Clés de contexte de condition IAM et AWS STS

Fonctionne avec des opérateurs ARN.

Spécifie l'ARN de la ressource à laquelle ce rôle sera associé dans le service de destination. La ressource appartient généralement au service auquel le principal transmet le rôle. Parfois, la ressource peut appartenir à un troisième service. Par exemple, vous pouvez transmettre à Amazon EC2 Auto Scaling un rôle qui sera utilisé sur une instance Amazon EC2. Dans ce cas, la condition correspondrait à l'ARN de l'instance Amazon EC2.

Cette clé de condition s'applique uniquement à l'action PassRole dans une politique. Elle ne peut pas être utilisée pour limiter une autre action.

Utilisez cette clé de condition dans une politique basée sur l’identité pour permettre à une entité de transmettre un rôle, mais uniquement si ce rôle est associé à la ressource spécifiée. Par exemple, vous pouvez autoriser un utilisateur ou un rôle IAM à transmettre n’importe quel rôle au service Amazon EC2 à utiliser avec des instances dans le Compte AWS. L'utilisateur ou le rôle IAM ne serait pas autorisé à transmettre des rôles à d'autres services.

{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "iam:PassedToService": "ec2.amazonaws.com"
        },
        "ArnLike": {
            "iam:AssociatedResourceARN": [
                "arn:aws:ec2:*:111122223333:instance/*"
            ]
        }
    }
}

Fonctionne avec des opérateurs de chaîne.

Spécifie le service AWS auquel ce rôle est attaché.

Cette clé de condition est prise en charge par l’opération de l’API CreateServiceLinkedRole.

Dans cet exemple, vous autorisez une entité à créer un rôle lié à un service en utilisant l’opération de l’API CreateServiceLinkedRole si le nom de service est access-analyzer.amazonaws.com.

Fonctionne avec des opérateurs de chaîne.

Vérifie le niveau de certification FIDO de l'appareil MFA au moment de l'enregistrement d'une clé de sécurité FIDO. La certification de l'appareil est extraite du FIDO Alliance Metadata Service (MDS). Si le statut ou le niveau de certification de votre clé de sécurité FIDO change, celui-ci ne sera pas mis à jour à moins que l'appareil ne soit désenregistré et enregistré de nouveau pour récupérer les informations de certification mises à jour.

Valeurs possibles de L1, L1plus, L2, L2plus, L3, L3plus

Dans cet exemple, vous enregistrez une clé de sécurité et récupérez la certification FIDO de niveau 1 plus pour votre appareil.

Fonctionne avec des opérateurs de chaîne.

Vérifie le niveau de certification de la validation FIPS-140-2 de l'appareil MFA au moment de l'enregistrement d'une clé de sécurité FIDO. La certification de l'appareil est extraite du FIDO Alliance Metadata Service (MDS). Si le statut ou le niveau de certification de votre clé de sécurité FIDO change, celui-ci ne sera pas mis à jour à moins que l'appareil ne soit désenregistré et enregistré de nouveau pour récupérer les informations de certification mises à jour.

Valeurs possibles de L1, L2, L3, L4

Dans cet exemple, vous enregistrez une clé de sécurité et récupérez la certification FIPS-140-2 de niveau 2 pour votre appareil.

Fonctionne avec des opérateurs de chaîne.

Vérifie le niveau de certification de la validation FIPS-140-3 de l'appareil MFA au moment de l'enregistrement d'une clé de sécurité FIDO. La certification de l'appareil est extraite du FIDO Alliance Metadata Service (MDS). Si le statut ou le niveau de certification de votre clé de sécurité FIDO change, celui-ci ne sera pas mis à jour à moins que l'appareil ne soit désenregistré et enregistré de nouveau pour récupérer les informations de certification mises à jour.

Valeurs possibles de L1, L2, L3, L4

Dans cet exemple, vous enregistrez une clé de sécurité et récupérez la certification FIPS-140-3 de niveau 3 pour votre appareil.

Fonctionne avec des opérateurs de chaîne.

Vérifie que la politique avec l'ID AWS Organizations spécifié correspond à la politique utilisée dans la demande. Pour voir un exemple de politique IAM qui utilise cette clé de condition, veuillez consulter IAM : afficher les dernières informations consultées relatives au service pour une politique AWS Organizations.

Fonctionne avec des opérateurs de chaîne.

Spécifie le principal du service auquel un rôle peut être transmis. Cette clé de condition s'applique uniquement à l'action PassRole dans une politique. Elle ne peut pas être utilisée pour limiter une autre action.

Lorsque vous utilisez cette clé de condition dans une politique, spécifiez le service à l'aide d'un principal service. Un principal de service est le nom d'un service qui peut être spécifié dans l'élément Principal d'une politique. Il s'agit du format habituel : SERVICE_NAME_URL.amazonaws.com.

Vous pouvez utiliser iam:PassedToService pour limiter vos utilisateurs de sorte qu'ils puissent transmettre des rôles uniquement à des services spécifiques. Par exemple, un utilisateur peut créer un rôle de service qui autorise CloudWatch à écrire des données de journal en son nom dans un compartiment Amazon S3. Ensuite, l'utilisateur doit attacher une politique d'autorisation et une politique d'approbation au nouveau rôle de service. Dans ce cas, la politique d'approbation doit spécifier cloudwatch.amazonaws.com dans l'élément Principal. Pour afficher une politique qui permet à l'utilisateur de transmettre le rôle à CloudWatch, consultez IAM : transmettre un rôle IAM à un service AWS spécifique.

En utilisant cette clé de condition, vous pouvez vous assurer que les utilisateurs créent des rôles de service uniquement pour les services que vous spécifiez. Par exemple, si un utilisateur de la politique précédente tente de créer un rôle de service pour Amazon EC2, l'opération échouera. L'échec se produit, car l'utilisateur n'est pas autorisé à transmettre le rôle à Amazon EC2.

Parfois, vous transmettez un rôle à un service, qui le transmet ensuite à un service différent. iam:PassedToService inclut uniquement le service final qui endosse le rôle, et non le service intermédiaire qui transmet le rôle.

Fonctionne avec des opérateurs ARN.

Vérifie que la politique spécifiée est attachée en tant que limite d'autorisations sur la ressource du principal IAM. Pour plus d'informations, veuillez consulter Limites d'autorisations pour les entités IAM

Fonctionne avec des opérateurs ARN.

Vérifie l'ARN (Amazon Resource Name) d'une politique gérée dans les demandes qui impliquent ce type de politique. Pour de plus amples informations, consultez Contrôle de l'accès aux politiques.

Fonctionne avec des opérateurs de chaîne.

Vérifie l'état actuel de l'activation de l'appareil MFA.

Valeurs possibles de Create ou Activate.

Dans cet exemple, vous enregistrez une clé de sécurité et récupérez la certification FIPS-140-3 de niveau 1 pour votre appareil.

Fonctionne avec des opérateurs de chaîne.

Vérifie que l'étiquette attachée à la ressource d'identité (utilisateur ou rôle) correspond aux nom et valeur de la clé spécifiée.

Vous pouvez ajouter des attributs personnalisés à des ressources IAM sous la forme d'une paire clé-valeur. Pour plus d'informations sur les balises pour les ressources IAM, consultez Balises pour les ressources AWS Identity and Access Management. Vous pouvez utiliser ResourceTag pour contrôler l'accès aux ressources AWS, y compris les ressources IAM. Cependant, comme IAM ne prend pas en charge les balises pour les groupes, vous ne pouvez pas utiliser de balises pour contrôler l'accès aux groupes.

Cet exemple montre comment vous pouvez créer une politique basée sur l'identité qui autorise la suppression des utilisateurs avec la balise status=terminated. Pour utiliser cette politique, remplacez le texte de l'espace réservé en italique dans l'exemple de politique par vos propres informations de ressource. Ensuite, suivez les instructions fournies dans create a policy (créer une politique) ou edit a policy (modifier une politique).

Fonctionne avec des opérateurs numériques.

Cette clé de condition limite la création d’informations d’identification spécifiques au service en fonction de leurs paramètres d’expiration. Elle vous permet de contrôler la durée maximale, en jours, des informations d’identification spécifiques au service qui peuvent être créées.

La plage valide pour les jours est comprise entre 1 et 36 600 (minimum 1 jour, maximum 36 600 jours).

Cette clé de condition est prise en charge par l’opération de l’API CreateServiceSpecificCredential.

Dans cet exemple, vous autorisez un utilisateur à créer des informations d’identification spécifiques au service Amazon Bedrock uniquement si elles expirent dans les 90 jours.

Fonctionne avec des opérateurs de chaîne.

Spécifie les services AWS qui peuvent être utilisés lors de la gestion des informations d’identification spécifiques aux services. Cette clé de condition vous permet de restreindre les services AWS autorisés lors de la gestion des informations d’identification spécifiques à un service.

Cette clé de condition est prise en charge par les opérations d’API suivante :

Les services suivants sont pris en charge pour les informations d’identification spécifiques au service avec leur formatage de valeur exact :

Dans cet exemple, vous autorisez un utilisateur à créer des informations d’identification spécifiques au service à l’aide de l’opération d’API CreateServiceSpecificCredential uniquement pour le service Amazon Bedrock.

Fonctionne avec des opérateurs de chaîne.

L'URL d'un point de terminaison auquel les assertions SAML sont présentées. La valeur de cette clé provient du champ SAML Recipient de l'assertion, non du champ Audience.

Fonctionne avec des opérateurs de chaîne.

Attribut commonName.

Fonctionne avec des opérateurs de chaîne.

Attribut eduOrg.

Fonctionne avec des opérateurs de chaîne.

Représente le principal utilisé pour endosser le rôle. Le format est ID compte/nom convivial fournisseur, par exemple 123456789012/SAMLProviderName. La valeur ID compte fait référence au compte qui est propriétaire du fournisseur SAML.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduPerson.

Fonctionne avec des opérateurs de chaîne.

Attribut eduOrg.

Fonctionne avec des opérateurs de chaîne.

Attribut eduOrg.

Fonctionne avec des opérateurs de chaîne.

Attribut eduOrg.

Fonctionne avec des opérateurs de chaîne.

Attribut eduOrg.

Fonctionne avec des opérateurs de chaîne.

Attribut eduOrg.

Fonctionne avec des opérateurs de chaîne.

Attribut givenName.

Fonctionne avec des opérateurs de chaîne.

Auteur, représenté par un URN.

Fonctionne avec des opérateurs de chaîne.

Attribut mail.

Fonctionne avec des opérateurs de chaîne.

Attribut name.

Fonctionne avec des opérateurs de chaîne.

Valeur de hachage basée sur le nom convivial du fournisseur SAML. La valeur est la concaténation des valeurs suivantes, dans l'ordre et séparées par le caractère '/' :

La concaténation de l'ID de compte et du nom convivial du fournisseur SAML est disponible dans les politiques IAM en tant que clé saml:doc. Pour plus d’informations, veuillez consulter Identification unique des utilisateurs dans la fédération SAML.

Fonctionne avec des opérateurs de chaîne.

Attribut organizationStatus.

Fonctionne avec des opérateurs de chaîne.

Attribut primaryGroupSID.

Fonctionne avec des opérateurs de chaîne.

Objet de la demande, qui inclut une valeur qui identifie de manière unique un utilisateur individuel au sein d'une organisation (par exemple, _cbb88bf52c2510eabe00c1642d4643f41430fe25e3).

Fonctionne avec des opérateurs de chaîne.

Cette clé peut avoir la valeur persistent, transient, ou consister en l'URI Format complet des éléments Subject et NameID utilisés dans votre assertion SAML. La valeur persistent indique que la valeur de saml:sub reste la même pour l'utilisateur entre les sessions. Si la valeur est transient, l'utilisateur a une valeur saml:sub différente pour chaque session. Pour plus d'informations sur l'attribut NameID de l'élément Format, consultez Configuration d’assertions SAML pour la réponse d’authentification.

Fonctionne avec des opérateurs de chaîne.

Attribut surnameuid.

Fonctionne avec des opérateurs de chaîne.

Attribut uid.

Fonctionne avec des opérateurs de chaîne.

Attribut x500UniqueIdentifier.

Fonctionne avec des opérateurs de chaîne.

Objet de la demande, qui inclut une valeur qui identifie de manière unique un utilisateur individuel au sein d'une organisation (par exemple, _cbb88bf52c2510eabe00c1642d4643f41430fe25e3).

Fonctionne avec des opérateurs de chaîne.

Utilisez cette clé pour spécifier un service dans lequel un jeton porteur fonctionne. Lorsque vous utilisez cette clé de condition dans une politique, spécifiez le service à l'aide d'un principal service. Un principal de service est le nom d'un service qui peut être spécifié dans l'élément Principal d'une politique. Par exemple, codeartifact.amazonaws.com est le principal du service AWS CodeArtifact.

Disponibilité : cette clé est présente dans les demandes qui obtiennent un jeton porteur. Vous ne pouvez pas faire un appel direct vers l'interface AWS STS pour obtenir un jeton porteur. Lorsque vous effectuez certaines opérations dans d'autres services, le service demande le jeton au porteur en votre nom.

