Génération d'une politique IAM Access Analyzer

Générer une politique pour un rôle IAM

1. Connectez-vous à l'outil AWS Management Console, puis ouvrez la console IAM à l'adresse https://console.aws.amazon.com/iam/.

2. Dans le panneau de navigation de gauche, sélectionnez Roles (Rôles).

   Note

   Les étapes à suivre pour générer une politique basée sur l'activité d'un utilisateur IAM sont presque identiques. Dans ce cas, sélectionnez Users (Utilisateurs) au lieu de Roles (Rôles).

3. Dans la liste des rôles de votre compte, sélectionnez le nom du rôle dont vous souhaitez utiliser l'activité pour générer une politique.

4. Sous l'onglet Permissions (Autorisations), dans la section Generate policy based on CloudTrail events (Générer une politique basée sur des événements CloudTrail), sélectionnez Generate policy (Générer une politique).

5. Sur la page Generate policy (Générer une politique), spécifiez la période pendant laquelle vous souhaitez que IAM Access Analyzer analyse vos événements CloudTrail pour les actions effectuées avec le rôle. Vous pouvez choisir une plage allant jusqu'à 90 jours. Nous vous recommandons de choisir la période la plus courte possible afin de réduire le temps de génération de politique.

6. Dans la section Accès CloudTrail, sélectionnez un rôle existant approprié ou créez un rôle s'il n'existe pas de rôle approprié. Le rôle accorde à IAM Access Analyzer les autorisations nécessaires pour accéder à vos données CloudTrail en votre nom, afin d'examiner l'activité d'accès et d'identifier les services et actions qui ont été utilisés. Pour en savoir plus sur les autorisations requises pour ce rôle, veuillez consulter Autorisations nécessaires pour générer une politique.

7. Dans la section CloudTrail trail to be analyzed (Piste Cloudtrail à analyser), spécifiez la piste CloudTrail qui consigne les événements pour le compte.

   Si vous sélectionnez une piste CloudTrail qui stocke les journaux dans un autre compte, une zone d'informations sur l'accès intercompte s'affiche. L'accès intercompte nécessite une configuration supplémentaire. Pour en savoir plus, veuillez consulter Choose a role for cross-account access plus loin dans cette rubrique.

8. Sélectionnez Generate policy (Générer une politique).

9. Lorsque la génération de politique est en cours, vous revenez à la page Roles Summary (Récapitulatif des rôles) sous l'onglet Permissions (Autorisations). Attendez que le statut de la section Policy request details (Détails de la demande de politique) affiche Success (Succès), puis sélectionnez View generated policy (Afficher la politique générée). Vous pouvez afficher la politique générée pendant sept jours au maximum. Si vous générez une autre politique, la politique existante est remplacée par la nouvelle politique que vous générez.

1. Examinez les sections suivantes :

   • Sur la page Review permissions (Vérifier les autorisations), veuillez consulter la liste des Actions included in the generated policy (Actions incluses dans la politique générée). La liste affiche les services et actions que l'analyseur d'accès IAM a constaté être utilisés par le rôle dans la plage de dates spécifiée.

   • La section Services used (Services utilisés) affiche les services supplémentaires que l'analyseur d'accès IAM a constaté être utilisés par le rôle dans la plage de dates spécifiée. Il est possible que les informations sur les actions utilisées ne soient pas disponibles pour les services répertoriés dans cette section. Utilisez les menus de chaque service répertorié pour choisir manuellement les actions à inclure dans la politique.

2. Lorsque vous avez terminé d'ajouter des actions, cliquez sur Next (Suivant).

Pour personnaliser la politique générée

1. Mettez à jour le modèle de politique. Le modèle de politique contient des espaces réservés ARN de ressource pour les actions qui prennent en charge les autorisations au niveau des ressources, comme illustré dans l'image suivante. Les autorisations au niveau des ressources font référence à la possibilité de spécifier les ressources sur lesquelles les utilisateurs sont autorisés à exécuter des actions. Nous vous recommandons d'utiliser des ARN pour spécifier vos ressources individuelles dans la politique pour les actions qui prennent en charge les autorisations au niveau des ressources. Vous pouvez remplacer les ARN de ressource d'espace réservé par des ARN de ressources valides pour votre cas d'utilisation.

   Si une action ne prend pas en charge les autorisations au niveau des ressources, utilisez un caractère générique (*) pour spécifier que toutes les ressources peuvent être concernées par l'action. Pour savoir quels services AWS prennent en charge les autorisations au niveau des ressources, veuillez consulter Services AWS qui fonctionnent avec IAM. Pour obtenir la liste des actions dans chaque service et pour savoir quelles actions prennent en charge les autorisations au niveau des ressources, veuillez consulter Actions, ressources et clés de condition pour les services AWS.

   

2. (Facultatif) Ajoutez, modifiez ou supprimez des instructions de politique JSON dans le modèle. Pour en savoir plus sur l'écriture de politiques JSON, veuillez consulter Creating IAM policies (Création de politiques IAM) (console).

3. Lorsque vous avez terminé de personnaliser le modèle de politique, vous disposez des options suivantes :

   • (Facultatif) Vous pouvez copier le JSON dans le modèle pour l'utiliser séparément en dehors de la page Generated policy (Politique générée). Par exemple, si vous souhaitez utiliser le JSON pour créer une politique dans un autre compte. Si la politique de votre modèle dépasse la limite de 6 144 caractères pour les politiques JSON, la politique est divisée en plusieurs politiques.

   • Cliquez sur Next (Suivant) pour consulter et créer une politique gérée dans le même compte.

