View a markdown version of this page

Configurer les autorisations IAM requises pour utiliser la console de DataZone gestion Amazon - Amazon DataZone
Associez des politiques obligatoires et facultatives à un utilisateur, un groupe ou un rôle pour l'accès à la console de gestionCréez une politique personnalisée pour les autorisations IAM afin de permettre la création de rôles simplifiée dans la console de service de gestionCréation d'une politique personnalisée pour les autorisations de gestion d'un compte associé à un domaine(Facultatif) Créez une politique personnalisée pour les autorisations AWS d'Identity Center afin d'ajouter et de supprimer l'accès des utilisateurs SSO et des groupes SSO aux domaines(Facultatif) Ajoutez votre principal IAM en tant qu'utilisateur clé pour créer votre domaine avec une clé gérée par le client depuis KMS AWS

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer les autorisations IAM requises pour utiliser la console de DataZone gestion Amazon

Pour accéder à vos DataZone domaines, plans et utilisateurs Amazon et les configurer, ainsi que pour créer le portail de DataZone données Amazon, vous devez utiliser la console de gestion Amazon DataZone .

Vous devez suivre les procédures suivantes afin de configurer les autorisations and/or facultatives requises pour tout utilisateur, groupe ou rôle souhaitant utiliser la console de DataZone gestion Amazon.

Associez des politiques obligatoires et facultatives à un utilisateur, un groupe ou un rôle pour accéder à DataZone la console Amazon

Suivez la procédure suivante pour associer les politiques personnalisées obligatoires et facultatives à un utilisateur, un groupe ou un rôle. Pour de plus amples informations, veuillez consulter AWS politiques gérées pour Amazon DataZone.

  1. Connectez-vous à la console de AWS gestion et ouvrez la console IAM à https://console.aws.amazon.com/iam/ l'adresse.

  2. Dans le panneau de navigation, choisissez Politiques.

  3. Choisissez les politiques suivantes à associer à votre utilisateur, à votre groupe ou à un rôle.

  4. Sélectionnez Actions, puis Attach (Attacher).

  5. Choisissez l'utilisateur, le groupe ou le rôle auquel vous souhaitez associer la politique. Vous pouvez utiliser le menu Filtre et la zone de recherche pour filtrer la liste des entités du principal. Après avoir choisi l'utilisateur, le groupe ou le rôle, choisissez Attach policy.

Créez une politique personnalisée pour les autorisations IAM afin de permettre la création de rôles simplifiée dans la console de DataZone service Amazon

Suivez la procédure suivante pour créer une politique en ligne personnalisée afin de disposer des autorisations nécessaires pour permettre DataZone à Amazon de créer les rôles nécessaires dans la console de AWS gestion en votre nom.

Note

Pour obtenir des informations sur les meilleures pratiques sur la configuration des autorisations permettant la création de rôles de service, consultez https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Connectez-vous à la console de AWS gestion et ouvrez la console IAM à https://console.aws.amazon.com/iam/ l'adresse.

  2. Dans le volet de navigation, choisissez Utilisateurs ou Groupes d’utilisateurs.

  3. Dans la liste, sélectionnez le nom de l’utilisateur ou du groupe auquel intégrer une politique.

  4. Sélectionnez l’onglet Autorisations et, si nécessaire, développez la section Politiques d’autorisations.

  5. Choisissez Ajouter des autorisations et Créer un lien de politique en ligne.

  6. Sur l'écran Créer une politique, dans la section Éditeur de politiques, choisissez JSON.

    Créez un document de politique contenant les instructions JSON suivantes, puis choisissez Next.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        }
    ]
}

  7. Sur l'écran Réviser la politique, entrez un nom pour la politique. Lorsque vous êtes satisfait de la politique, sélectionnez Create policy (Créer une politique). Assurez-vous qu’aucune erreur ne s’affiche dans un cadre rouge en haut de l’écran. Corrigez les erreurs signalées.

Créez une politique personnalisée pour les autorisations de gestion d'un compte associé à un DataZone domaine Amazon

Suivez la procédure suivante pour créer une politique en ligne personnalisée afin de disposer des autorisations nécessaires dans un AWS compte associé pour répertorier, accepter et rejeter les partages de ressources d'un domaine, puis activer, configurer et désactiver les plans d'environnement dans le compte associé. Pour activer la création de rôles simplifiée optionnelle d'Amazon DataZone Service Console disponible lors de la configuration du Blueprint, vous devez égalementCréez une politique personnalisée pour les autorisations IAM afin de permettre la création de rôles simplifiée dans la console de DataZone service Amazon.

