*已設定的外觀模型受管資源政策*，該政策會連接到已設定的外觀模型。此政策定義哪些委託人可以在已設定的外觀模型上執行動作。 若要了解如何將資源型政策連接至已設定的類似模型，請參閱 **[AWS Clean Rooms ML 的 IAM 行為](ml-behaviors.md)**。 ## 的政策動作 AWS Clean Rooms **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 若要查看 AWS Clean Rooms 動作清單，請參閱《*服務授權參考*》中的 [定義的動作 AWS Clean Rooms](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awscleanrooms.html)。 中的政策動作在動作之前 AWS Clean Rooms 使用以下字首。 ``` cleanrooms ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "cleanrooms:action1", "cleanrooms:action2" ] ``` 若要檢視 AWS Clean Rooms 身分型政策的範例，請參閱 [的身分型政策範例 AWS Clean Rooms](security_iam_id-based-policy-examples.md)。 ## 的政策資源 AWS Clean Rooms **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要查看 AWS Clean Rooms 資源類型及其 ARNs，請參閱*《服務授權參考*》中的 [定義的資源 AWS Clean Rooms](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS Clean Rooms定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)。 若要檢視 AWS Clean Rooms 身分型政策的範例，請參閱 [的身分型政策範例 AWS Clean Rooms](security_iam_id-based-policy-examples.md)。 ## 的政策條件索引鍵 AWS Clean Rooms **支援服務特定的政策條件索引鍵：**部分 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 若要了解 AWS Clean Rooms ML 如何使用政策條件金鑰，請參閱 **[AWS Clean Rooms ML 的 IAM 行為](ml-behaviors.md)**。 ## 中的 ACLs AWS Clean Rooms **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 ## ABAC 搭配 AWS Clean Rooms **支援 ABAC (政策中的標籤)：**是 屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 搭配 使用臨時登入資料 AWS Clean Rooms **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，並在您使用聯合或切換角色時自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 轉送 的存取工作階段 AWS Clean Rooms **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 請求 AWS 服務 向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## 的服務角色 AWS Clean Rooms **支援服務角色：**是 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 AWS Clean Rooms 功能。只有在 AWS Clean Rooms 提供指引時，才能編輯服務角色。 ## 的服務連結角色 AWS Clean Rooms **支援服務連結角色：**否 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 如需建立或管理服務連結角色的詳細資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。 # 的身分型政策範例 AWS Clean Rooms 根據預設，使用者和角色不具備建立或修改 AWS Clean Rooms 資源的權限。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。 如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 如需 定義的動作和資源類型的詳細資訊 AWS Clean Rooms，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [的動作、資源和條件索引鍵 AWS Clean Rooms](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 AWS Clean Rooms 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS Clean Rooms 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 AWS Clean Rooms 主控台 若要存取 AWS Clean Rooms 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 AWS Clean Rooms 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。 