Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # AWS Batch Politiques, rôles et autorisations IAM Par défaut, les utilisateurs ne sont pas autorisés à créer ou à modifier AWS Batch des ressources ou à effectuer des tâches à l'aide de l' AWS Batch API, de la AWS Batch console ou du AWS CLI. Pour permettre aux utilisateurs d'effectuer ces actions, créez des politiques IAM qui accordent aux utilisateurs l'autorisation d'accéder à des ressources et à des opérations d'API spécifiques. Attachez ensuite les politiques aux utilisateurs ou aux groupes qui ont besoin de ces autorisations. Lorsque vous associez une politique à un utilisateur ou à un groupe d'utilisateurs, elle autorise ou refuse les autorisations d'effectuer des tâches spécifiques sur des ressources spécifiques. Pour plus d'informations, consultez la section [Permissions et politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/PermissionsAndPolicies.html) du *guide de l'utilisateur IAM*. Pour plus d'informations sur la gestion et la création de stratégies IAM personnalisées, consultez [Gestion des stratégies IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html). AWS Batch passe des appels à d'autres Services AWS personnes en votre nom. Par conséquent, vous AWS Batch devez vous authentifier à l'aide de vos informations d'identification. Plus précisément, AWS Batch s'authentifie en créant un rôle et une politique IAM fournissant ces autorisations. Il associe ensuite le rôle à vos environnements informatiques lorsque vous les créez. Pour plus d'informations[Rôle d'instance Amazon ECS](instance_IAM_role.md), consultez les sections Rôles [IAM, Utilisation de rôles](https://docs.aws.amazon.com/IAM/latest/UserGuide/roles-toplevel.html) [liés à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html) et [Création d'un rôle pour déléguer des autorisations à un AWS service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) dans le Guide de l'utilisateur *IAM*. **Topics** + [Structure des politiques IAM](iam-policy-structure.md) + [Ressource : exemples de politiques pour AWS Batch](ExamplePolicies_BATCH.md) + [Ressource : politique AWS Batch gérée](batch_managed_policies.md) # Structure des politiques IAM Les rubriques suivantes expliquent la structure d’une politique IAM. **Topics** + [Syntaxe d’une politique](#policy-syntax) + [Actions d'API pour AWS Batch](#UsingWithbatch_Actions) + [Noms de ressources Amazon pour AWS Batch](#batch_ARN_Format) + [Vérifiez que les utilisateurs disposent des autorisations requises](#check-required-permissions) ## Syntaxe d’une politique Une politique IAM est un document JSON qui se compose d’une ou de plusieurs déclarations. Chaque déclaration est structurée comme suit : ``` { "Statement":[{ "Effect":"effect", "Action":"action", "Resource":"arn", "Condition":{ "condition":{ "key":"value" } } } ] } ``` Les quatre éléments principaux d'une déclaration sont les suivants : + **Effect :** *effect* peut avoir la valeur `Allow` ou `Deny`. Par défaut, les utilisateurs ne sont pas autorisés à utiliser les ressources et les actions d'API. Toutes les demandes sont donc rejetées. Une autorisation explicite remplace l’autorisation par défaut. Un refus explicite remplace toute autorisation. + **Action** : L'*action* est l'action d'API spécifique pour laquelle vous accordez ou refusez l'autorisation. Pour obtenir des instructions sur la manière de spécifier l'*action*, reportez-vous à la section[Actions d'API pour AWS Batch](#UsingWithbatch_Actions). + **Resource** : la ressource affectée par l’action. Avec certaines actions d' AWS Batch API, vous pouvez inclure dans votre politique des ressources spécifiques qui peuvent être créées ou modifiées par l'action. Pour spécifier une ressource dans la déclaration, vous utilisez son nom Amazon Resource Name (ARN). Pour plus d’informations, consultez [Autorisations prises en charge au niveau des ressources pour les actions d'API AWS Batch](batch-supported-iam-actions-resources.md) et [Noms de ressources Amazon pour AWS Batch](#batch_ARN_Format). Si l'opération AWS Batch d'API ne prend actuellement pas en charge les autorisations au niveau des ressources, incluez un caractère générique (\$1) pour indiquer que toutes les ressources peuvent être affectées par l'action. + **Condition** : les conditions sont facultatives. Elles permettent de contrôler à quel moment votre politique est effective. Pour plus