Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Identity-enhanced Sessions de rôles IAM

Le AWS Security Token Service (STS) permet à une application d'obtenir une session de rôle IAM à identité améliorée. Identity-enhanced les sessions de rôle ont un contexte d'identité ajouté qui transmet un identifiant utilisateur à celui Service AWS qu'elles appellent. Services AWS peut rechercher les appartenances aux groupes et les attributs de l'utilisateur dans IAM Identity Center et les utiliser pour autoriser l'accès de l'utilisateur aux ressources.

AWS les applications obtiennent des sessions de rôle à identité améliorée en adressant des requêtes à l'action d' AWS STS AssumeRoleAPI et en transmettant une assertion de contexte avec l'identifiant de l'utilisateur (userId) dans le ProvidedContexts paramètre de la demande à. AssumeRole L'assertion de contexte est obtenue à partir de la idToken réclamation reçue en réponse à une demande adressée SSO OIDC à CreateTokenWithIAM. Lorsqu'une AWS application utilise une session de rôle à identité améliorée pour accéder à une ressource, elle CloudTrail enregistre la userId session initiatrice et l'action entreprise. Pour de plus amples informations, veuillez consulter Identity-enhanced Journalisation des sessions de rôle IAM.

Types de sessions de rôles IAM avec identification améliorée

AWS STS peut créer deux types différents de sessions de rôles IAM à identité améliorée, en fonction de l'assertion de contexte fournie à la demande. AssumeRole Les applications qui ont obtenu des jetons d'identification auprès d'IAM Identity Center peuvent ajouter sts:identity_context (recommandé) ou sts:audit_context (pris en charge pour des raisons de rétrocompatibilité) aux sessions de rôles IAM. Une session de rôle IAM à identité améliorée ne peut comporter qu'une seule de ces assertions de contexte, pas les deux.

Identity-enhanced Sessions de rôles IAM créées avec sts:identity_context

Lorsqu'une session de rôle à identité améliorée contient sts:identity_context les éléments appelés, cela Service AWS détermine si l'autorisation des ressources est basée sur l'utilisateur qui est représenté dans la session de rôle ou si elle est basée sur le rôle. Services AWS qui prennent en charge l'autorisation basée sur l'utilisateur fournissent à l'administrateur de l'application des contrôles permettant d'attribuer l'accès à l'utilisateur ou aux groupes dont il est membre.

Services AWS qui ne prennent pas en charge l'autorisation basée sur l'utilisateur, ne tiennent pas compte du. sts:identity_context CloudTrail enregistre l'ID utilisateur de l'utilisateur IAM Identity Center avec toutes les actions entreprises par le rôle. Pour de plus amples informations, veuillez consulter Identity-enhanced Journalisation des sessions de rôle IAM.

Pour obtenir ce type de session de rôle à identité améliorée AWS STS, les applications fournissent la valeur du sts:identity_context champ dans la AssumeRole demande à l'aide du paramètre de ProvidedContexts demande. Utiliser arn:aws:iam::aws:contextProvider/IdentityCenter comme valeur pourProviderArn.

Pour plus d'informations sur le comportement de l'autorisation, consultez la documentation relative à la réception Service AWS.

Identity-enhanced Sessions de rôles IAM créées avec sts:audit_context

Dans le passé, sts:audit_context était utilisé pour permettre d' Services AWS enregistrer l'identité de l'utilisateur sans l'utiliser pour prendre une décision d'autorisation. Services AWS sont désormais en mesure d'utiliser un contexte unique - sts:identity_context - pour y parvenir ainsi que pour prendre des décisions d'autorisation. Nous vous recommandons d'utiliser sts:identity_context la propagation d'identité sécurisée dans tous les nouveaux déploiements.

Identity-enhanced Journalisation des sessions de rôle IAM

Lorsqu'une demande est adressée à une session Service AWS utilisant une session de rôle IAM à identité améliorée, le centre d'identité IAM de l'utilisateur userId est connecté à CloudTrail l'élément. OnBehalfOf La manière dont les événements sont enregistrés CloudTrail varie en fonction de Service AWS. Tous n' Services AWS enregistrent pas l'onBehalfOfélément.

Voici un exemple de la manière dont une demande adressée à une session Service AWS utilisant un rôle amélioré à l'identité est connectée. CloudTrail

"userIdentity": {
      "type": "AssumedRole",
      "principalId": "AROAEXAMPLE:MyRole",
      "arn": "arn:aws:sts::111111111111:assumed-role/MyRole/MySession",
      "accountId": "111111111111",
      "accessKeyId": "ASIAEXAMPLE",
      "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAEXAMPLE",
            "arn": "arn:aws:iam::111111111111:role/MyRole",
            "accountId": "111111111111",
            "userName": "MyRole"
        },
        "attributes": {
            "creationDate": "2023-12-12T13:55:22Z",
            "mfaAuthenticated": "false"
        }
    },
    "onBehalfOf": {
        "userId": "11111111-1111-1111-1111-1111111111",
        "identityStoreArn": "arn:aws:identitystore::111111111111:identitystore/d-111111111"
    }
}