為了確保使用者和角色仍然可以使用 AWS Clean Rooms 主控台，請將 AWS Clean Rooms `FullAccess`或 `ReadOnly` AWS 受管政策連接到實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ## 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # AWS 的 受管政策 AWS Clean Rooms AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有主體身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策： `AWSCleanRoomsReadOnlyAccess` 您可以`AWSCleanRoomsReadOnlyAccess`連接到您的 IAM 主體。 此政策會授予協同`AWSCleanRoomsReadOnlyAccess`合作中資源和中繼資料的唯讀許可。 **許可詳細資訊** 此政策包含以下許可： + `CleanRoomsRead` - 允許主體唯讀存取 服務。 + `ConsoleDisplayTables` ：允許主體唯讀存取所需的 AWS Glue 中繼資料，以顯示主控台上基礎 AWS Glue 資料表的資料。 + `ConsoleLogSummaryQueryLogs` – 允許主體查看查詢日誌。 + `ConsoleLogSummaryObtainLogs` – 允許主體擷取日誌結果。 如需政策詳細資訊的 JSON 清單，請參閱《 *AWS 受管政策參考指南*》中的 [AWSCleanRoomsReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCleanRoomsReadOnlyAccess.html)。 ## AWS 受管政策： `AWSCleanRoomsFullAccess` 您可以將 `AWSCleanRoomsFullAccess`連接到您的 IAM 主體。 此政策會授予管理許可，以允許對 AWS Clean Rooms 協同合作中的資源和中繼資料進行完整存取 （讀取、寫入和更新）。此政策包含執行查詢的存取權。 **許可詳細資訊** 此政策包含以下許可： + `CleanRoomsAccess` – 授予對所有 資源的所有動作的完整存取權 AWS Clean Rooms。 + `PassServiceRole` – 准許將服務角色傳遞給其名稱中具有 "cleanrooms" 的服務 (`PassedToService` 條件）。 + `ListRolesToPickServiceRole` – 允許主體列出其所有角色，以便在使用 時選擇服務角色 AWS Clean Rooms。 + `GetRoleAndListRolePoliciesToInspectServiceRole` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `ListPoliciesToInspectServiceRolePolicy` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `GetPolicyToInspectServiceRolePolicy` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `ConsoleDisplayTables` ：允許主體唯讀存取所需的 AWS Glue 中繼資料，以顯示主控台上基礎 AWS Glue 資料表的資料。 + `ConsolePickQueryResultsBucketListAll` – 允許主體從寫入查詢結果的所有可用 S3 儲存貯體清單中選擇 Amazon S3 儲存貯體。 S3 + `SetQueryResultsBucket` – 允許主體選擇要寫入其查詢結果的 S3 儲存貯體。 + `ConsoleDisplayQueryResults` – 允許主體向客戶顯示查詢結果，從 S3 儲存貯體讀取。 + `WriteQueryResults` – 允許主體將查詢結果寫入客戶擁有的 S3 儲存貯體。 + `EstablishLogDeliveries` – 允許主體將查詢日誌交付到客戶的 Amazon CloudWatch Logs 日誌群組。 + `SetupLogGroupsDescribe` – 允許主體使用 Amazon CloudWatch Logs 日誌群組建立程序。 + `SetupLogGroupsCreate` – 允許主體建立 Amazon CloudWatch Logs 日誌群組。 + `SetupLogGroupsResourcePolicy` – 允許主體在 Amazon CloudWatch Logs 日誌群組上設定資源政策。 + `ConsoleLogSummaryQueryLogs` – 允許主體查看查詢日誌。 + `ConsoleLogSummaryObtainLogs` – 允許主體擷取日誌結果。 如需政策詳細資訊的 JSON 清單，請參閱《 *AWS 受管政策參考指南*》中的 [AWSCleanRoomsFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCleanRoomsFullAccess.html)。 ## AWS 受管政策： `AWSCleanRoomsFullAccessNoQuerying` 您可以`AWSCleanRoomsFullAccessNoQuerying`連接到您的 IAM principals。 此政策會授予管理許可，以允許對 AWS Clean Rooms 協同合作中的資源和中繼資料進行完整存取 （讀取、寫入和更新）。此政策排除執行查詢的存取權。 **許可詳細資訊** 此政策包含以下許可： + `CleanRoomsAccess` – 授予所有 資源的所有動作的完整存取權 AWS Clean Rooms，但協同合作中查詢除外。 + `CleanRoomsNoQuerying` – 明確拒絕 `StartProtectedQuery`和 `UpdateProtectedQuery`以防止查詢。 + `PassServiceRole` – 准許將服務角色傳遞給其名稱中具有 "cleanrooms" 的服務 (`PassedToService` 條件）。 + `ListRolesToPickServiceRole` – 允許主體列出其所有角色，以便在使用 時選擇服務角色 AWS Clean Rooms。 + `GetRoleAndListRolePoliciesToInspectServiceRole` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `ListPoliciesToInspectServiceRolePolicy` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `GetPolicyToInspectServiceRolePolicy` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `ConsoleDisplayTables` ：允許主體唯讀存取所需的 AWS Glue 中繼資料，以顯示主控台上基礎 AWS Glue 資料表的資料。 + `EstablishLogDeliveries` – 允許主體將查詢日誌交付到客戶的 Amazon CloudWatch Logs 日誌群組。 + `SetupLogGroupsDescribe` – 允許主體使用 Amazon CloudWatch Logs 日誌群組建立程序。 + `SetupLogGroupsCreate` – 允許主體建立 Amazon CloudWatch Logs 日誌群組。 + `SetupLogGroupsResourcePolicy` – 允許主體在 Amazon CloudWatch Logs 日誌群組上設定資源政策。 + `ConsoleLogSummaryQueryLogs` – 允許主體查看查詢日誌。 + `ConsoleLogSummaryObtainLogs` – 允許主體擷取日誌結果。 + `cleanrooms` – 管理服務內的 AWS Clean Rooms 協同合作、分析範本、設定的資料表、成員資格和相關資源。執行各種操作，例如建立、更新、刪除、列出和擷取這些資源的相關資訊。 + `iam` – 將名稱包含 "`cleanrooms`" 的服務角色傳遞給 AWS Clean Rooms 服務。列出角色、政策，並檢查與服務相關的 AWS Clean Rooms 服務角色和政策。 + `glue` – 從中擷取資料庫、資料表、分割區和結構描述的相關資訊 AWS Glue。這是 AWS Clean Rooms 服務顯示基礎資料來源並與之互動的必要項目。 + `logs` – 管理 CloudWatch Logs 的日誌交付、日誌群組和資源政策。查詢和擷取 AWS Clean Rooms 與服務相關的日誌。這些許可對於 服務內的監控、稽核和故障診斷目的而言是必要的。 此政策也會明確拒絕動作`cleanrooms:UpdateProtectedQuery`，`cleanrooms:StartProtectedQuery`並防止使用者直接執行或更新受保護的 AWS Clean Rooms 查詢，這應該透過受控制的機制完成。 如需政策詳細資訊的 JSON 清單，請參閱《 *AWS 受管政策參考指南*》中的 [AWSCleanRoomsFullAccessNoQuerying](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCleanRoomsFullAccessNoQuerying.html)。 ## AWS 受管政策： `AWSCleanRoomsMLReadOnlyAccess` 您可以`AWSCleanRoomsMLReadOnlyAccess`連接到 IAM 主體。 此政策授予協同`AWSCleanRoomsMLReadOnlyAccess`合作中資源和中繼資料的唯讀許可。 此政策包含以下許可： + `CleanRoomsConsoleNavigation` – 授予檢視 AWS Clean Rooms 主控台畫面的存取權。 + `CleanRoomsMLRead` – 允許主體唯讀存取 Clean Rooms ML 服務。 + `PassCleanRoomsResources` – 授予傳遞指定 AWS Clean Rooms 資源的存取權。 如需政策詳細資訊的 JSON 清單，請參閱《 *AWS 受管政策參考指南*》中的 [AWSCleanRoomsMLReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCleanRoomsMLReadOnlyAccess.html)。 ## AWS 受管政策： `AWSCleanRoomsMLFullAccess` 您可以將 `AWSCleanRoomsMLFullAcces`連接到您的 IAM 主體。此政策授予管理許可，允許完整存取 （讀取、寫入和更新） Clean Rooms ML 所需的資源和中繼資料。 **許可詳細資訊** 此政策包含以下許可： + `CleanRoomsMLFullAccess` – 授予所有 Clean Rooms ML 動作的存取權。 + `PassServiceRole` – 准許將服務角色傳遞給其名稱中具有 "cleanrooms-ml" 的服務 (`PassedToService` 條件）。 + `CleanRoomsConsoleNavigation` – 授予檢視 AWS Clean Rooms 主控台畫面的存取權。 + `CollaborationMembershipCheck` – 當您在協同合作中開始產生受眾 （看起來像是客群） 任務時，Clean Rooms ML 服務會呼叫 `ListMembers` 來檢查協同合作是否有效、發起人是作用中成員，而設定的受眾模型擁有者是作用中成員。此許可一律為必要；只有主控台使用者才需要主控台導覽 SID。 + `PassCleanRoomsResources` – 授予傳遞指定 AWS Clean Rooms 資源的存取權。 + `AssociateModels` – 允許主體將 Clean Rooms ML 模型與您的協同合作建立關聯。 + `TagAssociations` – 允許主體將標籤新增至類似模型與協同合作之間的關聯。 + `ListRolesToPickServiceRole` – 允許主體列出其所有角色，以便在使用 時選擇服務角色 AWS Clean Rooms。 + `GetRoleAndListRolePoliciesToInspectServiceRole` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `ListPoliciesToInspectServiceRolePolicy` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `GetPolicyToInspectServiceRolePolicy` – 允許主體在 IAM 中查看服務角色和對應的政策。 + `ConsoleDisplayTables` ：允許主體唯讀存取所需的 AWS Glue 中繼資料，以顯示主控台上基礎 AWS Glue 資料表的資料。 + `ConsolePickOutputBucket` – 允許主體為設定的受眾模型輸出選取 Amazon S3 儲存貯體。 + `ConsolePickS3Location` – 允許主體選取儲存貯體中已設定對象模型輸出的位置。 + `ConsoleDescribeECRRepositories` – 允許主體描述 Amazon ECR 儲存庫和映像。 如需政策詳細資訊的 JSON 清單，請參閱《 *AWS 受管政策參考指南*》中的 [AWSCleanRoomsMLFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCleanRoomsMLFullAccess.html)。 ## AWS Clean Rooms AWS 受管政策的更新 檢視自此服務開始追蹤這些變更 AWS Clean Rooms 以來， AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Clean Rooms 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSCleanRoomsFullAccessNoQuerying](#security-iam-awsmanpol-fullaccess-noquery)– 更新現有政策 | 已將 cleanrooms：UpdateConfiguredTableAllowedColumns 和 cleanrooms：UpdateConfiguredTableReference 新增至 CleanRoomsAccess。 | 2025 年 7 月 29 日 | | [AWSCleanRoomsMLReadOnlyAccess](#ml-read-only) – 更新現有政策 | 已新增 PassCleanRoomsResources 到 AWSCleanRoomsMLReadOnlyAccess。新增了 PassCleanRoomsResources 和 ConsoleDescribeECRRepositories 至 AWSCleanRoomsMLFullAccess。 | 2025 年 1 月 10 日 | | [AWSCleanRoomsFullAccessNoQuerying](#security-iam-awsmanpol-fullaccess-noquery) – 更新現有政策 | 已新增 cleanrooms:BatchGetSchemaAnalysisRule 到 CleanRoomsAccess。 | 2024 年 5 月 13 日 | | [AWSCleanRoomsFullAccess](#security-iam-awsmanpol-fullaccess) – 更新現有政策 | 已在此政策中將 SetQueryResultsBucket中的陳述式 ID 更新AWSCleanRoomsFullAccessConsolePickQueryResultsBucket為 ，以更好地代表許可，因為需要使用和不使用 主控台來設定查詢結果儲存貯體。 | 2024 年 3 月 21 日 | | [AWSCleanRoomsMLReadOnlyAccess](#ml-read-only) – 新政策 [AWSCleanRoomsMLFullAccess](#ml-full-access) – 新政策 | 新增 AWSCleanRoomsMLReadOnlyAccess和 AWSCleanRoomsMLFullAccess以支援 AWS Clean Rooms ML。 | 2023 年 11 月 29 日 | | [AWSCleanRoomsFullAccessNoQuerying](#security-iam-awsmanpol-fullaccess-noquery) – 更新現有政策 | 新增 cleanrooms:CreateAnalysisTemplate、cleanrooms:GetAnalysisTemplate、cleanrooms:UpdateAnalysisTemplate cleanrooms:DeleteAnalysisTemplate、cleanrooms:ListAnalysisTemplates、cleanrooms:BatchGetCollaborationAnalysisTemplate、 和 cleanrooms:ListCollaborationAnalysisTemplates至 cleanrooms:GetCollaborationAnalysisTemplateCleanRoomsAccess，以啟用新的分析範本功能。 | 2023 年 7 月 31 日 | | [AWSCleanRoomsFullAccessNoQuerying](#security-iam-awsmanpol-fullaccess-noquery) – 更新現有政策 | 新增 cleanrooms:ListTagsForResource、 cleanrooms:UntagResource和 cleanrooms:TagResource至 CleanRoomsAccess 以啟用資源標記。 | 2023 年 3 月 21 日 | | AWS Clean Rooms 開始追蹤變更 | AWS Clean Rooms 已開始追蹤其 AWS 受管政策的變更。 | 2023 年 1 月 12 日 | # 對 AWS Clean Rooms 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 AWS Clean Rooms 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 中執行動作 AWS Clean Rooms](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 以外的人員 AWS 帳戶 存取我的 AWS Clean Rooms 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 中執行動作 AWS Clean Rooms 如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。 下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `cleanrooms:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cleanrooms:GetWidget on resource: my-example-widget ``` 在此情況下，必須更新 Mateo 政策，允許他使用 `cleanrooms:GetWidget` 動作存取 `my-example-widget` 資源。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 AWS Clean Rooms。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 AWS Clean Rooms中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 AWS Clean Rooms 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。 如需進一步了解，請參閱以下內容： + 若要了解 是否 AWS Clean Rooms 支援這些功能，請參閱 [AWS Clean Rooms 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 中為 IAM 使用者提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱 *IAM 使用者指南*中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 若要了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱 *IAM 使用者指南*中的 [IAM 角色與資源型政策的差異](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html)。 # 預防跨服務混淆代理人 混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。 我們建議在資源政策中使用[https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)全域條件內容索引鍵，以限制將另一個服務提供給資源的許可 AWS Clean Rooms。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。 防範混淆代理人問題的最有效方法是使用 `aws:SourceArn` 全域條件內容索引鍵，以及資源的完整 ARN。在 中 AWS Clean Rooms，您也必須將 與 `sts:ExternalId` 條件索引鍵進行比較。 的值`aws:SourceArn`必須設定為擔任角色成員資格的 ARN。 下列範例示範如何在 中使用`aws:SourceArn` AWS Clean Rooms全域條件內容索引鍵，以防止混淆代理人問題。 **注意** 此範例政策適用於 服務角色的信任政策，該角色 AWS Clean Rooms 使用 來存取已設定資料表的資料和中繼資料。 ** 的值需要設定為查詢執行器的成員 ID。 協同合作的所有成員都可以檢視設定的資料表中繼資料，因此每個成員資格 ARN 都必須包含在成員資格 ARNs清單中。 **注意** 透過 AWS Clean Rooms 主控台建立服務角色時，協作的所有目前成員預設都會包含在混淆代理人條件中。 如果您要將新成員新增至已設定與其相關聯的資料表的協同合作，請務必使用新成員的成員 ARN 更新服務角色的混淆代理人條件。 如果您在新增新成員後未更新服務角色的混淆代理人條件，則該新成員將無法存取使用該角色擷取 AWS Clean Rooms 的 中的資訊。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowIfExternalIdMatches", "Effect": "Allow", "Principal": { "Service": "cleanrooms.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringLike": { "sts:ExternalId": "arn:aws:*:us-east-1:*:dbuser:*/*" } } }, { "Sid": "AllowIfSourceArnMatches", "Effect": "Allow", "Principal": { "Service": "cleanrooms.