Amazon Q 商业版 - 设置

---

---

Amazon Q 商业版是一款智能的生成式 AI 驱动的助手，可以通过设置其帐户有效使用。要首次开始使用 Amazon Q 商业版，请按照以下步骤操作。

注册 AWS 账户

如果您没有 AWS 账户，请完成以下步骤创建一个。

• 打开 portal.aws.amazon.com/billing/signup
• 按照在线说明操作。
• 注册流程包括接听电话并在手机键盘上输入验证码。
• 在注册过程中，会自动创建具有对您的 AWS 账户完全访问权限的根用户。
• 注册后，AWS 会向您发送一封电子邮件以确认您的注册，您可以通过访问 https://aws.amazon.com/ 并选择我的账户来管理您的账户。

创建具有管理员访问权限的用户

注册后，请保护您的主要 AWS 账户，添加额外的安全性，并为日常任务创建一个新用户。

保护 AWS 账户根用户

您可以按照以下步骤保护您的 AWS 账户根用户

• 使用您的电子邮件和密码以账户所有者的身份登录 AWS，并通过 AWS 管理控制台 登录。
• 通过为您的根用户启用多因素身份验证 (MFA) 来添加额外的安全性。

配置管理员访问权限

您可以按照以下步骤创建具有管理员访问权限的用户

• 首先，启用 IAM Identity Center，并按照以下步骤进行操作
• 首先，登录 AWS 管理控制台。您可以执行以下任一操作。
• AWS 新手（根用户）：以账户所有者的身份登录，选择根用户并输入您的 AWS 账户电子邮件地址。在下一页，输入您的密码。
• 已使用 AWS（IAM 凭证）：使用具有管理员权限的 IAM 凭证登录。
• 打开 IAM Identity Center 控制台。
• 在启用 IAM Identity Center下，选择使用 AWS Organizations 启用。
• 在 IAM Identity Center 中，授予用户管理员访问权限，并查看配置用户对默认 IAM Identity Center 目录的访问权限以获取教程。

登录管理员访问权限

按照以下步骤轻松以具有管理员访问权限的用户身份登录

• 使用发送到您电子邮件的链接使用您的 IAM Identity Center 账户登录。
• 要登录 IAM Identity Center 用户，请按照以下步骤操作
• 将已发送到您电子邮件的登录 URL 粘贴到您的浏览器中，然后按 Enter。
• 使用您的公司凭据（如用户名和密码）登录。

注意：如果您的管理员向您发送了一次性密码 (OTP) 邮件，并且这是您第一次登录，请输入该密码。登录后，您必须为以后的登录创建一个新密码。

• 检查您的电子邮件以获取验证码，并将其粘贴到登录页面中。

注意：如果您没有通过电子邮件收到验证码，请咨询您的管理员以了解有关验证码的详细信息。

• 如果在 IAM Identity Center 中为您的用户启用了 MFA，则使用它进行身份验证。
• 身份验证后，您可以访问门户中显示的任何 AWS 账户和应用程序。
• 要登录 AWS 管理控制台，请转到“账户”选项卡并选择账户，然后选择您的角色以打开控制台，对于命令行或编程访问，请选择“访问密钥”。
• 要访问应用程序，请转到“应用程序”选项卡，然后选择您要使用的应用程序。

注意：登录后，您的 AWS 访问门户会话有效期为 8 小时。8 小时后，您需要重新登录。

分配对其他用户的访问权限

您可以按照以下步骤分配对其他用户的访问权限

• 在 IAM Identity Center 中创建一个仅提供必要访问权限的权限集。
• 将用户添加到组中，然后授予该组对单点登录的访问权限。要将用户添加到组中，请按照以下步骤操作
• 打开 IAM Identity Center 控制台。
• 选择“组”。
• 选择“创建组”。
• 输入组名称，描述为可选。
• 选择“创建组”。

注意：将此组添加到您的 Identity Center 目录后，您可以为此组分配单点登录访问权限。

考虑 AWS 区域和端点

端点是启动 Web 服务的 URL，并绑定到特定的 AWS 区域。使用 Amazon Q 商业版时，请确保所有应用程序组件（例如检索器、索引和聊天体验）都在同一区域中创建。

有关 Amazon Q 商业版支持的区域和端点，请参阅 Amazon Q 商业版的服务配额。

设置所需的权限

当您通过 AWS 管理控制台使用 Amazon Q 商业版时，它会自动为您添加必要的权限。

要将 Amazon Q 商业版与 AWS CLI 或 SDK 作为 IAM 用户一起使用，您需要授予其必要的权限，以便它可以为您创建和管理资源。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": "qbusiness:*",
        "Effect": "Allow",
        "Resource": "*"
    }]
}

如果您使用的是客户管理的密钥，请添加以下权限

"kms:DescribeKey"
"kms:CreateGrant"

如果您使用的是 IAM Identity Center，请添加以下权限

"sso:CreateApplication"
"sso:PutApplicationAuthenticationMethod"
"sso:PutApplicationAccessScope"
"sso:PutApplicationGrant"
"sso:DeleteApplication"

要允许 Amazon Q 分配用户订阅，请使用以下角色策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QBusinessSubscriptionPermissions",
            "Effect": "Allow",
            "Action": [
                "qbusiness:UpdateSubscription",
                "qbusiness:CreateSubscription",
                "qbusiness:CancelSubscription",
                "qbusiness:ListSubscriptions"
            ],
            "Resource": [
                "arn:aws:qbusiness:{{region}}:{{source_account}}:application/{{application_id}}",
                "arn:aws:qbusiness:{{region}}:{{source_account}}:application/{{application_id}}/subscription/{{subscription_id}}"
            ]
        },
        {
            "Sid": "QBusinessServicePermissions",
            "Effect": "Allow",
            "Action": [
                "user-subscriptions:UpdateClaim",
                "user-subscriptions:CreateClaim",
                "organizations:DescribeOrganizations",
                "iam:CreateServiceLinkedRole",
                "sso-directory:DescribeGroup",
                "sso-directory:DescribeUser",
                "sso:DescribeApplication",
                "sso:DescribeInstance"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}