Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Présentation de la gestion des autorisations d'accès à vos ressources AWS Control Tower
Chaque AWS ressource appartient à un Compte AWS, et les autorisations de création ou d'accès à une ressource sont régies par des politiques d'autorisations. Un compte administrateur peut attacher des politiques d'autorisations à des identités IAM (c'est-à-dire des utilisateurs, des groupes et des rôles). Certains services (tels que AWS Lambda) permettent également d'associer des politiques d'autorisations aux ressources.
Note
Un administrateur de compte (ou utilisateur administrateur) est un utilisateur doté des privilèges d'administrateur. Pour plus d'informations, consultez Bonnes pratiques IAM dans le Guide de l'utilisateur IAM.
Lorsque vous êtes chargé d'accorder des autorisations à un utilisateur ou à un rôle, vous devez connaître et suivre les utilisateurs et les rôles qui nécessitent des autorisations, les ressources pour lesquelles chaque utilisateur et chaque rôle nécessitent des autorisations et les actions spécifiques qui doivent être autorisées pour exploiter ces ressources.
Rubriques
Ressources et opérations de la tour de contrôle AWS
Dans AWS Control Tower, la ressource principale est une zone d'atterrissage. AWS Control Tower prend également en charge un type de ressource supplémentaire, les contrôles, parfois appelés garde-corps. Toutefois, pour AWS Control Tower, vous ne pouvez gérer les contrôles que dans le contexte d'une zone d'atterrissage existante. Les contrôles peuvent être considérés comme des sous-ressources.
Les ressources et sous-ressources de AWS sont associées à des Amazon Resource Names (ARN) uniques, comme illustré dans l'exemple suivant.
| Type de ressource | Format ARN |
|---|---|
| Système de fichiers | arn:aws:elasticfilesystem: |
AWS Control Tower fournit un ensemble d'opérations d'API permettant de travailler avec les ressources AWS Control Tower. Pour obtenir la liste des opérations disponibles, consultez AWS Control Tower, la référence de l'API AWS Control Tower.
Pour plus d'informations sur les CloudFormation ressources d'AWS Control Tower, consultez le Guide de AWS CloudFormation l'utilisateur.
À propos de la propriété des ressources
Le AWS compte est propriétaire des ressources créées dans le compte, quel que soit l'auteur des ressources. Plus précisément, le propriétaire de la ressource est le AWS compte de l'entité principale (c'est-à-dire l'utilisateur Compte AWS root, un utilisateur IAM Identity Center, un utilisateur IAM ou un rôle IAM) qui authentifie la demande de création de ressource. Les exemples suivants illustrent comment cela fonctionne :
-
Si vous utilisez les AWS informations d'identification de l'utilisateur root de votre AWS compte pour configurer une zone d'accueil, votre AWS compte est le propriétaire de la ressource.
-
Si vous créez un utilisateur IAM dans votre AWS compte et que vous lui accordez l'autorisation de configurer une zone de destination, l'utilisateur peut créer une zone d'accueil tant que son compte répond aux conditions requises. Cependant, votre AWS compte, auquel appartient l'utilisateur, est propriétaire de la ressource de la zone d'atterrissage.
-
Si vous créez un rôle IAM dans votre AWS compte avec l'autorisation de configurer une zone d'atterrissage, toute personne pouvant assumer ce rôle peut configurer une zone d'atterrissage. Votre AWS compte, auquel appartient le rôle, est propriétaire de la ressource de zone d'atterrissage.
Spécifier les éléments de la politique : actions, effets et principes
Vous pouvez configurer et gérer votre zone d'atterrissage via la console AWS Control Tower ou les API de zone d'atterrissage. Pour configurer votre zone de destination, vous devez être un utilisateur IAM disposant des autorisations administratives définies dans une politique IAM.
Les éléments suivants sont les plus fondamentaux que vous pouvez identifier dans une politique :
-
Ressource : dans une politique, vous utilisez un Amazon Resource Name (ARN) pour identifier la ressource à laquelle la politique s’applique. Pour de plus amples informations, veuillez consulter Ressources et opérations de la tour de contrôle AWS.
-
Action : vous utilisez des mots clés d’action pour identifier les opérations de ressource que vous voulez accorder ou refuser. Pour plus d'informations sur les types d'actions pouvant être effectuées, consultez la section Actions définies par AWS Control Tower.
-
Effet – Vous spécifiez l’effet produit lorsque l’utilisateur demande l’action spécifique, qui peut être une autorisation ou un refus. Si vous n’accordez pas explicitement l’accès pour (autoriser) une ressource, l’accès est implicitement refusé. Vous pouvez aussi explicitement refuser l’accès à une ressource, ce que vous pouvez faire afin de vous assurer qu’un utilisateur n’y a pas accès, même si une politique différente accorde l’accès.
-
Principal : dans les politiques basées sur l'identité (politiques IAM), l'utilisateur auquel la politique est attachée est le principal implicite. Pour les politiques basées sur une ressource, vous spécifiez l’utilisateur, le compte, le service ou une autre entité qui doit recevoir les autorisations (s’applique uniquement aux politiques basées sur une ressource). AWS Control Tower ne prend pas en charge les politiques basées sur les ressources.
Pour en savoir plus sur la syntaxe des stratégies IAM et pour obtenir des descriptions, consultez Référence de stratégie IAM AWS dans le Guide de l'utilisateur IAM.
Spécification de conditions dans une politique
Lorsque vous accordez des autorisations, vous pouvez utiliser le langage des politiques IAM afin de spécifier les conditions définissant à quel moment une politique doit prendre effet. Par exemple, il est possible d'appliquer une politique après seulement une date spécifique. Pour plus d'informations sur la spécification de conditions dans un langage de politique, consultez Condition dans le Guide de l'utilisateur IAM.
Pour exprimer des conditions, vous pouvez utiliser des clés de condition prédéfinies. Il n'existe aucune clé de condition spécifique à AWS Control Tower. Cependant, il existe des touches AWS de condition étendues que vous pouvez utiliser le cas échéant. Pour obtenir la liste complète des clés, consultez AWS la section Clés disponibles pour les conditions dans le guide de l'utilisateur IAM.