d'informations sur les exemples de déclarations de politique IAM pour AWS Batch, consultez[Ressource : exemples de politiques pour AWS Batch](ExamplePolicies_BATCH.md). ## Actions d'API pour AWS Batch Dans une déclaration de politique IAM, vous pouvez spécifier une action d’API à partir de n’importe quel service prenant en charge IAM. Pour AWS Batch, utilisez le préfixe suivant avec le nom de l'action d'API : `batch:` (par exemple, `batch:SubmitJob` et`batch:CreateComputeEnvironment`). Pour spécifier plusieurs actions dans une seule instruction, séparez-les par une virgule. ``` "Action": ["batch:action1", "batch:action2"] ``` Vous pouvez également spécifier plusieurs actions en incluant un caractère générique (\$1). Par exemple, vous pouvez spécifier toutes les actions avec un nom commençant par le mot « Décrire ». ``` "Action": "batch:Describe*" ``` Pour spécifier toutes les actions AWS Batch d'API, incluez un caractère générique (\$1). ``` "Action": "batch:*" ``` Pour obtenir la liste des AWS Batch actions, consultez la section [Actions](https://docs.aws.amazon.com/batch/latest/APIReference/API_Operations.html) dans la *référence de l'AWS Batch API*. ## Noms de ressources Amazon pour AWS Batch Chaque déclaration de politique IAM s'applique aux ressources que vous spécifiez à l'aide de leur Amazon Resource Names (ARNs). La syntaxe générale d'un Amazon Resource Name (ARN) est la suivante : ``` arn:aws:[service]:[region]:[account]:resourceType/resourcePath ``` *web* Le service (par exemple, `batch`). *region* Le Région AWS pour la ressource (par exemple,`us-east-2`). *account* L' Compte AWS identifiant, sans tiret (par exemple,`123456789012`). *resourceType* Le type de ressource (par exemple, `compute-environment`). *chemin de la ressource* Un chemin qui identifie la ressource. Vous pouvez utiliser un caractère générique (\$1) dans vos tracés. AWS Batch Les opérations d'API prennent actuellement en charge les autorisations au niveau des ressources pour plusieurs opérations d'API. Pour de plus amples informations, veuillez consulter [Autorisations prises en charge au niveau des ressources pour les actions d'API AWS Batch](batch-supported-iam-actions-resources.md). Pour spécifier toutes les ressources, ou si une action d'API spécifique n'est pas prise en charge ARNs, incluez un caractère générique (\$1) dans l'`Resource`élément. ``` "Resource": "*" ``` ## Vérifiez que les utilisateurs disposent des autorisations requises Avant de mettre une politique IAM en production, assurez-vous qu'elle accorde aux utilisateurs les autorisations nécessaires pour utiliser les actions d'API et les ressources spécifiques dont ils ont besoin. Pour ce faire, créez d'abord un utilisateur à des fins de test et associez la politique IAM à l'utilisateur de test. Ensuite, créez une demande en tant qu’utilisateur test. Vous pouvez tester les demandes dans la console ou avec l' AWS CLI. **Note** Vous pouvez également tester vos politiques à l'aide du [simulateur de politiques IAM](https://policysim.aws.amazon.com/home/index.jsp?#). Pour plus d'informations sur le simulateur de politiques, consultez la section [Utilisation du simulateur de politiques IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/policies_testing-policies.html) dans le guide de l'*utilisateur d'IAM*. Si la stratégie n'accorde pas à l'utilisateur les autorisations que vous escomptiez, ou si elles sont trop excessives, vous pouvez ajuster la stratégie selon vos besoins. Testez-la à nouveau jusqu'à ce que vous obteniez les résultats souhaités. **Important** La propagation des modifications de la politique peut durer plusieurs minutes avant qu’elles ne prennent effet. Par conséquent, nous vous recommandons de laisser passer au moins cinq minutes avant de tester les mises à jour de vos politiques. Si un contrôle d’autorisation échoue, la demande retourne un message codé avec les informations de diagnostic. Vous pouvez décoder le message à l’aide de l’action `DecodeAuthorizationMessage`. Pour plus d'informations, reportez-vous [DecodeAuthorizationMessage](https://docs.aws.amazon.com/STS/latest/APIReference/API_DecodeAuthorizationMessage.html)à la *référence de l'AWS Security Token Service API* et [decode-authorization-message](https://docs.aws.amazon.com/cli/latest/reference/sts/decode-authorization-message.html)à la *référence des AWS CLI commandes*. # Ressource : exemples de politiques pour