管理对 AWS Trusted Advisor 的访问 - AWS Support
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

管理对 AWS Trusted Advisor 的访问

您可以从 AWS 管理控制台访问 AWS Trusted Advisor。所有 AWS 账户都有权访问特色级核心 Trusted Advisor 检查。如果您有商业或企业支持计划,则可以访问所有 Trusted Advisor 检查

可以使用 AWS Identity and Access Management (IAM) 控制对 Trusted Advisor 的访问。

Trusted Advisor 控制台的权限

您必须具有一组最低的权限才能访问 Trusted Advisor 控制台。这些权限必须允许您列出和查看有关您的 AWS 账户中的 Trusted Advisor 资源的详细信息。

可以使用以下选项来控制对 Trusted Advisor 的访问:

  • 使用 Trusted Advisor 控制台的标签筛选条件功能。用户或角色必须具有与标签关联的权限。

    可以使用 AWS 托管策略或自定义策略来按标签分配权限。有关更多信息,请参阅获取标记权限

  • 使用 trustedadvisor 命名空间创建 IAM 策略,以便能够指定操作和资源的权限。

创建策略时,可以指定服务的命名空间来允许或拒绝操作。Trusted Advisor 的命名空间为 trustedadvisor.

重要

不能使用 trustedadvisor 命名空间来允许或拒绝 AWS Support API 中的 Trusted Advisor API 操作。AWS Support 的命名空间为 support

Trusted Advisor 操作

可以在控制台中执行以下 Trusted Advisor 操作。还可以在 IAM 策略中指定这些 Trusted Advisor 操作以允许或拒绝特定操作。

操作 描述

DescribeAccount

授予权限以查看 AWS Support 计划和各种 Trusted Advisor 首选项。

DescribeAccountAccess

授予权限以查看 AWS 账户是否已启用 Trusted Advisor。

DescribeCheckItems

授予权限以查看检查项目的详细信息。

DescribeCheckRefreshStatuses

授予权限以查看 Trusted Advisor 检查的刷新状态。

DescribeCheckSummaries

授予权限以查看 Trusted Advisor 检查摘要。

DescribeChecks

授予权限以查看 Trusted Advisor 检查的详细信息。

DescribeNotificationPreferences

授予权限以查看 AWS 账户的通知首选项。

ExcludeCheckItems

授予权限以排除 Trusted Advisor 检查的建议。

IncludeCheckItems

授予权限以包含 Trusted Advisor 检查的建议。

RefreshCheck

授予权限以刷新 Trusted Advisor 检查。

SetAccountAccess

授予权限以便为账户启用或禁用 Trusted Advisor。

UpdateNotificationPreferences

授予权限以更新 Trusted Advisor 的通知首选项。

以下 Trusted Advisor 操作适用于 组织视图 功能。有关更多信息,请参阅的组织视图AWS Trusted Advisor

操作 描述

DescribeOrganization

授予权限以查看 AWS 账户是否满足启用组织视图功能的要求。

DescribeOrganizationAccounts

授予权限以查看组织中的关联 AWS 账户。

DescribeReports

授予权限以查看组织视图报告的详细信息,例如报告名称、运行时、创建日期、状态和格式。

DescribeServiceMetadata

授予权限以查看有关组织视图报告的信息,例如 AWS 区域、检查类别、检查名称和资源状态。

GenerateReport

授予权限以在组织中为 Trusted Advisor 检查创建报告。

ListAccountsForParent

授予权限以在 Trusted Advisor 控制台中查看 AWS 组织中包含的由根或组织单元 (OU) 包含的所有账户。

ListOrganizationalUnitsForParent

授予权限以在 Trusted Advisor 控制台中查看父级组织单位或根中的所有组织单位 (OU)。

ListRoots

授予权限以在 Trusted Advisor 控制台中查看在 AWS 组织中定义的所有根。

SetOrganizationAccess

授予权限以便为 Trusted Advisor 启用组织视图功能。

IAM 策略示例

以下策略介绍如何允许和拒绝对 Trusted Advisor 的访问。

对 Trusted Advisor 的完全访问权限

以下策略允许用户在 Trusted Advisor 控制台中查看所有 Trusted Advisor 检查并对其执行所有操作。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "trustedadvisor:*", "Resource": "*" } ] }

对 Trusted Advisor 的只读访问权限

以下策略允许用户对 Trusted Advisor 控制台进行只读访问。用户无法进行任何更改,例如刷新检查或更改通知首选项。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "trustedadvisor:Describe*", "Resource": "*" } ] }

拒绝对 Trusted Advisor 的访问

以下策略不允许用户在 Trusted Advisor 控制台中查看或执行 Trusted Advisor 检查的操作。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": "trustedadvisor:*", "Resource": "*" } ] }

允许和拒绝特定操作

以下策略允许用户在 Trusted Advisor 控制台中查看所有 Trusted Advisor 检查,但不允许用户刷新任何检查。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "trustedadvisor:*", "Resource": "*" }, { "Effect": "Deny", "Action": "trustedadvisor:RefreshCheck", "Resource": "*" } ] }

控制对 Trusted Advisor 的 AWS Support API 操作的访问

在 AWS 管理控制台中,单独的 trustedadvisor IAM 命名空间控制对 Trusted Advisor 的访问。不能使用 trustedadvisor 命名空间来允许或拒绝 AWS Support API 中的 Trusted Advisor API 操作。相反,可以使用 support IAM 命名空间。您必须具有对 AWS Support API 的权限才能以编程方式调用 Trusted Advisor。

例如,如果您要调用 RefreshTrustedAdvisorCheck 操作,则必须在策略中具有此操作的权限。

例 :仅允许 Trusted Advisor API 操作

以下策略允许用户访问 AWS Support 的 Trusted Advisor API 操作,但不允许访问其余的 AWS Support API 操作。例如,用户可以使用 API 查看和刷新检查。他们无法创建、查看、更新或解决 AWS Support 案例。

您可以使用此策略以编程方式调用 Trusted Advisor API 操作,但不能使用此策略在 Trusted Advisor 控制台中查看或刷新检查。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "support:DescribeTrustedAdvisorCheckRefreshStatuses", "support:DescribeTrustedAdvisorCheckResult", "support:DescribeTrustedAdvisorChecks", "support:DescribeTrustedAdvisorCheckSummaries", "support:RefreshTrustedAdvisorCheck", "trustedadvisor:Describe*" ], "Resource": "*" }, { "Effect": "Deny", "Action": [ "support:AddAttachmentsToSet", "support:AddCommunicationToCase", "support:CreateCase", "support:DescribeAttachment", "support:DescribeCases", "support:DescribeCommunications", "support:DescribeServices", "support:DescribeSeverityLevels", "support:ResolveCase" ], "Resource": "*" } ] }

有关如何 IAM 如何使用 AWS Support 和 Trusted Advisor 的更多信息,请参阅Actions

另请参阅

有关 Trusted Advisor 权限的更多信息,请参阅以下资源: