View a markdown version of this page

Accès aux instances du WorkSpaces pool WorkSpaces et scripts y relatifs - Amazon WorkSpaces
Meilleures pratiques pour l'utilisation des rôles IAM avec les instances de WorkSpaces poolConfiguration d'un rôle IAM existant à utiliser avec les instances de WorkSpaces poolComment créer un rôle IAM à utiliser avec les instances de WorkSpaces poolComment utiliser le rôle IAM avec les instances de WorkSpaces pool

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Accès aux instances du WorkSpaces pool WorkSpaces et scripts y relatifs

Dans cette rubrique, les instances de WorkSpaces pool sont les instances de streaming qui exécutent vos WorkSpaces pools. Cette rubrique s'applique aux WorkSpaces pools et ne s'applique pas aux comptes WorkSpaces personnels.

Les applications et les scripts qui s'exécutent sur des instances de WorkSpaces pool doivent inclure des AWS informations d'identification dans leurs demandes AWS d'API. Vous pouvez créer un rôle IAM pour gérer ces informations d’identification. Un rôle IAM spécifie un ensemble d'autorisations que vous pouvez utiliser pour accéder aux AWS ressources. Toutefois, ce rôle n'est pas associé de façon unique à une seule personne. Au lieu de cela, il peut être assumé par toute personne en ayant besoin.

Vous pouvez appliquer un rôle IAM à une instance de WorkSpaces pool. Lorsque l'instance du WorkSpaces pool passe au rôle (assume), celui-ci fournit des informations d'identification de sécurité temporaires. Votre application ou vos scripts utilisent ces informations d'identification pour effectuer des actions d'API et des tâches de gestion sur l'instance WorkSpaces Pool. WorkSpaces gère le changement d'identification temporaire pour vous.

Meilleures pratiques pour l'utilisation des rôles IAM avec les instances de WorkSpaces pool

Lorsque vous utilisez des rôles IAM avec des instances de WorkSpaces pool, nous vous recommandons de suivre les pratiques suivantes :

  • Limitez les autorisations que vous accordez aux actions et aux ressources de l' AWS API.

    Respectez les principes du moindre privilège lorsque vous créez et associez des politiques IAM aux rôles IAM associés aux instances de WorkSpaces pool. Lorsque vous utilisez une application ou un script qui nécessite l'accès à des actions ou à des ressources d' AWS API, déterminez les actions et les ressources spécifiques requises. Ensuite, créez des politiques qui autorisent l’application ou le script à effectuer uniquement ces actions. Pour plus d’informations, consultez Octroi du moindre privilège dans le Guide de l’utilisateur IAM.

  • Créez un rôle IAM pour chaque WorkSpaces ressource.

    La création d'un rôle IAM unique pour chaque WorkSpaces ressource est une pratique qui suit le principe du moindre privilège. Cela vous permet également de modifier les autorisations pour une ressource sans affecter les autres ressources.

  • Limitez les endroits où les informations d’identification peuvent être utilisées.

    Les politiques IAM vous permettent de définir les conditions dans lesquelles votre rôle IAM peut être utilisé pour accéder à une ressource. Par exemple, vous pouvez inclure des conditions pour spécifier une plage d'adresses IP d'où peuvent parvenir les requêtes. Cela permet d’éviter que les informations d’identification soient utilisées en dehors de votre environnement. Pour plus d’informations, consultez Utiliser les conditions des stratégies pour une plus grande sécurité dans le Guide de l’utilisateur IAM.

Configuration d'un rôle IAM existant à utiliser avec les instances de WorkSpaces pool

Cette rubrique explique comment configurer un rôle IAM existant afin que vous puissiez l'utiliser avec WorkSpaces .

Conditions préalables

Le rôle IAM que vous souhaitez utiliser WorkSpaces doit répondre aux conditions préalables suivantes :

  • Le rôle IAM doit se trouver dans le même compte Amazon Web Services que l'instance WorkSpaces Pool.

  • Le rôle IAM ne peut pas être une fonction du service.

  • La politique de relation de confiance associée au rôle IAM doit inclure le WorkSpaces service en tant que principal. Un mandant est une entité AWS qui peut effectuer des actions et accéder à des ressources. La stratégie doit également inclure l'action sts:AssumeRole. Cette configuration de politique est définie WorkSpaces comme une entité de confiance.

  • Si vous appliquez le rôle IAM à WorkSpaces, vous WorkSpaces devez exécuter une version de l' WorkSpaces agent publiée le 3 septembre 2019 ou après cette date. Si vous appliquez le rôle IAM à WorkSpaces, vous WorkSpaces devez utiliser une image qui utilise une version de l'agent publiée à la même date ou après cette date.

Pour permettre au responsable du WorkSpaces service d'assumer un rôle IAM existant

Pour effectuer les étapes suivantes, vous devez vous connecter au compte en tant qu’utilisateur IAM disposant des autorisations requises pour répertorier et mettre à jour les rôles IAM. Si vous n’avez pas les autorisations requises, demandez à votre administrateur de compte Amazon Web Services d’effectuer ces étapes dans votre compte ou de vous accorder les autorisations requises.

  1. Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

  2. Dans le panneau de navigation, choisissez Rôles.

  3. Dans la liste des rôles de votre compte, choisissez le nom du rôle que vous souhaitez modifier.

  4. Sélectionnez l'onglet Relations d'approbation, puis Modifier la relation d'approbation.

  5. Sous Document de stratégie, vérifiez que la stratégie de relation d’approbation inclut l’action sts:AssumeRole pour le principal du service workspaces.amazonaws.com :

    JSON
    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "workspaces.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

  6. Après avoir modifié votre politique d'approbation, choisissez Mettre à jour la politique de confiance pour enregistrer vos modifications.

