View a markdown version of this page

Génération du rapport d'état du compte pour les politiques EC2 - AWS Organizations
Conditions préalablesGénération du rapport sur l'état de conformité

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Génération du rapport d'état du compte pour les politiques EC2

Le rapport sur l'état du compte vous permet de consulter l'état actuel de tous les attributs pris en charge par les politiques EC2 pour les comptes concernés. Vous pouvez choisir les comptes et les unités organisationnelles (UO) à inclure dans la portée du rapport, ou choisir une organisation entière en sélectionnant la racine.

Ce rapport vous aide à évaluer l'état de préparation en fournissant une ventilation par région et en indiquant si l'état actuel d'un attribut est uniforme d'un compte à l'autre (via lenumberOfMatchedAccounts) ou incohérent (via lenumberOfUnmatchedAccounts). Vous pouvez également voir la valeur la plus fréquente, qui est la valeur de configuration la plus fréquemment observée pour l'attribut.

L'opportunité d'associer une politique EC2 pour appliquer une configuration de base dépend de votre cas d'utilisation spécifique.

Pour plus d'informations et un exemple illustratif, consultezRapport sur l'état du compte pour les politiques EC2.

Conditions préalables

Avant de générer un rapport sur l'état de votre compte, procédez comme suit :

  1. L'StartDeclarativePoliciesReportopération ne peut être appelée que par le compte de gestion ou les administrateurs délégués d'une organisation.

  2. Pour exécuter des rapports à partir d'un compte d'administrateur délégué, celui-ci doit être enregistré en tant qu'administrateur délégué pour le service EC2.

  3. Vous devez disposer d'un compartiment S3 avant de générer le rapport. Créez un nouveau compartiment ou utilisez un compartiment existant. Le bucket doit se trouver dans la même région que celle dans laquelle vous faites la demande. Le compartiment doit disposer d'une politique de compartiment appropriée. Pour un exemple de politique S3, voir Exemple de politique Amazon S3 sous Exemples dans le manuel Amazon EC2 API Reference.

  4. Vous devez activer l'accès sécurisé pour Amazon EC2. Cela crée un rôle lié à un service en lecture seule qui génère le rapport d'état du compte sur la configuration existante pour les comptes de votre organisation.

    Utilisation de la console

    Pour la console Organizations, cette étape fait partie du processus d'activation des politiques EC2.

    À l'aide du AWS CLI

    Pour le AWS CLI, utilisez l'EnableAWSServiceAccessopération.

    Pour plus d'informations sur la façon d'activer l'accès sécurisé pour un service spécifique avec le AWS CLI, voir Services AWS que vous pouvez utiliser avec AWS Organizations.

  5. Un seul rapport par organisation peut être généré à la fois. Si vous générez un rapport alors qu'un autre est en cours, l'opération renvoie une erreur.

Génération du rapport sur l'état de conformité

Autorisations minimales

Pour générer un rapport sur l'état de conformité, vous devez être autorisé à exécuter les opérations suivantes :

  • ec2:StartDeclarativePoliciesReport

  • ec2:DescribeDeclarativePoliciesReports

  • ec2:GetDeclarativePoliciesReportSummary

  • ec2:CancelDeclarativePoliciesReport

  • organizations:DescribeAccount

  • organizations:DescribeOrganization

  • organizations:DescribeOrganizationalUnit

  • organizations:ListAccounts

  • organizations:ListDelegatedAdministrators

  • organizations:ListAWSServiceAccessForOrganization

  • s3:PutObject

Note

Si votre compartiment Amazon S3 utilise SSE-KMS le chiffrement, vous devez également inclure l'kms:GenerateDataKeyautorisation dans la politique.

Console de gestion AWS

Suivez la procédure suivante pour générer un rapport sur l'état du compte.

Pour générer un rapport sur l'état du compte

  1. Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.

  2. Sur la page Politiques, choisissez les politiques EC2.

  3. Sur la page des politiques EC2, choisissez Afficher le rapport sur l'état du compte dans le menu déroulant Actions.

  4. Sur la page Afficher le rapport d'état du compte, choisissez Générer un rapport d'état.

  5. Dans le widget Structure organisationnelle, spécifiez les unités organisationnelles (UO) que vous souhaitez inclure dans le rapport.

  6. Sélectionnez Soumettre.

AWS CLI & AWS SDKs

Pour générer un rapport sur l'état du compte

Utilisez les opérations suivantes pour générer un rapport sur l'état de conformité, vérifier son état et consulter le rapport :

  • ec2:start-declarative-policies-report: génère un rapport sur l'état du compte. Le rapport est généré de manière asynchrone et peut prendre plusieurs heures. Pour plus d'informations, consultez StartDeclarativePoliciesReport la référence de l'API Amazon EC2.

  • ec2:describe-declarative-policies-report: décrit les métadonnées d'un rapport sur l'état d'un compte, y compris l'état du rapport. Pour plus d'informations, consultez DescribeDeclarativePoliciesReports la référence de l'API Amazon EC2.

  • ec2:get-declarative-policies-report-summary: récupère un résumé du rapport sur l'état du compte. Pour plus d'informations, consultez GetDeclarativePoliciesReportSummary la référence de l'API Amazon EC2.

  • ec2:cancel-declarative-policies-report: annule la génération d'un rapport sur l'état du compte. Pour plus d'informations, consultez CancelDeclarativePoliciesReport la référence de l'API Amazon EC2.

Avant de générer un rapport, accordez aux politiques EC2 l'accès principal au compartiment Amazon S3 dans lequel le rapport sera stocké. Pour ce faire, associez la politique suivante au bucket. amzn-s3-demo-bucketRemplacez-le par le nom de votre compartiment Amazon S3 actuel et identity_ARN par l'identité IAM utilisée pour appeler l'StartDeclarativePoliciesReportopération.

La politique JSON suivante autorise l'accès pour envoyer le rapport à votre bucket :

JSON
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DeclarativePoliciesReportDelivery",
            "Effect": "Allow",
            "Principal": {
                "AWS": "identity_ARN"
            },
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "organizations.amazonaws.com"
                }
            }
        }
    ]
}