Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Politiques de contrôle des ressources (RCP)
Note
Politiques de contrôle des services (SCP) et politiques de contrôle des ressources (RCP)
Utilisez un SCP lorsque vous devez limiter les autorisations des responsables IAM sur les comptes membres de votre organisation.
Utilisez un RCP lorsque vous devez restreindre les demandes d'accès aux ressources des comptes membres de votre organisation par les administrateurs IAM externes aux comptes des membres de votre organisation.
Pour plus d'informations, consultez Comprendre les SCP et les RCP.
Les politiques de contrôle des ressources (RCP) sont un type de politique d'organisation que vous pouvez utiliser pour gérer les autorisations au sein de votre organisation. Les RCP offrent un contrôle centralisé sur les autorisations maximales disponibles pour les ressources de votre organisation. Les RCP vous aident à vous assurer que les ressources de vos comptes respectent les directives de contrôle d'accès de votre organisation. Les RCP ne sont disponibles que dans une organisation dont toutes les fonctionnalités sont activées. Les RCP ne sont pas disponibles si votre organisation a activé uniquement les fonctionnalités de facturation consolidée. Pour obtenir des instructions sur l'activation des RCP, consultezDésactivation d'un type de politique.
Les RCP ne suffisent pas à eux seuls pour accorder des autorisations aux ressources de votre organisation. Aucune autorisation n’est accordée par une RCP. Un RCP définit une barrière d'autorisations, ou fixe des limites, aux actions que les identités peuvent effectuer sur les ressources de vos organisations. L'administrateur doit toujours associer des politiques basées sur l'identité aux utilisateurs ou aux rôles IAM, ou des politiques basées sur les ressources aux ressources de vos comptes pour accorder réellement des autorisations. Pour plus d'informations, consultez Identity-based les politiques et les politiques basées sur les ressources dans le Guide de l'utilisateur IAM.
Les autorisations effectives constituent l'intersection logique entre ce qui est autorisé par les RCP et les politiques de contrôle des services (SCP) et ce qui est autorisé par les politiques basées sur l'identité et les ressources.
Les RCP n'affectent pas les ressources du compte de gestion
Les RCP n'affectent pas les ressources du compte de gestion. Elles concernent uniquement les ressources des comptes des membres de votre organisation. Cela signifie également que les RCP s'appliquent aux comptes des membres désignés comme administrateurs délégués.
Rubriques
Liste des Services AWS qui soutiennent les RCP
Les RCP s'appliquent aux actions suivantes : Services AWS
Amazon CloudFront
(prefix:cloudfront)Amazon CloudSearch
(prefix:cloudsearch)CloudWatch Journaux Amazon
(prefix:logs)Moniteur réseau synthétique
(prefix:networkmonitor)Amazon Cognito
(prefix:cognito-identity)Groupes d'utilisateurs Amazon Cognito
(prefix:cognito-idp)Amazon Comprehend
(prefix:comprehend)Amazon Comprehend Medical
(prefix:comprehendmedical)Amazon Data Firehose
(prefix:firehose)Amazon DynamoDB
(prefix:dynamodb)Accélérateur DynamoDB
(prefix:dax)Mise à l'échelle automatique d'Amazon EC2
(prefix:autoscaling)Registre des conteneurs Amazon Elastic
(prefix:ecr)Amazon Inspector Scan
(prefix:inspector-scan)Amazon Kendra
(prefix:kendra)Flux vidéo Amazon Kinesis
(prefix:kinesisvideo)Amazon MemoryDB
(prefix:memorydb)Amazon OpenSearch sans serveur
(prefix:aoss)Amazon Polly
(prefix:polly)Amazon S3
(prefix:s3)Amazon SQS
(prefix:sqs)Extrait d'Amazon
(prefix:textract)Amazon Timestream pour InfluxDB
