本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

限制 AWS 帳戶中的客服人員存取

AWS DevOps Agent 使用 IAM 角色在事件調查和預防性評估期間探索和描述 AWS 資源。您可以透過設定連接到這些角色的 IAM 政策來控制代理程式的存取層級。應用程式拓撲不會顯示代理程式可存取的所有內容，IAM 政策是真正限制代理程式可存取 AWS 的服務 APIs和資源的唯一方法。

了解 AWS 適用於 DevOps 代理程式的 IAM 角色

AWS DevOps Agent 使用 IAM 角色來存取兩種帳戶中的資源：

對於任一類型的帳戶，您可以限制代理程式可以存取 AWS 的服務、限制對這些服務中特定資源的存取，以及控制代理程式可以操作的區域。

了解許可護欄

AWS DevOps 代理程式會在存取您的 AWS 資源時，將許可護欄套用至其建立的每個工作階段。此護欄充當上限 — 它定義了代理程式可以使用的最大許可集，無論您在 IAM 角色上授予哪些許可。

運作方式

當代理程式擔任您的 IAM 角色時，它會傳遞工作階段政策，以限制該工作階段的有效許可。有效許可是以下項目的交集：

兩個圖層中都必須存在許可才能生效。如果您將許可新增至未包含在護欄中的角色，則代理程式無法使用它。

預設許可

AIDevOpsAgentAccessPolicy 受管政策提供代理程式用於調查的預設唯讀許可集。這些許可包含在護欄中，因此它們在沒有其他組態的情況下運作。

將許可延伸到預設值之外

AWS DevOps 代理程式支援一組精選的額外許可，這些許可超出預設的受管政策。這些許可包含在護欄中，但預設不會啟用。若要使用它們，請將特定許可新增至您的角色，做為內嵌政策。

例如，若要允許代理程式在調查期間從 S3 儲存貯體讀取物件，請將內嵌政策新增至您的角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-application-bucket",
        "arn:aws:s3:::my-application-bucket/*"
      ]
    }
  ]
}

由於 s3:GetObject和 s3:ListBucket 包含在護欄中，此內嵌政策會生效。您可以將 範圍Resource限定為特定儲存貯體，以遵循最低權限原則。

支援的其他許可

下列許可包含在護欄中，可以透過將它們新增至您的角色做為內嵌政策來啟用。這些預設不會授予 - 您必須明確選擇加入。

護欄封鎖的許可

如果您將許可新增至不在護欄中的角色，則代理程式無法使用它。這是根據設計 – 護欄可防止代理程式執行超出其預期範圍的動作，即使角色以其他方式允許。

例如， s3:PutObject、 ec2:TerminateInstances或 等寫入操作dynamodb:DeleteItem不包含在護欄中。即使您的角色授予這些許可，代理程式也無法執行這些動作。

摘要

此模型可確保代理程式在明確定義的安全界限內運作，同時讓您靈活地擴展特定使用案例的功能。

選擇您的資源界限

限制資源存取時，您需要包含足夠的許可，讓代理程式成功調查應用程式事件。其中包含：

支援基礎設施可能包括：

如果您限制存取太窄，代理程式可能無法識別源自於您定義界限外之支援基礎設施的根本原因。

限制服務存取

您可以修改連接至客服人員角色的 IAM 政策，以限制客服人員可存取 AWS 的服務。建立自訂政策時，請遵循下列最佳實務：

限制為特定 服務的政策範例：

json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:GetMetricData",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:DescribeAlarms",
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "ec2:DescribeInstances",
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

限制資源存取

若要將代理程式限制為服務中的特定資源，請在 IAM 政策中使用資源層級許可。這可讓您僅將存取權授予符合特定模式的資源。

使用資源 ARN 模式：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "arn:aws:lambda:*:*:function:production-*"
    }
  ]
}

此範例限制代理程式只能存取名稱開頭為 "production-" 的 Lambda 函數。

使用標籤型限制：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "production"
        }
      }
    }
  ]
}

此範例限制代理程式只能存取以 標記的 EC2 執行個體Environment=production。

限制區域存取

若要限制代理程式可存取 AWS 的區域，請在 IAM 政策中使用 aws:RequestedRegion條件索引鍵：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "lambda:Get*",
        "cloudwatch:Get*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": [
            "us-east-1",
            "us-west-2"
          ]
        }
      }
    }
  ]
}

此範例限制代理程式只能存取 us-east-1 和 us-west-2 區域中的資源。

建立自訂 IAM 政策

當您建立客服人員空間或新增次要帳戶時，您可以選擇使用政策範本建立自訂 IAM 角色。這可讓您實作最低權限原則。

建立客服人員空間時

從 AWS 管理主控台中的 DevOps Agent 主控台...

編輯客服人員空間時

從 AWS 管理主控台中的 DevOps Agent 主控台...

自訂政策最佳實務