View a markdown version of this page

Controllo degli accessi per Marketplace AWS API di conformità - Marketplace AWS
Consentire azioni con AWS policy gestiteConsentire azioni su tutte le risorseConsentire azioni su risorse specificheConsentire azioni con specifiche leggi: ResourceTag chiave di condizioneGestione dei tag sulle risorseConcessione dell'autorizzazione a gestire i tag sulle risorseConcedere l'autorizzazione a gestire i tag sulle risorse solo quando tali risorse hanno tag specificiRichiesta di tag all'avvio delle attività di invio delle fattureOperazioni relative alle prove di verifica

L'AWS Marketplace API Reference è stato ristrutturato. Per ulteriori informazioni sulle operazioni API supportate, consulta l'AWS Marketplace API Reference.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo degli accessi per Marketplace AWS API di conformità

Puoi utilizzare l'API Marketplace AWS Compliance per gestire la conformità dei venditori in Marketplace AWS. Tuttavia, assicurati innanzitutto che il tuo utente o ruolo possa accedere alla funzionalità API che desideri chiamare.

Utilizza AWS Identity and Access Management (IAM) per creare utenti e ruoli e assegnare policy che concedano autorizzazioni limitate agli utenti finali. Le policy definiscono le azioni che l'utente o il ruolo possono intraprendere sulle risorse tramite l'API Marketplace AWS Compliance.

Nota

Per vendere prodotti Marketplace AWS, Account AWS devi essere configurato come Account venditore. Per maggiori dettagli su come diventare Marketplace AWS venditore, consulta la sezione Guida introduttiva al Marketplace AWS venditore.

Consentire azioni con AWS policy gestite

Puoi utilizzare le politiche gestite da AWS per concedere le autorizzazioni al tuo utente o ruolo.

Per utilizzare l'invio delle fatture Marketplace AWS, puoi utilizzare la policy gestita di AWSMarketplaceSellerFullAccess IAM, che include l'accesso completo alle azioni dell'API di Marketplace AWS conformità oltre alle altre autorizzazioni. Per ulteriori informazioni, consulta Politiche e autorizzazioni per Marketplace AWS i venditori e Politiche gestite da AWS per Marketplace AWS i venditori nella Marketplace AWS Seller Guide.

In alternativa, puoi creare le tue policy IAM per avere un controllo più granulare rispetto a quello disponibile nelle politiche gestite. AWS Utilizza i seguenti argomenti per creare le tue policy IAM.

Consentire azioni su tutte le risorse

Le risorse sono oggetti su cui le azioni possono agire. L'API Compliance ha i seguenti tipi di risorse:

  • InvoiceSubmissionTask— Un'attività di invio di fatture tiene traccia dell'elaborazione di una fattura inviata dal venditore. Marketplace AWS

  • IssuedTaxInvoice— Una fattura fiscale Marketplace AWS emessa per conto di un venditore.

  • VerificationEvidence— Contiene i dati di verifica per una categoria di verifica specifica e l'oggetto da verificare.

Per consentire a un utente o a un ruolo l'accesso completo alle operazioni di invio delle fatture, puoi aggiungere la seguente politica IAM. Con questa politica, l'utente o il ruolo può utilizzare tutte le azioni dell'attività di invio delle fatture su tutte le risorse ()"*".

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:StartInvoiceSubmissionTask",
        "aws-marketplace:GetInvoiceSubmissionTask",
        "aws-marketplace:ListInvoiceSubmissionTasks",
        "aws-marketplace:ListPayables"
      ],
      "Resource": "*"
    }
  ]
}

Per consentire a un utente o a un ruolo l'accesso completo alle operazioni di emissione delle fatture fiscali, puoi aggiungere la seguente politica IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:ListIssuedTaxInvoices",
        "aws-marketplace:GetIssuedTaxInvoice"
      ],
      "Resource": "*"
    }
  ]
}