Pour examiner et créer une politique

1. Dans la page Review and create managed policy (Examiner et créer une politique), spécifiez un nom sous Name et une Description (facultatif) pour la politique que vous êtes en train de créer.

2. (Facultatif) Dans la section Summary (Résumé), vous pouvez consulter les autorisations qui seront incluses dans la politique.

3. (Facultatif) Ajoutez des métadonnées à la politique en associant les balises sous forme de paires clé-valeur. Pour de plus amples informations sur l'utilisation de balises dans IAM, veuillez consulter Balisage des ressources IAM.

4. Lorsque vous avez terminé, effectuez l'une des opérations suivantes :

   • Vous pouvez attacher la nouvelle politique directement au rôle qui a été utilisé pour générer la politique. Pour ce faire, en bas de la page, activez la case à cocher en regard de Attacher la politique à YourRoleName. Ensuite, sélectionnez Create and attach policy (Créer et attacher une politique).

   • Sinon, cliquez sur Create policy (Créer une politique). Vous trouverez la politique que vous avez créée dans la liste des politiques du panneau de navigation Policies (Politiques) de la console IAM.

5. Vous pouvez attacher la politique que vous avez créée à une entité de votre compte. Après avoir attaché la politique, vous pouvez supprimer toute autre politique trop étendue qui pourrait être attachée à l'entité. Pour savoir comment attacher une politique gérée, veuillez consulter Adding IAM identity permissions (Ajout d'autorisations d'identité IAM) (console).

Étape 1 : choisir ou créer un rôle pour l'accès intercompte

• Sur l'écran Generate policy (Générer une politique), l'optionUse an existing role (Utiliser un rôle existant) est présélectionnée pour vous si un rôle avec les autorisations requises existe dans votre compte. Sinon, sélectionnez Create and use a new service role (Créer et utiliser un nouveau rôle de service). Le nouveau rôle est utilisé pour octroyer à l'analyseur d'accès IAM l'accès à vos journaux CloudTrail dans le compte B.

Étape 2 : vérifier la configuration du compartiment Amazon S3 dans le compte B

1. Connectez-vous à la AWS Management Console et ouvrez la console Amazon S3 à l’adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Buckets (Compartiments), sélectionnez le nom du compartiment dans lequel sont stockés vos journaux de piste CloudTrail.

3. Choisissez l'onglet Permissions (Autorisations) et accédez à la section Object ownership (Propriété des objets).

   Utilisez les paramètres de propriété des objets du compartiment Amazon S3 pour contrôler la propriété des objets que vous chargez dans vos compartiments. Par défaut, lorsque d'autres Comptes AWS chargent des objets dans votre compartiment, le compte qui les a chargés est propriétaire des objets. Pour générer une politique, le propriétaire du compartiment doit posséder tous les objets du compartiment. Selon votre cas d'utilisation ACL, vous pouvez modifier le réglage Object Ownership (Propriété de l'objet) pour votre compartiment. Définissez Object Ownership (Propriété de l'objet) sur l'une des options suivantes.

   • Bucket owner enforced (Propriétaire du compartiment imposé) (recommandé)

   • Bucket owner preferred (Propriétaire du compartiment préféré

   Important

   Pour générer une politique avec succès, les objets du compartiment doivent appartenir au propriétaire du compartiment. Si vous choisissez d'utiliser Bucket owner preferred (Propriétaire du compartiment préféré), vous ne pouvez générer une politique que pour la période qui suit la modification de propriété de l'objet.

   Pour en savoir plus sur la propriété des objets dans Amazon S3, veuillez consulter la rubrique Contrôle de la propriété des objets et désactivation des ACL pour votre compartiment dans le Guide de l'utilisateur d'Simple Storage Service (Amazon S3).

4. Ajoutez des autorisations à votre politique de compartiment Amazon S3 dans le compte B afin d'autoriser l'accès au rôle dans le compte A.

   L'exemple de politique suivant autorise ListBucket et GetObject pour le compartiment nommé amzn-s3-demo-bucket. Il autorise l'accès si le rôle accédant au compartiment appartient à un compte de votre organisation et a un nom commençant par AccessAnalyzerMonitorServiceRole. L’utilisation d’aws:PrincipalArn en tant que Condition dans l’élément Resource garantit que le rôle ne peut accéder à l’activité du compte que s’il appartient au compte A. Vous pouvez remplacer amzn-s3-demo-bucket par le nom de votre compartiment, optional-prefix par un préfixe facultatif pour le compartiment et organization-id par votre ID d’organisation.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Sid": "PolicyGenerationBucketPolicy",
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": [
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket",
           "arn:aws:s3:::amzn-s3-demo-bucket/optional-prefix/AWSLogs/organization-id/${aws:PrincipalAccount}/*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:PrincipalOrgID": "organization-id"
           },
           "ArnLike": {
             "aws:PrincipalArn": "arn:aws:iam:::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }
   

5. Si vous chiffrez vos journaux à l'aide d'AWS KMS, mettez à jour votre stratégie de clé AWS KMS dans le compte où vous stockez les journaux CloudTrail afin d'autoriser l'analyseur d'accès IAM à utiliser votre clé, comme indiqué dans l'exemple de stratégie suivant. Remplacez CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN par l'ARN pour votre piste et organization-id par l'ID de votre organisation.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": "kms:Decrypt",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN",
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "kms:ViaService": [
               "access-analyzer.*.amazonaws.com",
               "s3.*.amazonaws.com"
               ]
           },
           "ArnLike": {
             "aws:PrincipalArn": "arn:aws:iam:::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
        }
       ]
   }