Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Sign-In référence des clés de condition

Cette page répertorie les clés de condition que vous pouvez utiliser dans les politiques AWS Sign-In basées sur les ressources et les politiques de contrôle des ressources (RCP), et indique la phase d'évaluation et les actions auxquelles chaque clé s'applique. Seule signin:PrincipalArn est spécifique à AWS Sign-In ; les autres sont des clés de condition AWS globales. Pour les définitions des clés globales, voir les clés contextuelles des conditions AWS globales.

Pour obtenir la liste complète des actions et des clés de condition dans la référence d'autorisation de service, voir Actions, ressources et clés de condition pour AWS Sign-In.

Network-based clés de condition

Ces clés de condition vérifient l'origine de la demande. AWS Sign-In les évalue pour toutes les AWS Sign-In actions (signin:Authenticate,signin:AuthorizeOAuth2Access, etsignin:CreateOAuth2Token) dans les politiques basées sur les ressources et les RCP.

Identity-based clés de condition

Ces clés de condition vérifient qui fait la demande. Ils ne sont disponibles que pour les actions post-authentification (signin:AuthorizeOAuth2Accessetsignin:CreateOAuth2Token), pour lesquelles l'identité principale a été établie.

Service-specific clé de condition : connexion : PrincipalArn

La clé de condition suivante est spécifique à la clé globale AWS Sign-In et n'est pas une AWS clé globale. Il n'est disponible que lors de l'évaluation préalable à l'authentification. signin:PrincipalArnÀ utiliser pour identifier le principal initiateur de la connexion avant la fin de l'authentification. Il s'agit de l'équivalent de pré-authentification deaws:PrincipalArn, qui n'est disponible qu'après l'authentification.

Utilisez les opérateurs ARN pour comparer les valeurs. Vous pouvez spécifier les types principaux suivants :

Cas d'utilisation : exemptez une identité principale exclue des restrictions du réseau, empêchant ainsi le verrouillage tout en appliquant les contrôles réseau pour toutes les autres tentatives d'accès.

Exemple — Refuser l'accès préalable à l'authentification depuis des réseaux non autorisés, sauf pour l'utilisateur root :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    }
  ]
}

Cette politique interdit l'accès à la console depuis l'extérieur de la plage d'203.0.113.0/24adresses IP, sauf pour l'utilisateur root du compte. L'instruction de pré-authentification est utilisée signin:PrincipalArn pour exempter l'utilisateur root avant la fin de l'authentification. L'instruction de post-authentification est utilisée aws:PrincipalArn pour exempter le même principal après authentification, lors de l'échange de jetons OAuth. Consultez Exemples de politiques.

Clés de condition OAuth

AWS Sign-In fournit des clés de OAuth-specific condition que vous pouvez utiliser dans les politiques IAM pour contrôler la manière dont les applications obtiennent l'autorisation OAuth et les jetons OAuth. Ces clés de condition vous permettent de restreindre les clients OAuth autorisés à se connecter, les URI de redirection fiables, les flux d'autorisation OAuth autorisés, la manière dont les clients OAuth s'authentifient et les jetons OAuth pouvant être gérés.

Les clés de condition OAuth peuvent être utilisées dans les politiques d'identité IAM, les politiques de contrôle des services (SCP), les politiques de contrôle des ressources (RCP) et d'autres types de politiques IAM qui prennent en charge les actions. AWS Sign-In

Les clés de condition OAuth suivantes sont disponibles.

connexion : OAuthClientId

signin:OAuthClientIdÀ utiliser pour autoriser ou refuser l'autorisation OAuth en fonction de la demande d'accès du client OAuth enregistré.

Les identifiants des clients OAuth sont représentés sous forme d'ARN d'enregistrement AWS Sign-In dynamique des clients (DCR).

Pour le flux non interactif (informations d'identification du client), l'ID client implicite estarn:aws:signin:::client-credentials/sigv4.

Exemple — Autoriser uniquement un client OAuth enregistré spécifique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "signin:AuthorizeOAuth2Access",
        "signin:CreateOAuth2Token"
      ],
      "Resource": "arn:aws:signin:*:*:service-principal/aws-mcp.amazonaws.com",
      "Condition": {
        "StringEquals": {
          "signin:OAuthClientId": "arn:aws:signin:us-east-1::external-client/dcr/081e0aeb-e779-4dfe-9648-bd5bf6e6afa4"
        }
      }
    }
  ]
}

connexion : OAuthRedirectUri

signin:OAuthRedirectUriÀ utiliser pour restreindre l'endroit où les réponses d'autorisation OAuth sont livrées.

Ceci est couramment utilisé pour garantir que les réponses d'autorisation OAuth ne sont renvoyées qu'aux URI de redirection fiables, tels que localhost pendant le développement.

Pour l'signin:CreateOAuth2PublicClientaction, cette clé de condition s'applique uniquement à l'évaluation de la politique du point de terminaison VPC (VPCE).

Exemple — Autoriser l'autorisation basée sur le navigateur uniquement pour les URI de redirection localhost et uniquement pour les flux OAuth interactifs :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "signin:AuthorizeOAuth2Access",
        "signin:CreateOAuth2Token"
      ],
      "Resource": "arn:aws:signin:*:*:service-principal/aws-mcp.amazonaws.com",
      "Condition": {
        "StringLike": {
          "signin:OAuthRedirectUri": "http://localhost:*"
        },
        "StringEquals": {
          "signin:OAuthGrantType": [
            "authorization_code",
            "refresh_token"
          ]
        }
      }
    }
  ]
}

connexion : OAuthGrantType

signin:OAuthGrantTypeÀ utiliser pour contrôler les types de subventions OAuth que les applications sont autorisées à utiliser.

Les valeurs prises en charge incluent :

Exemple — Autorisez uniquement l'autorisation OAuth basée sur le navigateur tout en empêchant les applications d'utiliser l'autorisation d'identification du client :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "signin:CreateOAuth2Token",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "signin:OAuthGrantType": [
            "authorization_code",
            "refresh_token"
          ]
        }
      }
    }
  ]
}

connexion : OAuthClientAuthentication

signin:OAuthClientAuthenticationÀ utiliser pour contrôler les méthodes d'authentification client que les clients OAuth peuvent utiliser lorsqu'ils demandent des jetons d'accès.

Valeur actuellement prise en charge :

Exemple — Refuser les clients publics pour les opérations OAuth :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "signin:CreateOAuth2Token",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "signin:OAuthClientAuthentication": "none"
        }
      }
    }
  ]
}

connexion : OAuthTokenType

signin:OAuthTokenTypeÀ utiliser pour contrôler les types de jetons OAuth qui peuvent être introspectés ou révoqués.

Les valeurs prises en charge incluent :

Exemple — Autoriser la révocation des jetons d'actualisation uniquement :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "signin:RevokeOAuth2Token",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "signin:OAuthTokenType": "refresh_token"
        }
      }
    }
  ]
}

Disponibilité de la clé de condition par action

Le tableau suivant indique les clés de condition disponibles pour chaque action.

Informations connexes