Per consentire a un utente o a un ruolo l'accesso completo alle operazioni di verifica, puoi aggiungere la seguente politica IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:CreateVerificationEvidence",
        "aws-marketplace:UpdateVerificationEvidence",
        "aws-marketplace:GetVerificationEvidence",
        "aws-marketplace:ListVerificationEvidence",
        "aws-marketplace:StartVerification",
        "aws-marketplace:GetVerification",
        "aws-marketplace:ListVerifications"
      ],
      "Resource": "*"
    }
  ]
}

Per informazioni su tutte le azioni disponibili per l'API Compliance, consulta Azioni, risorse e chiavi di condizione per la Marketplace AWS conformità nel Service Authorization Reference.

Consentire azioni su risorse specifiche

È possibile utilizzare le autorizzazioni a livello di risorsa per consentire azioni su una risorsa specifica anziché su tutte le risorse. Puoi farlo specificando l'Amazon Resource Name (ARN) della risorsa Resource nella policy IAM.

L'esempio seguente consente l'GetInvoiceSubmissionTaskazione su una specifica attività di invio di fatture.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetInvoiceSubmissionTask"
      ],
      "Resource": [
        "arn:aws:aws-marketplace:us-east-1:123456789012:catalog/example-catalog/invoice-submission-task/example-task-id"
      ]
    }
  ]
}

L'esempio seguente consente l'GetIssuedTaxInvoiceazione su una specifica fattura fiscale emessa.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetIssuedTaxInvoice"
      ],
      "Resource": [
        "arn:aws:aws-marketplace:us-east-1:123456789012:catalog/AWSMarketplace/issued-tax-invoice/example-invoice-id"
      ]
    }
  ]
}

L'esempio seguente consente l'GetVerificationEvidenceazione su una specifica risorsa di prove di verifica.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetVerificationEvidence"
      ],
      "Resource": [
        "arn:aws:aws-marketplace:us-east-1:123456789012:verification-type/business-verification/verification-evidence/evidence-a1b2c3d4e5f6g"
      ]
    }
  ]
}

Consentire azioni con specifiche leggi: ResourceTag chiave di condizione

È possibile consentire azioni sulle risorse in base ai relativi tag senza dover specificare singoli ARN. L'aggiunta di tag alle risorse consente di controllare l'accesso a tali risorse in base ai relativi tag.

Ad esempio, la seguente policy IAM consente l'GetInvoiceSubmissionTaskazione su qualsiasi risorsa dell'attività di invio delle fatture ("*") con una chiave di tag product-team e un valore di team-xyz tag pari a.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetInvoiceSubmissionTask"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/product-team": "team-xyz"
        }
      }
    }
  ]
}

Analogamente, la seguente politica IAM consente l'GetIssuedTaxInvoiceazione su qualsiasi risorsa di fatturazione fiscale emessa ("*") con una chiave tag Department e un valore di Tax tag pari a.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetIssuedTaxInvoice"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Department": "Tax"
        }
      }
    }
  ]
}

La seguente policy IAM consente l'GetVerificationEvidenceazione su qualsiasi risorsa di prove di verifica ("*") con una chiave di tag Department e un valore di tag pari aCompliance.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetVerificationEvidence"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Department": "Compliance"
        }
      }
    }
  ]
}

Gestione dei tag sulle risorse

Puoi aggiungere, elencare e rimuovere tag dalle risorse API di conformità esistenti, ad esempio le attività di invio delle fatture e le fatture fiscali emesse.

Aggiunge tag a risorse

Per aggiungere tag a una risorsa, utilizza l'azione TagResource API.

Richiesta

POST /TagResource HTTP/1.1
Content-type: application/json

{
  "ResourceArn": "string",
  "Tags": [
    {
      "Key": "string",
      "Value": "string"
    }
  ]
}

I parametri della richiesta includono:

  • ResourceArn (String) — (Obbligatorio) ARN della risorsa.