(prefix:timestream-influxdb)Amazon Transcribe
(prefix:transcribe)Amazon Translate
(prefix:translate)Amazon AppStream
(prefix:appstream)AWS AppConfig
(prefix:appconfig)AWS CodeBuild
(prefix:codebuild)AWS CodeCommit
(prefix:codecommit)AWS CodePipeline
(prefix:codepipeline)Hub d'optimisation des coûts AWS
(prefix:cost-optimization-hub)Amazon EventBridge
(prefix:events)AWS Fault Injection Service
(prefix:fis)AWS Health
(prefix:health)AWS Key Management Service
(prefix:kms)OpenSearch Service Amazon
(prefix:opensearch)Calculateur de tarification AWS
(prefix:pricing)AWS Connecteur CA privé pour Active Directory
(prefix:pca-connector-ad)AWS Secrets Manager
(prefix:secretsmanager)AWS Security Token Service
(prefix:sts)Connexion à AWS
(prefix:signin)AWS Support
(prefix:support)AWS Transfer Family
(prefix:transfer)AWS WAF
(prefix:wafv2)
Tester les effets des RCP
AWS vous recommande vivement de ne pas associer les RCP à la racine de votre organisation sans avoir testé de manière approfondie l'impact de la politique sur les ressources de vos comptes. Vous pouvez commencer par associer des RCP à des comptes de test individuels, les déplacer vers les unités d'organisation situées plus bas dans la hiérarchie, puis gravir les échelons de la structure organisationnelle selon les besoins. L'un des moyens de déterminer l'impact consiste à examiner AWS CloudTrail les journaux pour détecter les erreurs d'accès refusé.
Taille maximale des RCP
Tous les caractères de votre RCP sont pris en compte dans sa taille Valeurs minimales et maximales maximale. Les exemples de ce guide montrent les RCP formatés avec des espaces blancs supplémentaires pour améliorer leur lisibilité. Toutefois, pour économiser de l'espace si la taille de votre politique approche de la taille maximale, vous pouvez supprimer les espaces, comme les espacements et les sauts de ligne qui ne figurent pas entre guillemets.
Astuce
Utilisez l'éditeur visuel pour créer votre RCP. Il supprime automatiquement les espaces superflus.
Associer les RCP aux différents niveaux de l'organisation
Vous pouvez joindre des RCP directement à des comptes individuels, à des unités d'organisation ou à la racine de l'organisation. Pour une explication détaillée du fonctionnement des RCP, voirÉvaluation du RCP.
Effets du RCP sur les autorisations
Les RCP sont un type de politique Gestion des identités et des accès AWS (IAM). Elles sont étroitement liées aux politiques fondées sur les ressources. Cependant, un RCP n'accorde jamais d'autorisations. Les RCP sont plutôt des contrôles d'accès qui spécifient les autorisations maximales disponibles pour les ressources de votre organisation. Pour plus d’informations, consultez Logique d’évaluation des politiques dans le Guide de l’utilisateur IAM.
-
Les RCP s'appliquent aux ressources d'un sous-ensemble de. Services AWS Pour de plus amples informations, veuillez consulter Liste des Services AWS qui soutiennent les RCP.
-
Les RCP concernent uniquement les ressources gérées par des comptes qui font partie de l'organisation à laquelle les RCP ont été joints. Elles n'ont aucune incidence sur les ressources provenant de comptes extérieurs à l'organisation. Par exemple, considérez un compartiment Amazon S3 appartenant au compte A d'une organisation. La politique de bucket (une politique basée sur les ressources) accorde l'accès aux utilisateurs du compte B en dehors de l'organisation. Le compte A est associé à un RCP. Ce RCP s'applique au compartiment S3 du compte A même lorsque les utilisateurs y accèdent depuis le compte B. Cependant, ce RCP ne s'applique pas aux ressources du compte B lorsque les utilisateurs y accèdent depuis le compte A.
