Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comment ? AWS Billing Conductor fonctionne avec IAM
Avant d'utiliser IAM pour gérer l'accès à Billing Conductor, vous devez comprendre quelles fonctionnalités IAM peuvent être utilisées avec Billing Conductor. Pour obtenir une vue d'ensemble de la façon dont Billing Conductor et d'autres AWS services fonctionnent avec IAM, consultez la section AWS Services qui fonctionnent avec IAM dans le guide de l'utilisateur IAM.
Rubriques
Politiques basées sur l'identité de Billing Conductor
Avec les politiques IAM basées sur l’identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Billing Conductor prend en charge des actions, des ressources et des clés de condition spécifiques. Pour en savoir plus sur tous les éléments que vous utilisez dans une politique JSON, consultez Références des éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.
Actions
Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.
L’élément Action d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.
Les actions de politique dans Billing Conductor utilisent le préfixe suivant avant l'action :Billing Conductor:. Par exemple, pour accorder à une personne l’autorisation d’exécuter une instance Amazon EC2 avec l’opération d’API RunInstances Amazon EC2, vous incluez l’action ec2:RunInstances dans sa politique. Les déclarations de politique doivent inclure un élément Action ou NotAction. Billing Conductor définit son propre ensemble d'actions qui décrivent les tâches que vous pouvez effectuer avec ce service.
Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit :
"Action": [ "ec2:action1", "ec2:action2"
Vous pouvez aussi spécifier plusieurs actions à l’aide de caractères génériques (*). Par exemple, pour spécifier toutes les actions qui commencent par le mot Describe, incluez l’action suivante :
"Action": "ec2:Describe*"
Pour consulter la liste des actions de Billing Conductor, consultez la section Actions définies par AWS Billing Conductor dans le Guide de l'utilisateur IAM.
Ressources
Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.
L’élément de politique JSON Resource indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son Amazon Resource Name (ARN). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (*) afin d’indiquer que l’instruction s’applique à toutes les ressources.
"Resource": "*"
La ressource d'instance Amazon EC2 possède l'ARN suivant :
arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId}
Pour plus d'informations sur le format des ARN, consultez Amazon Resource Names (ARNs) et AWS Service Namespaces.
Par exemple, pour spécifier l’instance i-1234567890abcdef0 dans votre instruction, utilisez l’ARN suivant :
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/i-1234567890abcdef0"
Pour spécifier toutes les instances qui appartiennent à un compte spécifique, utilisez le caractère générique (*) :
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*"
Certaines actions de Billing Conductor, telles que celles relatives à la création de ressources, ne peuvent pas être effectuées sur une ressource spécifique. Dans ce cas, vous devez utiliser le caractère générique (*).
"Resource": "*"
De nombreuses actions d'API Amazon EC2 nécessitent plusieurs ressources. Par exemple, comme AttachVolume attache un volume Amazon EBS à une instance, un utilisateur IAM doit avoir les autorisations nécessaires pour utiliser le volume et l'instance. Pour spécifier plusieurs ressources dans une seule instruction, séparez leurs ARN par des virgules.
"Resource": [ "resource1", "resource2"
Pour consulter la liste des types de ressources de Billing Conductor et de leurs ARN, consultez la section Ressources définies par AWS Billing Conductor dans le guide de l'utilisateur IAM. Pour savoir quelles actions vous permettent de spécifier l'ARN de chaque ressource, consultez la section Actions définies par AWS Billing Conductor.
Clés de condition
Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.
L’élément Condition indique à quel moment les instructions s’exécutent en fonction de critères définis. Vous pouvez créer des expressions conditionnelles qui utilisent des opérateurs de condition, tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande. Pour voir toutes les clés de condition AWS globales, consultez les clés contextuelles de conditions AWS globales dans le guide de l'utilisateur IAM.
Billing Conductor définit son propre ensemble de clés de condition et prend également en charge l'utilisation de certaines clés de condition globales. Pour voir toutes les clés de condition AWS globales, consultez la section Clés contextuelles de condition AWS globale dans le guide de l'utilisateur IAM.
Toutes les actions Amazon EC2 prennent en charge les clés de condition aws:RequestedRegion et ec2:Region. Pour plus d’informations, consultez Exemple : restriction de l’accès à une région spécifique.
Pour consulter la liste des clés de condition de Billing Conductor, consultez la section Clés de condition pour AWS Billing Conductor dans le guide de l'utilisateur IAM. Pour savoir avec quelles actions et quelles ressources vous pouvez utiliser une clé de condition, consultez la section Actions définies par AWS Billing Conductor.
Exemples
Pour consulter des exemples de politiques basées sur l'identité de Billing Conductor, consultez. AWS Billing Conductor exemples de politiques fondées sur l'identité
Politiques basées sur les ressources de Billing Conductor
Resource-based les politiques sont des documents de politique JSON qui spécifient les actions qu'un mandant spécifié peut effectuer sur la ressource Billing Conductor et dans quelles conditions. Amazon S3 prend en charge les politiques d'autorisations basées sur les ressources pour Amazon S3. buckets Resource-based les politiques vous permettent d'accorder des autorisations d'utilisation à d'autres comptes, par ressource. Vous pouvez également utiliser une politique basée sur les ressources pour autoriser un AWS service à accéder à votre Amazon S3. buckets
Pour permettre un accès comptes multiples , vous pouvez spécifier un compte entier ou des entités IAM dans un autre compte en tant que principal dans une stratégie basée sur les ressources. L’ajout d’un principal intercompte à une politique basée sur les ressources ne représente qu’une partie de l’instauration de la relation d’approbation. Lorsque le principal et la ressource se trouvent dans AWS des comptes différents, vous devez également autoriser l'entité principale à accéder à la ressource. Accordez l'autorisation en attachant une stratégie basée sur les identités à l'entité. Toutefois, si une stratégie basée sur des ressources accorde l'accès à un principal dans le même compte, aucune autre stratégie basée sur l'identité n'est requise. Pour plus d'informations, consultez la section Comment les rôles IAM diffèrent des Resource-based politiques dans le Guide de l'utilisateur IAM.