Note

Pour obtenir des informations sur les meilleures pratiques sur la configuration des autorisations permettant la création de rôles de service, consultez https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Connectez-vous à la console de AWS gestion et ouvrez la console IAM à https://console.aws.amazon.com/iam/ l'adresse.

  2. Dans le volet de navigation, choisissez Utilisateurs ou Groupes d’utilisateurs.

  3. Dans la liste, sélectionnez le nom de l’utilisateur ou du groupe auquel intégrer une politique.

  4. Sélectionnez l’onglet Autorisations et, si nécessaire, développez la section Politiques d’autorisations.

  5. Choisissez Ajouter des autorisations et Créer un lien de politique en ligne.

  6. Sur l'écran Créer une politique, dans la section Éditeur de politiques, choisissez JSON. Créez un document de politique contenant les instructions JSON suivantes, puis choisissez Next.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "datazone:ListEnvironmentBlueprintConfigurations",
                "datazone:PutEnvironmentBlueprintConfiguration",
                "datazone:GetDomain",
                "datazone:ListDomains",
                "datazone:GetEnvironmentBlueprintConfiguration",
                "datazone:ListEnvironmentBlueprints",
                "datazone:GetEnvironmentBlueprint",
                "datazone:ListAccountEnvironments",
                "datazone:DeleteEnvironmentBlueprintConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::*:role/AmazonDataZone",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "datazone.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:RejectResourceShareInvitation",
                "ram:GetResourceShareInvitations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::amazon-datazone*"
        }
    ]
}

  7. Sur l'écran Réviser la politique, entrez un nom pour la politique. Lorsque vous êtes satisfait de la politique, sélectionnez Create policy (Créer une politique). Assurez-vous qu’aucune erreur ne s’affiche dans un cadre rouge en haut de l’écran. Corrigez les erreurs signalées.

(Facultatif) Créez une politique personnalisée pour AWS Autorisations du centre d'identification pour ajouter et supprimer l'accès des utilisateurs SSO et des groupes SSO aux domaines Amazon DataZone

Suivez la procédure suivante pour créer une politique en ligne personnalisée afin de disposer des autorisations nécessaires pour ajouter et supprimer l'accès des utilisateurs SSO et des groupes SSO à votre domaine Amazon. DataZone

  1. Connectez-vous à la console de AWS gestion et ouvrez la console IAM à https://console.aws.amazon.com/iam/ l'adresse.

  2. Dans le volet de navigation, choisissez Utilisateurs ou Groupes d’utilisateurs.

  3. Dans la liste, sélectionnez le nom de l’utilisateur ou du groupe auquel intégrer une politique.

  4. Sélectionnez l’onglet Autorisations et, si nécessaire, développez la section Politiques d’autorisations.

  5. Choisissez Ajouter des autorisations et Créer une politique en ligne.

  6. Sur l'écran Créer une politique, dans la section Éditeur de politiques, choisissez JSON.

    Créez un document de politique contenant les instructions JSON suivantes, puis choisissez Next.

    JSON
    
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sso:GetManagedApplicationInstance",
        "sso:ListProfiles",
        "sso:AssociateProfile",
        "sso:DisassociateProfile",
        "sso:GetProfile"
      ],
      "Resource": "*"
    }
  ]
}

  7. Sur l'écran Réviser la politique, entrez un nom pour la politique. Lorsque vous êtes satisfait de la politique, sélectionnez Create policy (Créer une politique). Assurez-vous qu’aucune erreur ne s’affiche dans un cadre rouge en haut de l’écran. Corrigez les erreurs signalées.

(Facultatif) Ajoutez votre principal IAM en tant qu'utilisateur clé pour créer votre DataZone domaine Amazon avec une clé gérée par le client depuis AWS Service de gestion des clés (KMS)

Avant de pouvoir éventuellement créer votre DataZone domaine Amazon avec une clé gérée par le client (CMK) à partir du service de gestion des AWS clés (KMS), effectuez la procédure suivante pour que votre principal IAM soit un utilisateur de votre clé KMS.

  1. Connectez-vous à la console de AWS gestion et ouvrez la console KMS à l'adresse https://console.aws.amazon.com/kms/.

  2. Pour afficher les clés de votre compte que vous créez et gérez vous-même, dans le volet de navigation, choisissez Clés gérées par le client.

  3. Dans la liste des clés KMS, choisissez l'alias ou l'ID de clé de la clé KMS que vous souhaitez examiner.

  4. Pour ajouter ou supprimer des utilisateurs clés, et pour autoriser ou interdire aux AWS comptes externes d'utiliser la clé KMS, utilisez les commandes de la section Utilisateurs clés de la page. Les utilisateurs de clé peuvent utiliser la clé KMS dans les opérations de chiffrement, telles que le chiffrement, le déchiffrement, le rechiffrement et la génération de clés de données.