-
Un RCP limite les autorisations pour les ressources des comptes des membres. Toute ressource d'un compte ne dispose que des autorisations autorisées par tous les parents situés au-dessus de celle-ci. Si une autorisation est bloquée à un niveau supérieur à celui du compte, une ressource du compte concerné ne dispose pas de cette autorisation, même si le propriétaire de la ressource associe une politique basée sur les ressources qui autorise un accès complet à n'importe quel utilisateur.
-
Les RCP s'appliquent aux ressources autorisées dans le cadre d'une demande d'opération. Ces ressources se trouvent dans la colonne « Type de ressource » du tableau Action de la référence d'autorisation de service. Si une ressource est spécifiée dans la colonne « Type de ressource », les RCP du compte principal appelant sont appliqués.
s3:GetObjectAutorise, par exemple, la ressource objet. Chaque fois qu'uneGetObjectdemande est faite, un RCP applicable s'applique pour déterminer si le principal demandeur peut invoquer l'GetObjectopération. Un RCP applicable est un RCP qui a été associé à un compte, à une unité organisationnelle (OU) ou à la racine de l'organisation propriétaire de la ressource à laquelle vous accédez. -
Les RCP concernent uniquement les ressources des comptes des membres de l'organisation. Elles n'ont aucune incidence sur les ressources du compte de gestion. Cela signifie également que les RCP s'appliquent aux comptes des membres désignés comme administrateurs délégués. Pour de plus amples informations, veuillez consulter Bonnes pratiques relatives au compte de gestion.
-
Lorsqu'un principal fait une demande d'accès à une ressource dans un compte auquel est rattaché un RCP (une ressource avec un RCP applicable), le RCP est inclus dans la logique d'évaluation des politiques pour déterminer si l'accès est autorisé ou refusé au principal.
-
Les RCP ont un impact sur les autorisations effectives des mandants qui tentent d'accéder aux ressources d'un compte membre avec un RCP applicable, que les mandants appartiennent ou non à la même organisation. Cela inclut les utilisateurs root. L'exception est lorsque les principaux sont des rôles liés à un service, car les RCP ne s'appliquent pas aux appels effectués par des rôles liés à un service. Service-linked les rôles permettent Services AWS d'effectuer les actions nécessaires en votre nom et ne peuvent pas être limités par les RCP.
-
Les utilisateurs et les rôles doivent toujours bénéficier d'autorisations avec des politiques d'autorisation IAM appropriées, y compris des politiques basées sur l'identité et les ressources. Un utilisateur ou un rôle sans aucune politique d'autorisation IAM n'a aucun accès, même si un RCP applicable autorise tous les services, toutes les actions et toutes les ressources.
Ressources et entités non limitées par les RCP
Vous ne pouvez pas utiliser les RCP pour restreindre les éléments suivants :
-
Toute action sur les ressources du compte de gestion.
-
Les RCP n'ont aucune incidence sur les autorisations effectives d'un rôle lié à un service. Service-linked les rôles sont un type unique de rôle IAM directement lié à un AWS service et qui incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom. Les autorisations des rôles liés aux services ne peuvent pas être limitées par les RCP. Les RCP n'ont pas non plus d'impact sur la AWS capacité des services à assumer un rôle lié aux services ; c'est-à-dire que la politique de confiance du rôle lié aux services n'est pas non plus affectée par les RCP.
-
Les RCP ne s'appliquent pas à Clés gérées par AWS pour AWS Key Management Service. Clés gérées par AWS sont créés, gérés et utilisés en votre nom par un Service AWS. Vous ne pouvez ni modifier ni gérer leurs autorisations.
Les RCP n'ont aucune incidence sur les autorisations suivantes :
Service API Ressources non autorisées par les RCP AWS Key Management Service kms:RetireGrantLes RCP n'ont aucune incidence sur l' kms:RetireGrantautorisation. Pour plus d'informations sur la façon dont l'autorisationkms:RetireGrantest déterminée, consultez la section Retrait et révocation des subventions dans le Guide du AWS KMS développeur.