Certains services AWS nécessitent que vous ayez l'autorisation d'obtenir un jeton porteur du service AWS STS avant de pouvoir accéder à leurs ressources par programmation. Par exemple, AWS CodeArtifact exige des principaux qu'ils utilisent des jetons porteurs pour effectuer certaines opérations. La commande aws codeartifact get-authorization-token renvoie un jeton porteur. Vous pouvez ensuite utiliser le jeton porteur pour effectuer des opérations AWS CodeArtifact. Pour de plus amples informations sur les jetons porteurs, veuillez consulter Jeton porteur de service.

Vous pouvez utiliser cette clé de condition pour permettre aux entités d'obtenir un jeton porteur à utiliser avec un service spécifique.

Fonctionne avec des opérateurs numériques.

Utilisez cette clé pour spécifier la durée (en secondes) qu'un principal peut utiliser lors de l'obtention d'un jeton porteur AWS STS.

Disponibilité : cette clé est présente dans les demandes qui obtiennent un jeton porteur. Vous ne pouvez pas faire un appel direct vers l'interface AWS STS pour obtenir un jeton porteur. Lorsque vous effectuez certaines opérations dans d'autres services, le service demande le jeton au porteur en votre nom. La clé n'est pas présente pour les opérations AWS STS assume-role.

Certains services AWS nécessitent que vous ayez l'autorisation d'obtenir un jeton porteur du service AWS STS avant de pouvoir accéder à leurs ressources par programmation. Par exemple, AWS CodeArtifact exige des principaux qu'ils utilisent des jetons porteurs pour effectuer certaines opérations. La commande aws codeartifact get-authorization-token renvoie un jeton porteur. Vous pouvez ensuite utiliser le jeton porteur pour effectuer des opérations AWS CodeArtifact. Pour de plus amples informations sur les jetons porteurs, veuillez consulter Jeton porteur de service.

Fonctionne avec des opérateurs de chaîne.

Utilisez cette clé pour exiger qu'un principal fournisse un identifiant spécifique lors de la prise en charge d'un rôle IAM.

Disponibilité : cette clé est présente dans la demande lorsque le principal fournit un ID externe tout en endossant un rôle à l'aide de l'AWS CLI ou de l'API AWS.

Identifiant unique qui peut être requis lorsque vous endossez un rôle dans un autre compte. Si l'administrateur du compte auquel appartient le rôle vous a fourni un ID externe, indiquez cette valeur dans le paramètre ExternalId. Cette valeur peut être n'importe quelle chaîne, comme une phrase de passe ou un numéro de compte. La fonction principale de l'ID externe consiste à traiter et à prévenir le problème du député confus. Pour de plus amples informations sur l'ID externe et le problème du député confus, veuillez consulter Accès à des Comptes AWS appartenant à des tiers.

La valeur ExternalId peut avoir un minimum de 2 caractères et un maximum de 1 224 caractères. La valeur doit être alphanumérique sans espaces. Elle peut également inclure les symboles suivants : signe plus (+), signe égal (=), virgule (,), point (.), arobase (@), deux points (:), barre oblique (/) et tiret (-).

Fonctionne avec des opérateurs de chaîne.

Utilisez cette clé pour comparer les paires clé-valeur du contexte de session intégrées dans l'assertion contextuelle signée par l'émetteur du jeton sécurisé transmise dans la demande avec les paires clé-valeurs spécifiées dans la politique de confiance des rôles.

Disponibilité : cette clé est présente dans la demande lorsqu’une assertion de contexte est fournie dans le paramètre de demande ProvidedContexts lorsqu’elle endosse un rôle au moyen de l’API AssumeRole AWS STS.

Cette clé de contexte a le format suivant : "sts:RequestContext/context-key":"context-value" où context-key et context-value constituent une paire clé-valeur de contexte. Lorsque plusieurs clés de contexte sont intégrées dans l'assertion de contexte signée transmise dans la demande, il y a une clé de contexte pour chaque paire clé-valeur. Vous devez autoriser l'action sts:SetContext dans la politique de confiance des rôles afin de permettre à un principal de définir des clés de contexte dans le jeton de session obtenu. Pour en savoir plus sur les clés de contexte IAM Identity Center prises en charge qui peuvent être utilisées avec cette clé, consultez la section clés de condition AWS STS pour IAM Identity Center dans le Guide de l’utilisateur AWS IAM Identity Center.