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ForAnyValue:ArnEquals": { "aws:SourceArn": [ "arn:aws:cleanrooms:us-east-1:111122223333:membership/", "arn:aws:cleanrooms:us-east-1:444455556666:membership/" ] } } } ] } ``` ------ # AWS Clean Rooms ML 的 IAM 行為 ## 跨帳戶任務 Clean Rooms ML 允許一個使用者在其帳戶中建立的特定資源由另一個使用者 AWS 帳戶 安全存取 AWS 帳戶。當 A AWS 帳戶 中的用戶端`StartAudienceGenerationJob`呼叫 AWS 帳戶 B 擁有`ConfiguredAudienceModel`的資源時，Clean Rooms ML 會為任務建立兩個 ARNs。A 中的一個 ARN， AWS 帳戶 B AWS 帳戶 中的另一個 ARN。除了 ARNs 是相同的 AWS 帳戶。 Clean Rooms ML 會為任務建立兩個 ARNs，以確保兩個帳戶都可以將自己的 IAM 政策套用至任務。例如，兩個帳戶都可以使用標籤型存取控制，並從其 AWS 組織套用政策。任務處理來自兩個帳戶的資料，因此兩個帳戶都可以刪除任務及其相關聯的資料。兩個帳戶都無法封鎖其他帳戶刪除任務。 只有一個任務執行，兩個帳戶在呼叫 時都可以看到任務`ListAudienceGenerationJobs`。兩個帳戶都可以使用 ARN `Get`搭配自己的 AWS 帳戶 ID 來呼叫任務上的 `Delete`、 和 `Export` APIs。 使用 ARN 搭配其他 AWS 帳戶 ID 時，兩者都 AWS 帳戶 無法存取任務。 任務的名稱在 中必須是唯一的 AWS 帳戶。 AWS 帳戶 B 中的名稱為 *\$1accountA-\$1name*。在 AWS 帳戶 B 中檢視任務時， AWS 帳戶 A 所選擇的名稱字 AWS 帳戶 首為 A。 為了`StartAudienceGenerationJob`讓跨帳戶成功， AWS 帳戶 B 必須使用類似下列範例的資源政策，在 AWS 帳戶 B 中的新任務和 AWS 帳戶 B `ConfiguredAudienceModel`中的 上允許該動作： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "Clean-Rooms-CAMA-ID", "Effect": "Allow", "Principal": { "AWS": [ "111122223333" ] }, "Action": [ "cleanrooms-ml:StartAudienceGenerationJob" ], "Resource": [ "arn:aws:cleanrooms-ml:us-east-1:444455556666:configured-audience-model/id", "arn:aws:cleanrooms-ml:us-east-1:444455556666:audience-generation-job/*" ], "Condition":{"StringEquals":{"cleanrooms-ml:CollaborationId":"UUID"}} } ] } ``` ------ **注意** 此 AWS Clean Rooms ML 資源政策參考兩個不同的 AWS 帳戶 IDs以支援跨帳戶受眾產生： **111122223333** - 這是包含授權開始產生受眾任務之委託人 （使用者、角色或服務） 的帳戶。此帳戶會啟動 ML 處理工作流程。 **444455556666** - 這是擁有 AWS Clean Rooms ML 資源的帳戶 （已設定的受眾模型和受眾產生任務）。此帳戶託管 ML 模型並管理任務執行。 **其他組態備註：** **陳述式 ID (Sid)**：`CAMA-ID`將 AWS Clean Rooms 取代為您實際的對象模型應用程式 (CAMA) 識別符，讓政策陳述式易於識別。 **資源 IDs**：將 *ID* 取代為您設定的對象模型的實際 ID，並將 *UUID* 取代為您的特定協同合作 ID。 **條件**： `cleanrooms-ml:CollaborationId`條件可確保對象產生任務只能在指定的 AWS Clean Rooms 協同合作內容中啟動，提供額外的安全界限。 此跨帳戶組態可讓一個組織管理 ML 模型和基礎設施，同時允許授權合作夥伴在其協作協議範圍內啟動受眾產生程序的案例。 如果您使用 [AWS Clean Rooms ML API](https://docs.aws.amazon.com/cleanrooms-ml/latest/APIReference/Welcome.html) 來建立`manageResourcePolicies`設定為 true 的已設定外觀模型， 會為您 AWS Clean Rooms 建立此政策。 此外， AWS 帳戶 A 中呼叫者的身分政策需要 的`StartAudienceGenerationJob`許可`arn:aws:cleanrooms-ml:us-west-1:AccountA:audience-generation-job/*`。因此，有三種適用於動作 的 IAM 資源`StartAudienceGenerationJob`： AWS 帳戶 A 任務、 AWS 帳戶 B 任務和 AWS 帳戶 B `ConfiguredAudienceModel`。 **警告** AWS 帳戶 啟動任務的 會收到有關任務的 AWS CloudTrail 稽核日誌事件。 AWS 帳戶 擁有 的 `ConfiguredAudienceModel`不會收到 AWS CloudTrail 稽核日誌事件。 ## 標記任務 當您設定 `childResourceTagOnCreatePolicy=FROM_PARENT_RESOURCE` 參數 時`CreateConfiguredAudienceModel`，您帳戶中從該已設定的外觀模型建立的所有類似區段產生任務，預設會具有與已設定的外觀模型相同的標籤。設定的類似模型是父系，而類似區段的產生任務是子系。 如果您要在自己的帳戶中建立任務，任務的請求標籤會覆寫父標籤。其他帳戶建立的任務絕不會在您的帳戶中建立標籤。