Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Gestione delle identità e degli accessi in AWS Gateway di transito

AWS utilizza credenziali di sicurezza per identificarti e concederti l'accesso al tuo AWS risorse. È possibile utilizzare le funzionalità di AWS Identity and Access Management (IAM) per consentire ad altri utenti, servizi e applicazioni di utilizzare il tuo AWS risorse complete o limitate, senza condividere le credenziali di sicurezza.

Per impostazione predefinita, gli utenti IAM non sono autorizzati a creare, visualizzare o modificare AWS risorse. Per consentire a un utente di accedere a risorse come un gateway di transito e di eseguire attività, è necessario creare una policy IAM che conceda all'utente l'autorizzazione per utilizzare le risorse specifiche e le operazioni API di cui ha bisogno, quindi collegare la policy al gruppo a cui appartiene tale utente. Quando si collega una policy a un utente o a un gruppo di utenti, viene concessa o rifiutata agli utenti l'autorizzazione per l'esecuzione delle attività specificate sulle risorse specificate.

Policy di esempio per la gestione dei gateway di transito

Di seguito sono riportate le policy IAM di esempio per l'utilizzo dei gateway di transito.

Creazione di un gateway di transito con i tag necessari

L'esempio seguente consente agli utenti di creare gateway di transito. La chiave di condizione aws:RequestTag richiede agli utenti di contrassegnare il gateway di transito con il tag stack=prod. La chiave di condizione aws:TagKeys utilizza il modificatore ForAllValues per indicare che soltanto la chiave stack è consentita nella richiesta (non è possibile specificare altri tag). Se gli utenti non passano questo tag specifico quando creano il gateway di transito o se non specificano affatto i tag, la richiesta non riesce.

La seconda istruzione utilizza la chiave di condizione ec2:CreateAction per consentire agli utenti di creare i tag soltanto nel contesto di CreateTransitGateway.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateTaggedTGWs",
            "Effect": "Allow",
            "Action": "ec2:CreateTransitGateway",
            "Resource": "arn:aws:ec2:us-east-1:123456789012:transit-gateway/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/stack": "prod"
                },
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "stack"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:us-east-1:123456789012:transit-gateway/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateTransitGateway"
                }
            }
        }
    ]
}

Utilizzo delle tabelle di routing del gateway di transito

L'esempio seguente consente agli utenti di creare ed eliminare tabelle di routing del gateway di transito solo per un gateway di transito specifico (tgw-11223344556677889). Gli utenti possono inoltre creare e sostituire route in qualsiasi tabella di routing del gateway di transito, ma solo per gli allegati con il tag network=new-york-office.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteTransitGatewayRouteTable",
                "ec2:CreateTransitGatewayRouteTable"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-1:123456789012:transit-gateway/tgw-11223344556677889",
                "arn:aws:ec2:*:*:transit-gateway-route-table/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGatewayRoute",
                "ec2:ReplaceTransitGatewayRoute"
            ],
            "Resource": "arn:aws:ec2:*:*:transit-gateway-attachment/*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/network": "new-york-office"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGatewayRoute",
                "ec2:ReplaceTransitGatewayRoute"
            ],
            "Resource": "arn:aws:ec2:*:*:transit-gateway-route-table/*"
        }
    ]
}

Autorizzazioni per NAT 1:1

Solo il proprietario del gateway di transito può visualizzare o modificare la configurazione NAT di un allegato. Questo vale per tutti gli allegati sul gateway di transito, compresi gli allegati di proprietà di altri account tramite AWS RAM condivisione. I proprietari degli allegati non possono visualizzare o modificare la configurazione NAT e il proprietario del gateway di transito non può delegare loro questa operazione. La tabella seguente mostra il risultato per ogni chiamante.

La tabella seguente elenca le azioni IAM per il NAT 1:1.

Entrambe le azioni supportano le autorizzazioni a livello di risorsa sull'allegato del gateway di transito. Per limitare gli allegati che un mandante può gestire, specifica l'ARN dell'allegato o utilizza condizioni basate sui tag.

L'esempio seguente consente la gestione NAT solo sugli allegati contrassegnati environment=prod.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:ModifyTransitGatewayAttachmentNatConfiguration",
        "ec2:GetTransitGatewayAttachmentNatConfiguration"
      ],
      "Resource": "arn:aws:ec2:*:*:transit-gateway-attachment/*",
      "Condition": {
        "StringEquals": { "ec2:ResourceTag/environment": "prod" }
      }
    }
  ]
}