Amazon Q 商業版 - 設定

---

---

Amazon Q 商業版是一款智慧的生成式 AI 驅動的助手，可以透過設定其帳戶有效使用。要首次開始使用 Amazon Q 商業版，請按照以下步驟操作。

註冊 AWS 賬戶

如果您沒有 AWS 賬戶，請完成以下步驟建立一個。

• 開啟 portal.aws.amazon.com/billing/signup
• 按照線上說明操作。
• 註冊流程包括接聽電話並在手機鍵盤上輸入驗證碼。
• 在註冊過程中，會自動建立具有對您的 AWS 賬戶完全訪問許可權的根使用者。
• 註冊後，AWS 會向您傳送一封電子郵件以確認您的註冊，您可以透過訪問 https://aws.amazon.com/ 並選擇我的賬戶來管理您的賬戶。

建立具有管理員訪問許可權的使用者

註冊後，請保護您的主要 AWS 賬戶，新增額外的安全性，併為日常任務建立一個新使用者。

保護 AWS 賬戶根使用者

您可以按照以下步驟保護您的 AWS 賬戶根使用者

• 使用您的電子郵件和密碼以賬戶所有者的身份登入 AWS，並透過 AWS 管理控制檯 登入。
• 透過為您的根使用者啟用多因素身份驗證 (MFA) 來新增額外的安全性。

配置管理員訪問許可權

您可以按照以下步驟建立具有管理員訪問許可權的使用者

• 首先，啟用 IAM Identity Center，並按照以下步驟進行操作
• 首先，登入 AWS 管理控制檯。您可以執行以下任一操作。
• AWS 新手（根使用者）：以賬戶所有者的身份登入，選擇根使用者並輸入您的 AWS 賬戶電子郵件地址。在下一頁，輸入您的密碼。
• 已使用 AWS（IAM 憑證）：使用具有管理員許可權的 IAM 憑證登入。
• 開啟 IAM Identity Center 控制檯。
• 在啟用 IAM Identity Center下，選擇使用 AWS Organizations 啟用。
• 在 IAM Identity Center 中，授予使用者管理員訪問許可權，並檢視配置使用者對預設 IAM Identity Center 目錄的訪問許可權以獲取教程。

登入管理員訪問許可權

按照以下步驟輕鬆以具有管理員訪問許可權的使用者身份登入

• 使用傳送到您電子郵件的連結使用您的 IAM Identity Center 賬戶登入。
• 要登入 IAM Identity Center 使用者，請按照以下步驟操作
• 將已傳送到您電子郵件的登入 URL 貼上到您的瀏覽器中，然後按 Enter。
• 使用您的公司憑據（如使用者名稱和密碼）登入。

注意：如果您的管理員向您傳送了一次性密碼 (OTP) 郵件，並且這是您第一次登入，請輸入該密碼。登入後，您必須為以後的登入建立一個新密碼。

• 檢查您的電子郵件以獲取驗證碼，並將其貼上到登入頁面中。

注意：如果您沒有透過電子郵件收到驗證碼，請諮詢您的管理員以瞭解有關驗證碼的詳細資訊。

• 如果在 IAM Identity Center 中為您的使用者啟用了 MFA，則使用它進行身份驗證。
• 身份驗證後，您可以訪問門戶中顯示的任何 AWS 賬戶和應用程式。
• 要登入 AWS 管理控制檯，請轉到“賬戶”選項卡並選擇賬戶，然後選擇您的角色以開啟控制檯，對於命令列或程式設計訪問，請選擇“訪問金鑰”。
• 要訪問應用程式，請轉到“應用程式”選項卡，然後選擇您要使用的應用程式。

注意：登入後，您的 AWS 訪問門戶會話有效期為 8 小時。8 小時後，您需要重新登入。

分配對其他使用者的訪問許可權

您可以按照以下步驟分配對其他使用者的訪問許可權

• 在 IAM Identity Center 中建立一個僅提供必要訪問許可權的許可權集。
• 將使用者新增到組中，然後授予該組對單點登入的訪問許可權。要將使用者新增到組中，請按照以下步驟操作
• 開啟 IAM Identity Center 控制檯。
• 選擇“組”。
• 選擇“建立組”。
• 輸入組名稱，描述為可選。
• 選擇“建立組”。

注意：將此組新增到您的 Identity Center 目錄後，您可以為此組分配單點登入訪問許可權。

考慮 AWS 區域和端點

端點是啟動 Web 服務的 URL，並繫結到特定的 AWS 區域。使用 Amazon Q 商業版時，請確保所有應用程式元件（例如檢索器、索引和聊天體驗）都在同一區域中建立。

有關 Amazon Q 商業版支援的區域和端點，請參閱 Amazon Q 商業版的服務配額。

設定所需的許可權

當您透過 AWS 管理控制檯使用 Amazon Q 商業版時，它會自動為您新增必要的許可權。

要將 Amazon Q 商業版與 AWS CLI 或 SDK 作為 IAM 使用者一起使用，您需要授予其必要的許可權，以便它可以為您建立和管理資源。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": "qbusiness:*",
        "Effect": "Allow",
        "Resource": "*"
    }]
}

如果您使用的是客戶管理的金鑰，請新增以下許可權

"kms:DescribeKey"
"kms:CreateGrant"

如果您使用的是 IAM Identity Center，請新增以下許可權

"sso:CreateApplication"
"sso:PutApplicationAuthenticationMethod"
"sso:PutApplicationAccessScope"
"sso:PutApplicationGrant"
"sso:DeleteApplication"

要允許 Amazon Q 分配使用者訂閱，請使用以下角色策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QBusinessSubscriptionPermissions",
            "Effect": "Allow",
            "Action": [
                "qbusiness:UpdateSubscription",
                "qbusiness:CreateSubscription",
                "qbusiness:CancelSubscription",
                "qbusiness:ListSubscriptions"
            ],
            "Resource": [
                "arn:aws:qbusiness:{{region}}:{{source_account}}:application/{{application_id}}",
                "arn:aws:qbusiness:{{region}}:{{source_account}}:application/{{application_id}}/subscription/{{subscription_id}}"
            ]
        },
        {
            "Sid": "QBusinessServicePermissions",
            "Effect": "Allow",
            "Action": [
                "user-subscriptions:UpdateClaim",
                "user-subscriptions:CreateClaim",
                "organizations:DescribeOrganizations",
                "iam:CreateServiceLinkedRole",
                "sso-directory:DescribeGroup",
                "sso-directory:DescribeUser",
                "sso:DescribeApplication",
                "sso:DescribeInstance"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}