如果您設定 ，`childResourceTagOnCreatePolicy=FROM_PARENT_RESOURCE`而另一個帳戶建立任務，則有兩個任務複本。您帳戶中的複本具有父資源標籤，而任務提交者帳戶中的複本具有來自請求的標籤。 ## 驗證協作者 將許可授予 AWS Clean Rooms 協同合作的其他成員時，資源政策應包含條件索引鍵 `cleanrooms-ml:CollaborationId`。這會強制執行 `collaborationId` 參數包含在 [StartAudienceGenerationJob](https://docs.aws.amazon.com/cleanrooms-ml/latest/APIReference/API_StartAudienceGenerationJob.html) 請求中。當 `collaborationId` 參數包含在請求中時，Clean Rooms ML 會驗證協同合作是否存在、任務提交者是協同合作的作用中成員，而已設定的外觀模型擁有者是協同合作的作用中成員。 當 AWS Clean Rooms 管理您設定的外觀模型資源政策 ( `manageResourcePolicies` 參數位於 [CreateConfiguredAudienceModelAssociation 請求](https://docs.aws.amazon.com/clean-rooms/latest/apireference/API_CreateConfiguredAudienceModelAssociation.html)`TRUE`中） 時，會在資源政策中設定此條件金鑰。因此，您必須在 [StartAudienceGenerationJob](https://docs.aws.amazon.com/cleanrooms-ml/latest/APIReference/API_StartAudienceGenerationJob.html) `collaborationId`中指定 。 ## 跨帳戶存取權 `StartAudienceGenerationJob` 只能跨帳戶呼叫 。所有其他 Clean Rooms ML APIs只能與您自己的帳戶中的資源搭配使用。這可確保您的訓練資料、類似模型組態和其他資訊保持私有。 Clean Rooms ML 永遠不會顯示 Amazon S3 或跨帳戶 AWS Glue 的位置。訓練資料位置、已設定的類似模型輸出位置，以及類似區段產生任務種子位置絕不會在帳戶間顯示。除非在協同合作中啟用查詢記錄，否則種子資料是否來自 SQL 查詢，且查詢本身不會在帳戶之間顯示。如果您是另一個帳戶提交的`Get`對象產生任務，服務不會顯示種子位置。 # Clean Rooms ML 自訂模型的 IAM 行為 ## 跨帳戶任務 Clean Rooms ML 允許與某個 建立的協同合作相關聯的特定資源， AWS 帳戶 由另一個 在其帳戶中安全地存取 AWS 帳戶。具有成員執行查詢能力的 AWS 帳戶 A 中的用戶端可以在協同合作中另一個成員擁有`ConfiguredModelAlgorithmAssociation`的資源`StartTrainedModelInferenceJob`上呼叫 `CreateTrainedModel``CreateMLInputChannel`、 或 ，前提是使用 建立的自訂分析規則`ConfiguredModelAlgorithmAssociation`允許 `CreateConfiguredTableAnalysisRule`。 此外，協同合作的任何作用中成員都可以透過 `DeleteTrainedModelOutput`和 `DeleteMLInputChannelData` APIs 刪除與訓練模型或 ML 輸入通道相關聯的資料。 ## 跨帳戶存取權 Clean Rooms ML 允許使用者擷取其他帳戶透過 `GetCollaboration`和 `ListCollaboration` APIs中繼資料。Clean Rooms ML 不會向其他帳戶顯示 KMS 金鑰 ARNs、標籤、環境變數或超參數 （適用於 `TrainedModel`動作）。 ## 成員資格和協同合作存取權 在 Clean Rooms ML 自訂模型的內容中存取成員資格和協同合作資源時，使用者的身分政策需要動作 `cleanrooms:PassMembership`、 `cleanrooms:PassCollaboration`或兩者的許可。接受的所有 APIs`membershipId`都需要 `cleanrooms:PassMembership`許可，接受的所有 APIs`collaborationId`都需要 `cleanrooms:PassCollaboration`許可。提供可在成員 ID 內容`createTrainedModel`中呼叫之角色的身分政策範例，可在協作 ID 內容`GetCollaborationTrainedModel`中呼叫。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowCleanroomsMLActions", "Effect": "Allow", "Action": [ "cleanrooms:PassCollaboration", "cleanrooms:PassMembership" ], "Resource": [ "*" ] }, { "Sid": "AllowMembershipAccess", "Effect": "Allow", "Action": [ "cleanrooms:GetMembership" ], "Resource": [ "arn:aws:cleanrooms:us-east-1:111122223333:membership/memberId" ] }, { "Sid": "AllowCollaborationAccess", "Effect": "Allow", "Action": [ "cleanrooms:GetCollaboration" ], "Resource": [ "arn:aws:cleanrooms:us-east-1:111122223333:collaboration/collaborationId" ] } ] } ``` ------ # 的合規驗證 AWS Clean Rooms 若要了解 是否 AWS 服務 在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # 中的彈性 AWS Clean Rooms AWS 全球基礎設施是以 AWS 區域和可用區域為基礎建置。