Contrôlez l'accès aux services VPC Lattice à l'aide de politiques d'authentification

Les politiques d'authentification VPC Lattice sont des documents de stratégie IAM que vous attachez à des réseaux de services ou à des services pour contrôler si un principal spécifié a accès à un groupe de services ou à un service spécifique. Vous pouvez associer une politique d’authentification à chaque réseau de services ou à chaque service dont vous souhaitez contrôler l’accès.

Les politiques d'authentification sont différentes des politiques basées sur l'identité IAM. Les politiques basées sur l'identité IAM sont associées aux utilisateurs, groupes ou rôles IAM et définissent les actions que ces identités peuvent effectuer sur quelles ressources. Les politiques d'authentification sont associées aux services et aux réseaux de services. Pour que l'autorisation réussisse, les politiques d'authentification et les politiques basées sur l'identité doivent comporter des instructions d'autorisation explicites. Pour de plus amples informations, veuillez consulter Comment fonctionne l'autorisation.

Vous pouvez utiliser la console AWS CLI et pour afficher, ajouter, mettre à jour ou supprimer des politiques d'authentification sur les services et les réseaux de services. Lorsque vous ajoutez, mettez à jour ou supprimez une politique d'authentification, celle-ci peut prendre quelques minutes pour être prête. Lorsque vous utilisez le AWS CLI, assurez-vous que vous vous trouvez dans la bonne région. Vous pouvez soit modifier la région par défaut de votre profil, soit utiliser le --region paramètre avec la commande.

Pour commencer à utiliser les politiques d'authentification, suivez la procédure de création d'une politique d'authentification qui s'applique à un réseau de service. Pour des autorisations plus restrictives que vous ne souhaitez pas appliquer à d'autres services, vous pouvez éventuellement définir des politiques d'authentification pour des services individuels.

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

Si vous activez des politiques d'authentification qui nécessitent des demandes authentifiées adressées à un service, toutes les demandes adressées à ce service doivent contenir une signature de demande valide calculée à l'aide de Signature Version 4 (Sigv4). Pour de plus amples informations, veuillez consulter Requêtes authentifiées Sigv4 pour Amazon VPC Lattice.

Éléments communs d'une politique d'authentification

Les politiques d'authentification VPC Lattice sont spécifiées à l'aide de la même syntaxe que les politiques IAM. Pour plus d'informations, consultez Identity-based les politiques et les politiques basées sur les ressources dans le Guide de l'utilisateur IAM.

Une politique d'authentification contient les éléments suivants :

Lorsque vous créez et gérez des politiques d'authentification, vous souhaiterez peut-être utiliser le générateur de politiques IAM.

Exigence

La politique au format JSON ne doit pas contenir de nouvelles lignes ni de lignes vides.

Format de ressource pour les politiques d'authentification

Vous pouvez restreindre l'accès à des ressources spécifiques en créant une politique d'authentification qui utilise un schéma correspondant avec un <serviceARN>/<path> modèle et codant l'Resourceélément comme indiqué dans les exemples suivants.

Utilisez le format de ressource Amazon Resource Name (ARN) suivant pour <serviceARN> :

arn:aws:vpc-lattice:region:account-id:service/service-id

Par exemple :

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

Clés de condition pouvant être utilisées dans les politiques d'authentification

L'accès peut être davantage contrôlé par des clés de condition dans l'élément Condition des politiques d'authentification. Ces clés de condition sont présentes pour évaluation selon le protocole et selon que la demande est signée avec Signature Version 4 (Sigv4) ou anonyme. Les clés de condition sont sensibles à la casse.

AWS fournit des clés de condition globales que vous pouvez utiliser pour contrôler l'accès, telles que aws:PrincipalOrgID etaws:SourceIp. Pour consulter la liste des clés de condition AWS globales, consultez la section Clés contextuelles de conditions AWS globales dans le guide de l'utilisateur IAM.

Le tableau suivant répertorie les clés de condition VPC Lattice. Pour plus d'informations, consultez la section Clés de condition pour Amazon VPC Lattice Services dans la référence d'autorisation des services.