  • Tag (matrice di oggetti) — (Obbligatorio) Un elenco di oggetti che specificano la chiave e il valore di ogni tag. Numero di oggetti consentiti: 1—50.

    • Chiave (stringa) — (Obbligatorio) Nome del tag. Modello Regex:^([\p{L}\p{Z}\p{N}_.:/=+\-@]*)$. Lunghezza dei caratteri: 1—128.

    • Valore (stringa) — (Obbligatorio) Valore del tag. Modello Regex:^([\p{L}\p{Z}\p{N}_.:/=+\-@]*)$. Lunghezza dei caratteri: 0—256.

Rimuove i tag dalle risorse

Per rimuovere un tag o un elenco di tag da una risorsa, utilizza l'azione UntagResource API.

Richiesta

POST /UntagResource HTTP/1.1
Content-type: application/json

{
  "ResourceArn": "string",
  "TagKeys": [
    "string"
  ]
}

I parametri della richiesta includono:

  • ResourceArn (String) — (Obbligatorio) ARN della risorsa.

  • TagKeys (Matrice di stringhe) — (Obbligatorio) Un elenco di nomi chiave dei tag da rimuovere.

Elenca tutti i tag su una risorsa

Per elencare tutti i tag su una risorsa, utilizza l'azione ListTagsForResource API.

Richiesta

POST /ListTagsForResource HTTP/1.1
Content-type: application/json

{
  "ResourceArn": "string"
}

Risposta

{
  "ResourceArn": "string",
  "Tags": [
    {
      "Key": "string",
      "Value": "string"
    }
  ]
}

Concessione dell'autorizzazione a gestire i tag sulle risorse

Per consentire a un utente o a un ruolo di aggiungere, rimuovere ed elencare tag su tutte le risorse dell'API di conformità, è necessaria la seguente politica IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:TagResource",
        "aws-marketplace:UntagResource",
        "aws-marketplace:ListTagsForResource"
      ],
      "Resource": "*"
    }
  ]
}

Concedere l'autorizzazione a gestire i tag sulle risorse solo quando tali risorse hanno tag specifici

Puoi consentire a un utente o a un ruolo di aggiungere, rimuovere ed elencare tag nelle risorse dell'API Compliance che hanno tag specifici. La seguente policy IAM consente tali azioni su qualsiasi risorsa ("*") con una chiave di tag product-team e un valore di tag pari ateam-xyz.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:TagResource",
        "aws-marketplace:UntagResource",
        "aws-marketplace:ListTagsForResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/product-team": "team-xyz"
        }
      }
    }
  ]
}

Richiesta di tag all'avvio delle attività di invio delle fatture

È possibile applicare l'etichettatura quando vengono create le attività di invio delle fatture utilizzando i tasti aws:RequestTag e aws:TagKeys condizione insieme all'azione. StartInvoiceSubmissionTask

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:StartInvoiceSubmissionTask"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/product-team": "team-xyz"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "product-team"
          ]
        }
      }
    }
  ]
}

Operazioni relative alle prove di verifica

L'API Marketplace AWS Compliance fornisce operazioni per la gestione delle prove di verifica e dei processi di verifica. Puoi utilizzare le policy IAM per controllare l'accesso a queste operazioni.

Azioni IAM per le operazioni di verifica

Le seguenti azioni IAM sono disponibili per le operazioni di verifica. Tutte le azioni utilizzano lo aws-marketplace spazio dei nomi.

Azioni di gestione delle prove

  • aws-marketplace:CreateVerificationEvidence— Crea nuove prove di verifica.

  • aws-marketplace:UpdateVerificationEvidence— Aggiorna le prove di verifica esistenti.

  • aws-marketplace:GetVerificationEvidence— Ottieni i dettagli delle prove di verifica.

  • aws-marketplace:ListVerificationEvidence— Elenca le risorse relative alle prove di verifica.

Azioni del processo di verifica

  • aws-marketplace:StartVerification— Invia prove e abilita la condivisione dei dati.