Le service Amazon S3 ne prend en charge qu'un seul type de politique basée sur les ressources appelée bucket stratégie, qui est associée à un. bucket Cette politique définit quelles entités principales (comptes, utilisateurs, rôles et utilisateurs fédérés) peuvent effectuer des actions sur leBilling Conductor.
Exemples
Pour consulter des exemples de politiques basées sur les ressources de Billing Conductor, consultez AWS Billing Conductor exemples de politiques basées sur les ressources
Listes de contrôle d’accès (ACL)
Les listes de contrôle d'accès (ACL) sont des listes de bénéficiaires que vous pouvez attacher aux ressources. Elles accordent des autorisations aux comptes pour accéder aux ressources auxquelles ils sont associés. Vous pouvez joindre des ACL à une bucket ressource Amazon S3.
Les listes de contrôle d'accès (ACL) Amazon S3 vous permettent de gérer l'accès aux bucket ressources. Chacune bucket est associée à une ACL en tant que sous-ressource. Il définit les AWS comptes, les utilisateurs ou groupes d'utilisateurs IAM ou les rôles IAM auxquels l'accès est accordé et le type d'accès. Lorsqu'une demande est reçue pour une ressource, AWS vérifie l'ACL correspondante pour vérifier que le demandeur dispose des autorisations d'accès nécessaires.
Lorsque vous créez une bucket ressource, Amazon S3 crée une ACL par défaut qui confère au propriétaire de la ressource un contrôle total sur la ressource. Dans l'exemple d'bucketACL suivant, John Doe est répertorié en tant que propriétaire du bucket et en a le contrôle totalbucket. Une ACL peut avoir jusqu'à 100 bénéficiaires.
<?xml version="1.0" encoding="UTF-8"?> <AccessControlPolicy xmlns="http://Billing Conductor.amazonaws.com/doc/2006-03-01/"> <Owner> <ID>c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6</ID> <DisplayName>john-doe</DisplayName> </Owner> <AccessControlList> <Grant> <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User"> <ID>c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6</ID> <DisplayName>john-doe</DisplayName> </Grantee> <Permission>FULL_CONTROL</Permission> </Grant> </AccessControlList> </AccessControlPolicy>
Le champ ID de l'ACL est l'ID utilisateur canonique du AWS compte. Pour savoir comment afficher cet identifiant dans un compte que vous possédez, voir Trouver un identifiant utilisateur canonique de AWS compte.
Autorisation basée sur les tags Billing Conductor
Vous pouvez joindre des balises aux ressources de Billing Conductor ou transmettre des balises dans une demande adressée à Billing Conductor. Pour contrôler l’accès basé sur des étiquettes, vous devez fournir les informations d’étiquette dans l’élément de condition d’une politique utilisant les clés de condition Billing Conductor:ResourceTag/, key-nameaws:RequestTag/ ou key-nameaws:TagKeys.
Rôles IAM de Billing Conductor
Un rôle IAM est une entité de votre AWS compte qui possède des autorisations spécifiques.
Utilisation d'informations d'identification temporaires avec Billing Conductor
Vous pouvez utiliser des informations d’identification temporaires pour vous connecter à l’aide de la fédération, endosser un rôle IAM ou encore pour endosser un rôle intercompte. Vous pouvez obtenir des informations d'identification de sécurité temporaires en appelant des opérations d' AWS STS API telles que AssumeRole ou GetFederationToken.
Billing Conductor prend en charge l'utilisation d'identifiants temporaires.
Service-linked rôles
Service-linked les rôles permettent aux AWS services d'accéder aux ressources d'autres services pour effectuer une action en votre nom. Service-linked les rôles apparaissent dans votre compte IAM et appartiennent au service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service.
Rôles du service
Cette fonction permet à un service d’endosser une fonction du service en votre nom. Ce rôle autorise le service à accéder à des ressources d’autres services pour effectuer une action en votre nom. Les rôles de service s’affichent dans votre compte IAM et sont la propriété du compte. Cela signifie qu’un administrateur IAM peut modifier les autorisations associées à ce rôle. Toutefois, une telle action peut perturber le bon fonctionnement du service.
Billing Conductor prend en charge les rôles de service.
Choisir un rôle IAM dans Billing Conductor
Lorsque vous créez une ressource dans Billing Conductor, vous devez choisir un rôle pour permettre à Billing Conductor d'accéder à Amazon EC2 en votre nom. Si vous avez déjà créé un rôle de service ou un rôle lié à un service, Billing Conductor vous propose une liste de rôles parmi lesquels vous pouvez choisir. Il est important de choisir un rôle qui permet d’accéder au démarrage et à l’arrêt des instances Amazon EC2.