Balises de ressources

Une balise est une étiquette de métadonnées que vous attribuez ou que vous AWS attribuez à une AWS ressource. Chaque balise se compose de deux parties :

Pour plus d'informations sur le balisage, voir Contrôler l'accès aux AWS ressources à l'aide de balises

Vous pouvez utiliser des balises dans vos politiques d'authentification à l'aide de la clé contextuelle de condition aws:ResourceTag/key AWS globale.

L'exemple de politique suivant autorise l'accès aux services dotés de la baliseEnvironment=Gamma. Cette politique vous permet de faire référence à des services sans coder en dur les ARN ou les ID de service.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowGammaAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "vpc-lattice-svcs:Invoke",
      "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0124446789abcdef0/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "Gamma",
        }
      }
    }
  ]
}

Tags principaux

Vous pouvez contrôler l'accès à vos services et ressources en fonction des balises associées à l'identité de l'appelant. VPC Lattice prend en charge le contrôle d'accès sur la base de toutes les balises principales de l'utilisateur, du rôle ou des balises de session utilisant les aws:PrincipalTag/context variables. Pour plus d'informations, consultez la section Contrôle de l'accès pour les principaux administrateurs IAM.

L'exemple de politique suivant n'autorise l'accès qu'aux identités dotées de la baliseTeam=Payments. Cette politique vous permet de contrôler l'accès sans coder en dur les ID de compte ou les ARN de rôle.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowPaymentsTeam",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "vpc-lattice-svcs:Invoke",
      "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/Team": "Payments",
        }
      }
    }
  ]
}

Responsables anonymes (non authentifiés)

Les principaux anonymes sont des appelants qui ne signent pas leurs AWS demandes avec Signature Version 4 (Sigv4) et qui se trouvent dans un VPC connecté au réseau de service. Les mandants anonymes peuvent envoyer des demandes non authentifiées aux services du réseau de services si une politique d'authentification le permet.

Exemples de politiques d'authentification

Voici des exemples de politiques d'authentification qui exigent que les demandes soient effectuées par des mandants authentifiés.

Tous les exemples utilisent la us-west-2 région et contiennent des identifiants de compte fictifs.

Exemple 1 : Restreindre l'accès aux services par une personne spécifique AWS organization

L'exemple de politique d'authentification suivant accorde des autorisations à toute demande authentifiée pour accéder à tous les services du réseau de services auxquels la politique s'applique. Cependant, la demande doit provenir de mandants appartenant à l' AWS organisation spécifiée dans la condition.

Exemple 2 : Restreindre l'accès à un service par un rôle IAM spécifique

L'exemple de politique d'authentification suivant accorde des autorisations à toute demande authentifiée qui utilise le rôle IAM rates-client pour effectuer des requêtes HTTP GET sur le service spécifié dans l'élément. Resource La ressource contenue dans l'Resourceélément est la même que le service auquel la politique est attachée.

Exemple 3 : Restreindre l'accès aux services par des mandants authentifiés dans un VPC spécifique

L'exemple de politique d'authentification suivant n'autorise que les demandes authentifiées provenant des principaux du VPC dont l'ID de VPC est. vpc-1a2b3c4d

Comment fonctionne l'autorisation

Lorsqu'un service VPC Lattice reçoit une demande, le code d' AWS application évalue ensemble toutes les politiques d'autorisations pertinentes afin de déterminer s'il faut autoriser ou refuser la demande. Il évalue toutes les politiques IAM basées sur l'identité et les politiques d'authentification applicables dans le contexte de la demande lors de l'autorisation. Par défaut, toutes les demandes sont implicitement refusées lorsque le type d'authentification est. AWS_IAM Une autorisation explicite provenant de toutes les politiques pertinentes remplace la valeur par défaut.

L'autorisation inclut :

Le diagramme montre le flux de travail d'autorisation. Lorsqu'une demande est faite, les politiques pertinentes autorisent ou refusent l'accès à un service donné.