  • aws-marketplace:GetVerification— Ottieni uno stato di verifica dettagliato.

  • aws-marketplace:ListVerifications— Elenca tutti gli stati di verifica.

Tipo di risorsa

La VerificationEvidencerisorsa contiene dati di verifica per una categoria di verifica specifica e per l'oggetto da verificare. Il formato ARN per questa risorsa è:

arn:aws:aws-marketplace:region:account-id:verification-type/type-value/verification-evidence/evidence-id

Di seguito è riportato un esempio di ARN per la verifica aziendale:

arn:aws:aws-marketplace:us-east-1:123456789012:verification-type/business-verification/verification-evidence/evidence-a1b2c3d4e5f6g

Utilizzo della chiave di VerificationType condizione

La chiave di aws-marketplace:VerificationType condizione filtra le operazioni del processo di verifica per tipo. Questa chiave condizionale si applica alle seguenti azioni:

  • StartVerification

  • GetVerification

  • ListVerifications

I valori validi per questa chiave di condizione sono:

  • BusinessVerification

Nota

Le operazioni di gestione delle prove (CreateVerificationEvidenceUpdateVerificationEvidence,GetVerificationEvidence,,ListVerificationEvidence) non utilizzano questa chiave di condizione perché il tipo di verifica è già codificato nella risorsa ARN.

Consentire azioni con AWS policy gestite

La policy gestita da AWSMarketplaceSellerFullAccess IAM include tutte e sette le autorizzazioni di verifica oltre alle altre autorizzazioni. Per ulteriori informazioni, consulta le politiche gestite da AWS per Marketplace AWS i venditori nella Marketplace AWS Seller Guide.

Consentire l'accesso completo a tutte le operazioni di verifica

Per consentire a un utente o a un ruolo l'accesso completo a tutte le operazioni di verifica, puoi aggiungere la seguente policy IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:CreateVerificationEvidence",
        "aws-marketplace:UpdateVerificationEvidence",
        "aws-marketplace:GetVerificationEvidence",
        "aws-marketplace:ListVerificationEvidence",
        "aws-marketplace:StartVerification",
        "aws-marketplace:GetVerification",
        "aws-marketplace:ListVerifications"
      ],
      "Resource": "*"
    }
  ]
}

Consentire l'accesso in sola lettura alle prove di verifica aziendali

Per consentire a un utente o a un ruolo l'accesso in sola lettura alle prove di verifica aziendali, puoi utilizzare il ARN-based filtro per limitare l'accesso a un tipo di verifica specifico.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetVerificationEvidence",
        "aws-marketplace:ListVerificationEvidence"
      ],
      "Resource": [
        "arn:aws:aws-marketplace:*:123456789012:verification-type/business-verification/verification-evidence/*"
      ]
    }
  ]
}

Limitazione delle operazioni del processo di verifica per tipo

Per limitare le operazioni del processo di verifica a un tipo di verifica specifico, utilizza la chiave di aws-marketplace:VerificationType condizione. L'esempio seguente consente le operazioni del processo di verifica solo per la verifica aziendale.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:StartVerification",
        "aws-marketplace:GetVerification",
        "aws-marketplace:ListVerifications"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws-marketplace:VerificationType": "BusinessVerification"
        }
      }
    }
  ]
}

Consentire azioni su risorse specifiche di prove di verifica

Per consentire azioni su risorse di prove di verifica specifiche, specifica l'ARN della risorsa nell'Resourceelemento della policy IAM. L'esempio seguente consente tutte le azioni di gestione delle prove su una specifica risorsa di prove di verifica.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:GetVerificationEvidence",
        "aws-marketplace:UpdateVerificationEvidence"
      ],
      "Resource": [
        "arn:aws:aws-marketplace:us-east-1:123456789012:verification-type/business-verification/verification-evidence/evidence-id"
      ]
    }
  ]
}