Vous pouvez utiliser cette clé dans une politique de confiance des rôles pour appliquer un contrôle d'accès précis basé sur l'utilisateur ou ses attributs lorsqu'il endosse un rôle. Une fois le rôle endossé, l’activité apparaît dans les journaux AWS CloudTrail de l’attribut AdditionalEventData, contenant les paires clé-valeur du contexte de session définies par le fournisseur de contexte dans la demande d’attribution du rôle. Cela permet aux administrateurs de différencier plus facilement les sessions de rôle lorsqu'un rôle est utilisé par différents principaux. Les paires clé-valeur sont définies par le fournisseur de contexte spécifié, et non par AWS CloudTrail ou AWS STS. Cela permet au fournisseur de contexte de contrôler le contexte contenu dans les journaux et les informations de session CloudTrail.

Fonctionne avec des opérateurs ARN.

Utilisez cette clé pour comparer l'ARN du fournisseur de contexte dans la demande avec l'ARN du fournisseur de contexte spécifié dans la politique de confiance des rôles.

Disponibilité : cette clé est présente dans la demande lorsqu’une assertion de contexte est fournie dans le paramètre de demande ProvidedContexts lorsqu’elle endosse un rôle au moyen de l’API AssumeRole AWS STS.

L'exemple de condition suivant vérifie que l'ARN du fournisseur de contexte transmis dans la demande correspond à l'ARN spécifié dans la condition de politique d'approbation des rôles. Nous vous recommandons d’ajouter une vérification de valeur nulle avec ForAllValues afin d’éviter que les clés de contexte manquantes ou les clés de contexte avec des valeurs vides ne soient évaluées comme vraies. Pour en savoir plus, consultez Opérateur de condition pour vérifier l'existence de clés de condition .

Fonctionne avec des opérateurs de chaîne.

Utilisez cette clé pour comparer le nom de session spécifié par un principal lorsqu'il endosse un rôle avec la valeur spécifiée dans la politique.

Availability (Disponibilité) : cette clé est présente dans la demande lorsque le principal endosse le rôle à l'aide de la Console de gestion AWS Management Console, de la commande de CLI assume-role ou de l'opération d'API AWS STS AssumeRole.

Vous pouvez utiliser cette clé dans une politique d'approbation de rôle pour exiger que vos utilisateurs fournissent un nom de session spécifique lorsqu'ils endossent un rôle. Par exemple, vous pouvez exiger que les utilisateurs IAM spécifient leur propre nom d'utilisateur comme nom de session. Une fois que l'utilisateur IAM endosse le rôle, l'activité apparaît dans les journaux AWS CloudTrail sous le nom de session correspondant à son nom d'utilisateur. Cela permet aux administrateurs de différencier plus facilement les sessions de rôle lorsqu'un rôle est utilisé par différents principaux.

La politique d'approbation de rôle suivante exige que les utilisateurs IAM dans le compte 111122223333 fournissent leur nom d'utilisateur IAM comme nom de session lorsqu'ils endossent le rôle. Cette exigence est appliquée à l'aide de la variable de condition aws:username dans la clé de condition. Cette politique permet aux utilisateurs IAM d'endosser le rôle auquel la politique est attachée. Cette politique empêche quiconque utilise des informations d'identification temporaires d'endosser le rôle, car la variable username est uniquement présente pour les utilisateurs IAM.

Lorsqu'un administrateur affiche le journal AWS CloudTrail d'une action, il peut comparer le nom de session aux noms d'utilisateurs de son compte. Dans l'exemple suivant, l'utilisateur appelé matjac a effectué l'opération en utilisant le rôle appelé MateoRole. L'administrateur peut alors contacter Mateo Jackson, dont le nom d'utilisateur est matjac.

    "assumedRoleUser": {
        "assumedRoleId": "AROACQRSTUVWRAOEXAMPLE:matjac",
        "arn": "arn:aws:sts::111122223333:assumed-role/MateoRole/matjac"
    }

Si vous autorisez l'accès entre comptes à l'aide de rôles, les utilisateurs d'un compte peuvent endosser un rôle dans un autre compte. L'ARN de l'utilisateur du rôle endossé répertorié dans CloudTrail inclut le compte où le rôle existe. Il n'inclut pas le compte de l'utilisateur qui a endossé le rôle. Les utilisateurs ne sont uniques qu'au sein d'un compte. Par conséquent, nous vous recommandons d'utiliser cette méthode pour vérifier les journaux CloudTrail uniquement pour les rôles endossés par les utilisateurs dans les comptes que vous administrez. Vos utilisateurs peuvent utiliser le même nom d'utilisateur dans plusieurs comptes.