  7. Le rôle IAM que vous avez sélectionné s'affiche dans la WorkSpaces console. Ce rôle accorde des autorisations aux applications et aux scripts pour effectuer des actions d'API et des tâches de gestion sur les instances du WorkSpaces pool.

Comment créer un rôle IAM à utiliser avec les instances de WorkSpaces pool

Cette rubrique explique comment créer un nouveau rôle IAM afin que vous puissiez l'utiliser avec WorkSpaces

  1. Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

  2. Dans le volet de navigation, sélectionnez Rôles, puis Créer un rôle.

  3. Pour Select type of trusted entity (Sélectionner le type d’entité de confiance), choisissez Service AWS .

  4. Dans la liste des AWS services, choisissez WorkSpaces.

  5. Sous Sélectionnez votre cas d'utilisation, «  WorkSpaces  Autoriser WorkSpaces les instances à appeler AWS les services en votre nom » est déjà sélectionné. Choisissez Suivant : Autorisations.

  6. Si possible, sélectionnez la politique à utiliser pour la politique d'autorisations ou choisissez Create policy (Créer une politique) pour ouvrir un nouvel onglet de navigateur et créer une nouvelle politique de bout en bout. Pour plus d’informations, consultez l’étape 4 de la procédure Création de politiques IAM (console) dans le Guide de l’utilisateur IAM.

    Une fois la politique créée, fermez cet onglet et revenez à l'onglet initial. Cochez la case à côté des politiques d'autorisations que vous WorkSpaces souhaitez définir.

  7. (Facultatif) Définissez une limite d’autorisations. Il s’agit d’une fonctionnalité avancée disponible pour les fonctions de service, mais pas pour les rôles liés à un service. Pour plus d’informations, consultez Limites d’autorisations pour les entités IAM dans le Guide de l’utilisateur IAM.

  8. Choisissez Suivant : Balises. Vous pouvez éventuellement joindre des balises en tant que paires clé-valeur. Pour plus d’informations, consultez Balisage des utilisateurs et des rôles IAM dans le Guide de l’utilisateur IAM.

  9. Choisissez Suivant : Vérification.

  10. Pour Nom du rôle, saisissez un nom de rôle unique dans votre compte Amazon Web Services. Étant donné que d'autres AWS ressources peuvent faire référence au rôle, vous ne pouvez pas modifier le nom du rôle une fois qu'il a été créé.

  11. Pour Description du rôle, conservez la description du rôle par défaut ou saisissez une nouvelle description.

  12. Passez en revue les informations du rôle, puis choisissez Create role (Créer un rôle).

Comment utiliser le rôle IAM avec les instances de WorkSpaces pool

Après avoir créé un rôle IAM, vous pouvez l'appliquer au WorkSpaces moment du lancement WorkSpaces. Vous pouvez également appliquer un rôle IAM à un rôle existant WorkSpaces.

Lorsque vous appliquez un rôle IAM à WorkSpaces, WorkSpaces récupérez des informations d'identification temporaires et créez le profil d'identification workspaces_machine_role sur l'instance. Les informations d’identification temporaires sont valides pendant 1 heure et de nouvelles informations d’identification sont récupérées toutes les heures. Les informations d'identification précédentes n'expirent pas. Vous pouvez donc les utiliser aussi longtemps qu'elles sont valides. Vous pouvez utiliser le profil d'identification pour appeler AWS des services par programmation à l'aide de l'interface de ligne de AWS commande (AWS CLI), AWS des outils pour PowerShell ou du AWS SDK dans la langue de votre choix.

Lorsque vous effectuez les appels d'API, spécifiez workspaces_machine_role comme profil d'identification. Sinon, l'opération échoue en raison d'autorisations insuffisantes.

WorkSpaces assume le rôle spécifié pendant que l'instance de WorkSpaces pool est provisionnée. Comme il WorkSpaces utilise l'interface réseau élastique attachée à votre VPC pour les appels d' AWS API, votre application ou votre script doit attendre que l'interface réseau élastique soit disponible avant d'effectuer des appels d' AWS API. Si des appels d'API sont effectués avant que l'interface réseau Elastic soit disponible, les appels échouent.

Les exemples suivants montrent comment utiliser le profil d'identification workspaces_machine_role pour décrire les instances EC2 et créer le client Boto. Boto est le kit SDK Amazon Web Services (AWS) pour Python.

Décrire les instances EC2 à l'aide de l'interface de ligne de commande AWS 

aws ec2 describe-instances --region us-east-1 --profile workspaces_machine_role

Décrire les instances EC2 à l'aide d' AWS outils pour PowerShell

Vous devez utiliser AWS Tools pour PowerShell la version 3.3.563.1 ou ultérieure, avec le SDK Amazon Web Services pour .NET version 3.3.103.22 ou ultérieure. Vous pouvez télécharger le programme d'installation d' AWS Tools for Windows, qui inclut AWS Tools for PowerShell et le SDK Amazon Web Services pour .NET, depuis le PowerShell site Web AWS Tools for.

Get-EC2Instance -Region us-east-1 -ProfileName workspaces_machine_role

Création du client Boto à l'aide du AWS SDK pour Python 

session = boto3.Session(profile_name=workspaces_machine_role')