區域提供多個分開且隔離的實際可用區域，並以低延遲、高輸送量和高度備援網路連線相互連結。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # 中的基礎設施安全 AWS Clean Rooms 作為受管服務， AWS Clean Rooms 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及 如何 AWS 保護基礎設施的相關資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫， AWS Clean Rooms 透過網路存取 。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 ## 網路安全 在查詢執行期間從 S3 儲存貯體 AWS Clean Rooms 讀取時， 和 Amazon S3 之間的 AWS Clean Rooms 流量會透過 AWS 私有網路安全地路由。傳輸中的流量是使用 Amazon Signature 第 4 版通訊協定 (SIGv4) 來簽署，並使用 HTTPS 來加密。此流量是根據您已為設定資料表設定的 IAM 服務角色進行授權。 您可以透過 端點以程式設計方式連線至 AWS Clean Rooms 。如需服務端點的清單，請參閱 中的[AWS Clean Rooms 端點和配額](https://docs.aws.amazon.com/general/latest/gr/clean-rooms.html#clean-rooms_region)*AWS 一般參考*。 所有服務端點都僅限 HTTPS。您可以使用 Amazon Virtual Private Cloud (VPC) 端點，以防您想要 AWS Clean Rooms 從 VPC 連線至 ，而且不想有網際網路連線。如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[透過 存取 AWS 服務 AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html)。 您可以將 IAM 政策指派給使用 [aws：SourceVpce 內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcevpce)的 IAM 主體，以限制您的 IAM 主體只能 AWS Clean Rooms 透過 VPC 端點呼叫 ，而不是透過網際網路呼叫 。 # 使用界面端點 (AWS PrivateLink) 存取 AWS Clean Rooms 或 AWS Clean Rooms ML 您可以使用 在虛擬私有雲端 (VPC) 和 AWS Clean Rooms 或 AWS Clean Rooms ML 之間 AWS PrivateLink 建立私有連線。您可以像在 VPC 中一樣存取 AWS Clean Rooms 或 AWS Clean Rooms ML，無需使用網際網路閘道、NAT 裝置、VPN 連接或 Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址即可存取 AWS Clean Rooms。 您可以建立由 AWS PrivateLink提供支援的*介面端點*來建立此私有連線。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是請求者管理的網路介面，可作為目的地為 AWS Clean Rooms之流量的進入點。 如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[透過 AWS PrivateLink存取 AWS 服務](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html)」。 ## 的考量事項 AWS Clean Rooms 在您設定介面端點之前 AWS Clean Rooms，請檢閱《 *AWS PrivateLink 指南*》中的[考量事項](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。 AWS Clean Rooms 和 AWS Clean Rooms ML 支援透過界面端點呼叫其所有 API 動作。 AWS Clean Rooms 或 AWS Clean Rooms ML 不支援 VPC 端點政策。根據預設，允許透過介面端點完整存取 AWS Clean Rooms 和 AWS Clean Rooms ML。或者，您可以將安全群組與端點網路介面建立關聯，以控制透過介面端點傳入 AWS Clean Rooms 或 AWS Clean Rooms ML 的流量。 ## 建立 的介面端點 AWS Clean Rooms 您可以使用 Amazon VPC 主控台 AWS Clean Rooms 或 AWS Command Line Interface () 為 或 AWS Clean Rooms ML 建立介面端點AWS CLI。如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)」。 AWS Clean Rooms 使用下列服務名稱建立 的介面端點。 ``` com.amazonaws.region.cleanrooms ``` 使用下列服務名稱建立 AWS Clean Rooms ML 的介面端點。 ``` com.amazonaws.region.cleanrooms-ml ``` 如果您為介面端點啟用私有 DNS，您可以使用 AWS Clean Rooms 其預設的區域 DNS 名稱向 提出 API 請求。例如 `cleanrooms-ml.us-east-1.amazonaws.com`。