AWS Batch Vous pouvez créer des politiques IAM spécifiques pour restreindre les appels et les ressources auxquels les utilisateurs de votre compte ont accès. Vous pouvez ensuite associer ces politiques aux utilisateurs. Lorsque vous associez une politique à un utilisateur ou à un groupe d'utilisateurs, elle autorise ou refuse aux utilisateurs l'autorisation d'exécuter des tâches spécifiques sur des ressources spécifiques. Pour plus d'informations, consultez la section [Permissions et politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/PermissionsAndPolicies.html) du *guide de l'utilisateur IAM*. Pour obtenir des instructions sur la façon de gérer et de créer des politiques IAM personnalisées, consultez la section [Gestion des politiques IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html). Les exemples suivants présentent des déclarations de politique que vous pouvez utiliser pour contrôler les autorisations accordées aux utilisateurs AWS Batch. **Topics** + [Accès en lecture seule](iam-example-read-only.md) + [Ressource : Restreindre l'utilisateur, l'image, les privilèges, le rôle](iam-example-job-def.md) + [Restreindre la soumission de tâches](iam-example-restrict-job-submission.md) + [Limiter à une file d'attente de tâches](iam-example-restrict-job-queue.md) + [Refuser l'action lorsque toutes les conditions correspondent à des chaînes](iam-example-job-def-deny-all-image-logdriver.md) + [Ressource : Refuser l'action lorsque des clés de condition correspondent à des chaînes](iam-example-job-def-deny-any-image-logdriver.md) + [Utiliser la clé de `batch:ShareIdentifier` condition](iam-example-share-identifier.md) + [Gérez les ressources de l' SageMaker IA avec AWS Batch](iam-example-full-access-service-environment.md) + [Restreindre la soumission de tâches par des balises de ressources](iam-example-restrict-job-submission-by-tags.md) # Ressource : Accès en lecture seule pour AWS Batch La politique suivante autorise les utilisateurs à utiliser toutes les actions d' AWS Batch API dont le nom commence par `Describe` et`List`. À moins qu'une autre déclaration ne leur accorde l'autorisation de le faire, les utilisateurs ne sont pas autorisés à effectuer des actions sur les ressources. Par défaut, ils ne sont pas autorisés à utiliser les actions de l'API. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:Describe*", "batch:List*", "batch:Get*" ], "Resource": "*" } ] } ``` ------ # Ressource : Limiter à l'utilisateur POSIX, à l'image Docker, au niveau de privilège et au rôle lors de la soumission des tâches La politique suivante permet à un utilisateur POSIX de gérer son propre ensemble de définitions de tâches restreintes. Utilisez les première et deuxième instructions pour enregistrer et désenregistrer tout nom de définition de tâche dont le nom est préfixé par. *JobDefA\$1* La première instruction utilise également des clés de contexte de condition pour restreindre l'utilisateur POSIX, le statut privilégié et les valeurs d'images de conteneur au sein des `containerProperties` d'une définition de tâche. Pour plus d’informations, consultez [RegisterJobDefinition](https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html) dans la *Référence d’API AWS Batch *. Dans cet exemple, les définitions de tâches ne peuvent être enregistrées que lorsque l'utilisateur POSIX est défini sur. `nobody` Le drapeau privilégié est défini sur`false`. Enfin, l'image est configurée pour figurer `myImage` dans un référentiel Amazon ECR. **Important** Docker résout le `user` paramètre pour cet utilisateur `uid` depuis l'image du conteneur. Dans la plupart des cas, cela se trouve dans le `/etc/passwd` fichier contenu dans l'image du conteneur. Cette résolution de noms peut être évitée en utilisant des `uid` valeurs directes à la fois dans la définition de la tâche et dans les politiques IAM associées. Les opérations AWS Batch d'API et les clés conditionnelles `batch:User` IAM prennent en charge les valeurs numériques. Utilisez la troisième déclaration pour limiter la définition d'une tâche à un rôle spécifique. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:RegisterJobDefinition" ], "Resource": [ "arn:aws:batch:us-east-2:999999999999:job-definition/JobDefA_*" ], "Condition": { "StringEquals": { "batch:User": [ "nobody" ], "batch:Image": [ "999999999999.dkr.ecr.us-east-2.amazonaws.com/myImage" ] }, "Bool": { "batch:Privileged": "false" } } }, { "Effect": "Allow", "Action": [ "batch:DeregisterJobDefinition" ], "Resource": [ "arn:aws:batch:us-east-2:999999999999:job-definition/JobDefA_*" ] }, { "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": [ "arn:aws:iam::999999999999:role/MyBatchJobRole" ] } ] } ``` ------ # Ressource : Restreindre au préfixe de définition de tâche lors de la soumission de la tâche Utilisez la politique suivante pour soumettre des tâches à n'importe quelle file d'attente de tâches avec un nom de définition de tâche commençant par*JobDefA*. **Important** Lors de la restriction de l'accès au niveau des ressources pour la soumission de tâche, vous devez fournir des types de ressources de file d'attente de tâches et de définition de tâche. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:SubmitJob" ], "Resource": [ "arn:aws:batch:us-east-2:111122223333:job-definition/JobDefA_*", "arn:aws:batch:us-east-2:111122223333:job-queue/*" ] } ] } ``` ------ # Ressource : Restreindre à une file d'attente de tâches Utilisez la politique suivante pour soumettre des tâches à une file d'attente de tâches spécifique nommée **queue1** avec n'importe quel nom de définition de tâche. **Important** Lors de la restriction de l'accès au niveau des ressources pour la soumission de tâche, vous devez fournir des types de ressources de file d'attente de tâches et de définition de tâche. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:SubmitJob" ], "Resource": [ "arn:aws:batch:us-east-2:888888888888:job-definition/*", "arn:aws:batch:us-east-2:888888888888:job-queue/queue1" ] } ] } ``` ------ # Refuser l'action lorsque toutes les conditions correspondent à des chaînes La politique suivante refuse l'accès à l'opération d'[https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html](https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html)API lorsque la clé de condition `batch:Image` (ID de l'image du conteneur) est « *string1* » et la clé de condition `batch:LogDriver` (pilote du journal du conteneur) est « »*string2*. AWS Batch évalue les clés de condition sur chaque conteneur. Lorsqu'une tâche couvre plusieurs conteneurs, tels qu'une tâche parallèle à nœuds multiples, il est possible que les conteneurs aient des configurations différentes. Si plusieurs clés de condition sont évaluées dans une instruction, elles sont combinées de manière `AND` logique. Ainsi, si l'une des multiples clés de condition ne correspond pas à un conteneur, l'`Deny`effet ne s'applique pas à ce conteneur. Au contraire, un conteneur différent pour la même tâche peut être refusé. Pour la liste des clés de condition pour AWS Batch, voir [Clés de condition pour AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-policy-keys) dans la *référence d'autorisation de service*. À l'exception de`batch:ShareIdentifier`, toutes les clés de `batch` condition peuvent être utilisées de cette manière. La clé de `batch:ShareIdentifier` condition est définie pour une tâche, et non pour une définition de tâche. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:RegisterJobDefinition" ], "Resource": [ "*" ] }, { "Effect": "Deny", "Action": "batch:RegisterJobDefinition", "Resource": "*", "Condition": { "StringEquals": { "batch:Image": "string1", "batch:LogDriver": "string2" } } } ] } ``` ------ # Ressource : Refuser l'action lorsque des clés de condition correspondent à des chaînes La politique suivante refuse l'accès à l'opération d'[https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html](https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html)API lorsque la clé de condition `batch:Image` (ID de l'image du conteneur) est « *string1* » ou que la clé de condition `batch:LogDriver` (pilote du journal du conteneur) est « »*string2*. Lorsqu'une tâche couvre plusieurs conteneurs, tels qu'une tâche parallèle à nœuds multiples, il est possible que les conteneurs aient des configurations différentes. Si plusieurs clés de condition sont évaluées dans une instruction, elles sont combinées de manière `AND` logique. Ainsi, si l'une des multiples clés de condition ne correspond pas à un conteneur, l'`Deny`effet ne s'applique pas à ce conteneur. Au contraire, un conteneur différent pour la même tâche peut être refusé. Pour la liste des clés de condition pour AWS Batch, voir [Clés de condition pour AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-policy-keys) dans la *référence d'autorisation de service*. À l'exception de`batch:ShareIdentifier`, toutes les clés de `batch` condition peuvent être utilisées de cette manière. (La clé de `batch:ShareIdentifier` condition est définie pour une tâche, pas pour une définition de tâche.) ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:RegisterJobDefinition" ], "Resource": [ "*" ] }, { "Effect": "Deny", "Action": [ "batch:RegisterJobDefinition" ], "Resource": [ "*" ], "Condition": { "StringEquals": { "batch:Image": [ "string1" ] } } }, { "Effect": "Deny", "Action": [ "batch:RegisterJobDefinition" ], "Resource": [ "*" ], "Condition": { "StringEquals": { "batch:LogDriver": [ "string2" ] } } } ] } ``` ------ # Ressource : Utiliser la clé de `batch:ShareIdentifier` condition Utilisez la politique suivante pour soumettre les tâches qui utilisent la définition de `jobDefA` tâche à la file d'attente des `jobqueue1` tâches avec l'identifiant de `lowCpu` partage. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:SubmitJob" ], "Resource": [ "arn:aws:batch:us-east-2:555555555555:job-definition/JobDefA", "arn:aws:batch:us-east-2:555555555555:job-queue/jobqueue1" ], "Condition": { "StringEquals": { "batch:ShareIdentifier": [ "lowCpu" ] } } } ] } ``` ------ # Gérez les ressources de l' SageMaker IA avec AWS Batch Cette politique permet de AWS Batch gérer les ressources de SageMaker l'IA. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "batch:*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::*:role/*AWSServiceRoleForAWSBatchWithSagemaker", "Condition": { "StringEquals": { "iam:AWSServiceName": "sagemaker-queuing.batch.amazonaws.com" } } }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": [ "sagemaker.amazonaws.com" ] } } } ] } ``` ------ # Ressource : Restreindre la soumission des tâches par des balises de ressource sur la définition des tâches et dans la file d'attente des tâches Utilisez la politique suivante pour soumettre des tâches uniquement lorsque la file d'attente de tâches possède la balise `Environment=dev` et que la définition de tâche possède la balise`Project=calc`. Cette politique explique comment utiliser les balises de ressources pour contrôler l'accès aux AWS Batch ressources lors de la soumission des tâches. **Important** Lorsque vous soumettez des tâches avec des politiques qui évaluent les balises de ressources de définition de tâche, vous devez soumettre des tâches en utilisant le format de révision des définitions de tâches (`job-definition:revision`). Si vous soumettez des tâches sans spécifier de révision, les balises de définition des tâches ne seront pas évaluées, ce qui peut contourner les contrôles d'accès prévus. Le `*:*` modèle de l'ARN de la ressource impose que les soumissions doivent inclure une révision, afin de garantir que les politiques relatives aux balises sont toujours appliquées efficacement. Cette politique utilise deux instructions distinctes car elle applique des conditions de balise différentes aux différents types de ressources. Lors de la restriction de l'accès au niveau des ressources pour la soumission de tâche, vous devez fournir des types de ressources de file d'attente de tâches et de définition de tâche. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "batch:SubmitJob", "Resource": "arn:aws:batch:*:*:job-queue/*", "Condition": { "StringEquals": { "aws:ResourceTag/Environment": "dev" } } }, { "Effect": "Allow", "Action": "batch:SubmitJob", "Resource": "arn:aws:batch:*:*:job-definition/*:*", "Condition": { "StringEquals": { "aws:ResourceTag/Project": "calc" } } } ] } ``` # Ressource : politique AWS Batch gérée AWS Batch fournit une politique gérée que vous pouvez associer aux utilisateurs. Cette politique autorise l'utilisation des AWS Batch ressources et des opérations d'API. Vous pouvez appliquer cette stratégie directement ou l'utiliser comme point de départ pour créer vos propres stratégies. Pour plus d'informations sur chaque opération d'API mentionnée dans ces politiques, consultez la section [Actions](https://docs.aws.amazon.com/batch/latest/APIReference/API_Operations.html) de la *référence AWS Batch d'API*. ## AWSBatchFullAccess Cette politique autorise l'accès complet de l'administrateur à AWS Batch. Pour consulter le JSON de la politique, consultez [AWSBatchFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBatchFullAccess.html)le [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html).