Fonctionne avec des opérateurs de chaîne.

Utilisez cette clé pour comparer l'identité source spécifiée par un principal lorsqu'il endosse un rôle avec la valeur spécifiée dans la politique.

Disponibilité : cette clé est présente dans la demande lorsque le principal fournit une identité source lorsqu'il endosse un rôle au moyen d'une commande de la CLI assume-role AWS STS ou d'une opération d'API AssumeRole AWS STS.

Vous pouvez utiliser cette clé dans une politique d'approbation de rôle pour exiger que vos utilisateurs définissent une identité source spécifique lorsqu'ils endossent un rôle. Par exemple, vous pouvez exiger que votre main-d'œuvre ou vos identités fédérées spécifient une valeur pour l'identité source. Vous pouvez configurer votre fournisseur d'identité (IdP) de sorte qu'il utilise l'un des attributs associés à vos utilisateurs, un nom d'utilisateur ou un e-mail par exemple, comme identité source. L'IdP transmet ensuite l'identité source sous forme d'attribut dans les assertions ou revendications qu'il envoie à AWS. La valeur de l'attribut d'identité source identifie l'utilisateur ou l'application qui endosse le rôle.

Une fois que l'utilisateur endosse le rôle, l'activité apparaît dans les journaux AWS CloudTrail avec la valeur d'identité source qui a été définie. Cela permet aux administrateurs de déterminer plus facilement qui ou quoi a effectué des actions avec un rôle dans AWS. Vous devez octroyer des autorisations pour l'action sts:SetSourceIdentity afin d'autoriser une identité à définir une identité source.

Contrairement à sts:RoleSessionName, une fois l'identité source définie, la valeur ne peut plus être modifiée. Elle est présente dans le contexte de la demande pour toutes les actions effectuées avec le rôle par l'identité source. La valeur persiste dans les sessions de rôle suivantes lorsque vous utilisez les informations d'identification de session pour endosser un autre rôle. Le fait d'endosser un rôle à partir d'un autre est appelé chaînage des rôles.

Vous pouvez utiliser la clé de condition globale aws:SourceIdentity pour renforcer le contrôle de l'accès aux ressources AWS en fonction de la valeur de l'identité source dans les demandes suivantes.

La politique de confiance de rôle suivante autorise l'utilisateur IAM AdminUserà endosser un rôle dans le compte 111122223333. Elle octroie également l'autorisation à l'interface AdminUser de définir une identité source, dans la mesure où l'identité source définie correspond à DiegoRamirez.

Pour en savoir plus sur les informations relatives à l'identité source, veuillez consulter Surveiller et contrôler les actions prises avec les rôles endossés.

Fonctionne avec des opérateurs ARN.

Utilisez cette clé pour comparer l’ARN de la politique d’une requête sts:AssumeRoot avec l’ARN de la politique spécifié dans la politique.

Disponibilité : cette clé est présente dans la requête lorsque vous effectuez une requête à l’aide de sts:AssumeRoot.

Les administrateurs peuvent utiliser cette clé de condition dans les politiques IAM pour empêcher certains rôles ou utilisateurs du compte de gestion ou du compte d’administrateur délégué d’effectuer certaines actions lorsqu’ils utilisent les informations d’identification racine. Pour de plus amples informations, consultez Réaliser une tâche privilégiée sur un compte membre AWS Organizations.

Fonctionne avec des opérateurs de chaîne.

Utilisez cette clé pour comparer les clés des balises de session transitoire de la demande avec celles spécifiées dans la politique.

Availability (Disponibilité) : cette clé est présente dans la demande lorsque vous effectuez une demande à l'aide d'informations d'identification de sécurité temporaires. Il s'agit notamment des informations d'identification créées à l'aide d'une opération assume-rôle, ou de l'opération GetFederationToken.

Lorsque vous effectuez une demande à l'aide d'informations d'identification de sécurité temporaires, le contexte de la demande inclut la clé de contexte aws:PrincipalTag. Cette clé inclut une liste de balises de session, de balises de session transitoire et de balises de rôle. Les balises de session transitoires sont des balises qui perdurent pendant toutes les sessions ultérieures lorsque vous utilisez les informations d'identification de session pour endosser un autre rôle. Le fait d'endosser un rôle à partir d'un autre est appelé chaînage des rôles.

Vous pouvez utiliser cette clé de condition dans une politique pour exiger la définition de balises de session spécifiques comme transitoires lorsque vous endossez un rôle ou fédérez un utilisateur.