Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Exemples de politiques basées sur l'identité pour Macie Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources Macie. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez [Création de politiques IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) dans le *Guide de l’utilisateur IAM*. Pour plus de détails sur les actions et les types de ressources définis par Macie, y compris le format ARNs de chaque type de ressource, consultez la section [Actions, ressources et clés de condition pour Amazon](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html) Macie dans *la référence d'autorisation de service*. Lorsque vous créez une politique, veillez à résoudre les avertissements de sécurité, les erreurs, les avertissements généraux et les suggestions provenant de AWS Identity and Access Management Access Analyzer (IAM Access Analyzer) avant de l'enregistrer. [IAM Access Analyzer exécute des contrôles de politique pour valider une politique par rapport à la [grammaire des politiques IAM et aux](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_grammar.html) meilleures pratiques.](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) Ces vérifications génèrent des résultats et fournissent des recommandations exploitables pour vous aider à créer des stratégies fonctionnelles et conformes aux bonnes pratiques en matière de sécurité. *Pour en savoir plus sur la validation des politiques à l'aide d'IAM Access Analyzer, consultez la section [Validation des politiques IAM Access Analyzer dans le guide de l'utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) d'IAM.* *Pour consulter la liste des avertissements, des erreurs et des suggestions qu'IAM Access Analyzer peut renvoyer, consultez la [référence de vérification des politiques d'IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-reference-policy-checks.html) dans le guide de l'utilisateur d'IAM.* **Topics** + [Bonnes pratiques en matière de politiques](#security_iam_service-with-iam-policy-best-practices) + [Utilisation de la console Amazon Macie](#security_iam_id-based-policy-examples-console) + [Exemple : autoriser les utilisateurs à revoir leurs propres autorisations](#security_iam_id-based-policy-examples-view-own-permissions) + [Exemple : autoriser les utilisateurs à créer des tâches de découverte de données sensibles](#security_iam_id-based-policy-examples-create-job) + [Exemple : autoriser les utilisateurs à gérer une tâche de découverte de données sensibles](#security_iam_id-based-policy-examples-access-job) + [Exemple : autoriser les utilisateurs à consulter les résultats](#security_iam_id-based-policy-examples-review-findings) + [Exemple : autoriser les utilisateurs à consulter les identifiants de données personnalisés en fonction des balises](#security_iam_id-based-policy-examples-review-cdis-tags) ## Bonnes pratiques en matière de politiques Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer les ressources Macie de votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations : + **Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les *politiques AWS gérées* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez [politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [politiques gérées par AWS pour les activités professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*. + **Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politiques avec IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*. + **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Sécurisation de l’accès aux API avec MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*. Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*. ## Utilisation de la console Amazon Macie Pour accéder à la console Amazon Macie, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher des informations détaillées sur les ressources Macie de votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique. Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer. Pour garantir que les utilisateurs et les rôles peuvent utiliser la console Amazon Macie, créez des politiques IAM qui leur fournissent un accès à la console. Pour plus d’informations, consultez [Politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*. Si vous créez une politique qui autorise les utilisateurs ou les rôles à utiliser la console Amazon Macie, assurez-vous qu'elle autorise l'`macie2:GetMacieSession`action. Dans le cas contraire, ces utilisateurs ou rôles ne pourront accéder à aucune ressource ou donnée Macie sur la console. Assurez-vous également que la politique autorise les `macie2:List` actions appropriées pour les ressources auxquelles ces utilisateurs ou rôles doivent accéder sur la console. Dans le cas contraire, ils ne pourront pas accéder à ces ressources ou les afficher sur la console. Par exemple, pour consulter les détails d'une tâche de découverte de données sensibles à l'aide de la console, un utilisateur doit être autorisé à effectuer l'`macie2:DescribeClassificationJob`action correspondant à la tâche *et* à l'`macie2:ListClassificationJobs`action. **Si un utilisateur n'est pas autorisé à effectuer l'`macie2:ListClassificationJobs`action, il ne pourra pas afficher la liste des tâches sur la page Tâches de la console et ne pourra donc pas choisir la tâche pour afficher ses détails.** Pour que les détails incluent des informations sur un identifiant de données personnalisé utilisé par la tâche, l'utilisateur doit également être autorisé à effectuer l'`macie2:BatchGetCustomDataIdentifiers`action pour l'identifiant de données personnalisé. ## Exemple : autoriser les utilisateurs à revoir leurs propres autorisations Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS . ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Exemple : autoriser les utilisateurs à créer des tâches de découverte de données sensibles Cet exemple montre comment créer une politique permettant à un utilisateur de créer des tâches de découverte de données sensibles. Dans l'exemple, la première instruction accorde des `macie2:CreateClassificationJob` autorisations à l'utilisateur. Ces autorisations permettent à l'utilisateur de créer des tâches. La déclaration accorde également des `macie2:DescribeClassificationJob` autorisations. Ces autorisations permettent à l'utilisateur d'accéder aux détails des tâches existantes. Bien que ces autorisations ne soient pas nécessaires pour créer des tâches, l'accès à ces informations peut aider l'utilisateur à créer des tâches dotées de paramètres de configuration uniques. La deuxième instruction de l'exemple permet à l'utilisateur de créer, de configurer et de réviser des tâches à l'aide de la console Amazon Macie. Les `macie2:ListClassificationJobs` autorisations permettent à l'utilisateur d'afficher les tâches existantes sur la page **Tâches** de la console. Toutes les autres autorisations de l'instruction permettent à l'utilisateur de configurer et de créer une tâche à l'aide des pages **Créer une tâche** de la console. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndReviewJobs", "Effect": "Allow", "Action": [ "macie2:CreateClassificationJob", "macie2:DescribeClassificationJob" ], "Resource": "arn:aws:macie2:*:*:classification-job/*" }, { "Sid": "CreateAndReviewJobsOnConsole", "Effect": "Allow", "Action": [ "macie2:ListClassificationJobs", "macie2:ListAllowLists", "macie2:ListCustomDataIdentifiers", "macie2:ListManagedDataIdentifiers", "macie2:SearchResources", "macie2:DescribeBuckets" ], "Resource": "*" } ] } ``` ------ ## Exemple : autoriser les utilisateurs à gérer une tâche de découverte de données sensibles Cet exemple montre comment vous pouvez créer une politique qui permet à un utilisateur d'accéder aux détails d'une tâche de découverte de données sensibles particulière, tâche dont l'identifiant est`3ce05dbb7ec5505def334104bexample`. L'exemple permet également à l'utilisateur de modifier le statut de la tâche si nécessaire. La première instruction de l'exemple accorde `macie2:DescribeClassificationJob` des `macie2:UpdateClassificationJob` autorisations à l'utilisateur. Ces autorisations permettent à l'utilisateur de récupérer les détails de la tâche et de modifier le statut de la tâche, respectivement. La deuxième instruction accorde des `macie2:ListClassificationJobs` autorisations à l'utilisateur, ce qui lui permet d'accéder à la tâche en utilisant la page **Tâches** de la console Amazon Macie. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ManageOneJob", "Effect": "Allow", "Action": [ "macie2:DescribeClassificationJob", "macie2:UpdateClassificationJob" ], "Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample" }, { "Sid": "ListJobsOnConsole", "Effect": "Allow", "Action": "macie2:ListClassificationJobs", "Resource": "*" } ] } ``` ------ Vous pouvez également autoriser l'utilisateur à accéder aux données de journalisation (*événements de journalisation*) que Macie publie sur Amazon CloudWatch Logs dans le cadre de la tâche. Pour ce faire, vous pouvez ajouter des instructions qui accordent l'autorisation d'exécuter des actions CloudWatch Logs (`logs`) sur le groupe de journaux et de streamer pour la tâche. Par exemple : ``` { "Sid": "AccessLogGroupForMacieJobs", "Effect": "Allow", "Action": [ "logs:DescribeLogGroups", "logs:DescribeLogStreams" ], "Resource": "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs" }, { "Sid": "AccessLogEventsForOneMacieJob", "Effect": "Allow", "Action": "logs:GetLogEvents", "Resource": [ "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs/*", "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs:log-stream:3ce05dbb7ec5505def334104bexample" ] } ``` Pour plus d'informations sur la gestion de l'accès aux CloudWatch journaux, consultez la section [Présentation de la gestion des autorisations d'accès à vos ressources de CloudWatch journaux](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/iam-access-control-overview-cwl.html) dans le *guide de l'utilisateur Amazon CloudWatch Logs*. ## Exemple : autoriser les utilisateurs à consulter les résultats Cet exemple montre comment créer une politique permettant à un utilisateur d'accéder aux données des résultats. Dans cet exemple, les `macie2:GetFindingStatistics` autorisations `macie2:GetFindings` et permettent à l'utilisateur de récupérer les données à l'aide de l'API Amazon Macie ou de la console Amazon Macie. Les `macie2:ListFindings` autorisations permettent à l'utilisateur de récupérer et de consulter les données à l'aide du tableau de bord **récapitulatif** et des pages de **résultats** de la console Amazon Macie. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewFindings", "Effect": "Allow", "Action": [ "macie2:GetFindings", "macie2:GetFindingStatistics", "macie2:ListFindings" ], "Resource": "*" } ] } ``` ------ Vous pouvez également autoriser l'utilisateur à créer et à gérer des règles de filtrage et des règles de suppression pour les résultats. Pour ce faire, vous pouvez inclure une instruction qui accorde les autorisations suivantes : `macie2:CreateFindingsFilter``macie2:GetFindingsFilter`,`macie2:UpdateFindingsFilter`, et`macie2:DeleteFindingsFilter`. Pour permettre à l'utilisateur de gérer les règles à l'aide de la console Amazon Macie, incluez également `macie2:ListFindingsFilters` les autorisations dans la politique. Par exemple : ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewFindings", "Effect": "Allow", "Action": [ "macie2:GetFindings", "macie2:GetFindingStatistics", "macie2:ListFindings" ], "Resource": "*" }, { "Sid": "ManageRules", "Effect": "Allow", "Action": [ "macie2:GetFindingsFilter", "macie2:UpdateFindingsFilter", "macie2:CreateFindingsFilter", "macie2:DeleteFindingsFilter" ], "Resource": "arn:aws:macie2:*:*:findings-filter/*" }, { "Sid": "ListRulesOnConsole", "Effect": "Allow", "Action": "macie2:ListFindingsFilters", "Resource": "*" } ] } ``` ------ ## Exemple : autoriser les utilisateurs à consulter les identifiants de données personnalisés en fonction des balises Dans les politiques basées sur l'identité, vous pouvez utiliser des conditions pour contrôler l'accès aux ressources Amazon Macie en fonction de balises. Cet exemple montre comment créer une politique permettant à un utilisateur de consulter des identifiants de données personnalisés à l'aide de la console Amazon Macie ou de l'API Amazon Macie. Toutefois, l'autorisation n'est accordée que si la valeur de la `Owner` balise est le nom d'utilisateur de l'utilisateur. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewCustomDataIdentifiersIfOwner", "Effect": "Allow", "Action": "macie2:GetCustomDataIdentifier", "Resource": "arn:aws:macie2:*:*:custom-data-identifier/*", "Condition": { "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"} } }, { "Sid": "ListCustomDataIdentifiersOnConsoleIfOwner", "Effect": "Allow", "Action": "macie2:ListCustomDataIdentifiers", "Resource": "*", "Condition": { "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"} } } ] } ``` ------ Dans cet exemple, si un utilisateur possédant le nom d'utilisateur `richard-roe` tente de consulter les détails d'un identifiant de données personnalisé, celui-ci doit être étiqueté `Owner=richard-roe` ou`owner=richard-roe`. Dans le cas contraire, l’utilisateur se voit refuser l'accès. La clé de balise de condition `Owner` correspond aux deux, `owner` car `Owner` les noms des clés de condition ne distinguent pas les majuscules et minuscules. Pour plus d'informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l'utilisateur IAM*.