IAMGénération d'une politique Access Analyzer

Générer une stratégie pour un IAM rôle

1. Connectez-vous à la IAM console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/iam/.

2. Dans le panneau de navigation de gauche, sélectionnez Roles (Rôles).

   Note

   Les étapes à suivre pour générer une stratégie basée sur l'activité d'un IAM utilisateur sont presque identiques. Dans ce cas, sélectionnez Users (Utilisateurs) au lieu de Roles (Rôles).

3. Dans la liste des rôles de votre compte, sélectionnez le nom du rôle dont vous souhaitez utiliser l'activité pour générer une politique.

4. Dans l'onglet Autorisations, dans la section Générer une politique basée sur CloudTrail les événements, choisissez Générer une politique.

5. Sur la page Generate policy (Générer une stratégie), spécifiez la période pendant laquelle vous souhaitez que IAM Access Analyzer analyse vos CloudTrail événements pour les actions effectuées avec le rôle. Vous pouvez choisir une plage allant jusqu'à 90 jours. Nous vous recommandons de choisir la période la plus courte possible afin de réduire le temps de génération de politique.

6. Dans la section CloudTrail Accès, sélectionnez un rôle existant approprié ou créez un rôle s'il n'existe pas de rôle approprié. Le rôle accorde IAM à Access Analyzer les autorisations nécessaires pour accéder à vos CloudTrail données en votre nom, afin d'examiner l'activité d'accès et d'identifier les services et actions qui ont été utilisés. Pour en savoir plus sur les autorisations requises pour ce rôle, veuillez consulter Autorisations nécessaires pour générer une politique.

7. Dans la section CloudTrail trail to be analyzed (Piste CloudTrail Cloudtrail à analyser), spécifiez la piste qui consigne les événements pour le compte.

   Si vous sélectionnez une CloudTrail piste qui stocke les journaux dans un autre compte, une zone d'informations sur l'accès intercompte s'affiche. L'accès intercompte nécessite une configuration supplémentaire. Pour en savoir plus, veuillez consulter Choose a role for cross-account access plus loin dans cette rubrique.

8. Sélectionnez Generate policy (Générer une politique).

9. Lorsque la génération de politique est en cours, vous revenez à la page Roles Summary (Récapitulatif des rôles) sous l'onglet Permissions (Autorisations). Attendez que le statut de la section Policy request details (Détails de la demande de politique) affiche Success (Succès), puis sélectionnez View generated policy (Afficher la politique générée). Vous pouvez afficher la politique générée pendant sept jours au maximum. Si vous générez une autre politique, la politique existante est remplacée par la nouvelle politique que vous générez.

1. Examinez les sections suivantes :

   • Sur la page Review permissions (Vérifier les autorisations), veuillez consulter la liste des Actions included in the generated policy (Actions incluses dans la politique générée). La liste affiche les services et actions que IAM Access Analyzer a constaté être utilisés par le rôle dans la plage de dates spécifiée.

   • La section Services used (Services utilisés) affiche les services supplémentaires que IAM Access Analyzer a constaté être utilisés par le rôle dans la plage de dates spécifiée. Il est possible que les informations sur les actions utilisées ne soient pas disponibles pour les services répertoriés dans cette section. Utilisez les menus de chaque service répertorié pour choisir manuellement les actions à inclure dans la politique.

2. Lorsque vous avez terminé d'ajouter des actions, cliquez sur Next (Suivant).

Pour personnaliser la politique générée

1. Mettez à jour le modèle de politique. Le modèle de stratégie contient des ARN espaces réservés aux ressources pour les actions qui prennent en charge les autorisations au niveau des ressources, comme illustré dans l'image suivante. Les autorisations au niveau des ressources font référence à la possibilité de spécifier les ressources sur lesquelles les utilisateurs sont autorisés à exécuter des actions. Nous vous recommandons de spécifier vos ressources individuelles dans la politique pour les actions qui prennent en charge les autorisations au niveau des ressources. ARNs Vous pouvez remplacer la ressource d'espace réservé par ARNs une ressource valide ARNs pour votre cas d'utilisation.

   Si une action ne prend pas en charge les autorisations au niveau des ressources, utilisez un caractère générique (*) pour spécifier que toutes les ressources peuvent être concernées par l'action. Pour savoir quels AWS services prennent en charge les autorisations au niveau des ressources, veuillez consulter AWS Services qui fonctionnent avec. IAM Pour obtenir la liste des actions dans chaque service et pour savoir quelles actions prennent en charge les autorisations au niveau des ressources, veuillez consulter Actions, ressources et clés de condition pour les services AWS.

   

2. (Facultatif) Ajoutez, modifiez ou supprimez des déclarations de JSON stratégie dans le modèle. Pour en savoir plus sur la rédaction JSON de politiques, veuillez consulter IAMCreating policies (console).

3. Lorsque vous avez terminé de personnaliser le modèle de politique, vous disposez des options suivantes :

   • (Facultatif) Vous pouvez copier le JSON dans le modèle pour l'utiliser séparément en dehors de la page Generated policy (Stratégie générée). Par exemple, si vous souhaitez utiliser le JSON pour créer une stratégie dans un autre compte. Si la stratégie de votre modèle dépasse la limite de 6 144 caractères pour les JSON stratégies, la stratégie est divisée en plusieurs stratégies.

   • Cliquez sur Next (Suivant) pour consulter et créer une politique gérée dans le même compte.

Pour examiner et créer une politique

1. Dans la page Review and create managed policy (Examiner et créer une politique), spécifiez un nom sous Name et une Description (facultatif) pour la politique que vous êtes en train de créer.

2. (Facultatif) Dans la section Summary (Résumé), vous pouvez consulter les autorisations qui seront incluses dans la politique.

3. (Facultatif) Ajoutez des métadonnées à la politique en associant les balises sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation des balises dansIAM, veuillez consulter IAMRessources de balisage.

4. Lorsque vous avez terminé, effectuez l'une des opérations suivantes :

   • Vous pouvez attacher la nouvelle politique directement au rôle qui a été utilisé pour générer la politique. Pour ce faire, en bas de la page, activez la case à cocher en regard de la Attacher la stratégie à YourRoleName. Choisissez ensuite Create and attach policy.

   • Sinon, cliquez sur Create policy (Créer une politique). Vous trouverez la stratégie que vous avez créée dans la liste des stratégies du volet de navigation Policies (Stratégies) de la IAM console.

5. Vous pouvez attacher la politique que vous avez créée à une entité de votre compte. Après avoir attaché la politique, vous pouvez supprimer toute autre politique trop étendue qui pourrait être attachée à l'entité. Pour savoir comment attacher une stratégie gérée, veuillez consulter Adding identity permissions (Ajout IAM d'autorisations d'identité) (console).

Étape 1 : choisir ou créer un rôle pour l'accès intercompte

• Sur l'écran Generate policy (Générer une politique), l'optionUse an existing role (Utiliser un rôle existant) est présélectionnée pour vous si un rôle avec les autorisations requises existe dans votre compte. Sinon, sélectionnez Create and use a new service role (Créer et utiliser un nouveau rôle de service). Le nouveau rôle est utilisé pour octroyer à IAM Access Analyzer l'accès à vos CloudTrail journaux dans le compte B.

Étape 2 : vérifier la configuration du compartiment Amazon S3 dans le compte B

1. Connectez-vous à la AWS Management Console et ouvrez la console Amazon S3 à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Buckets (Compartiments), sélectionnez le nom du compartiment dans lequel sont stockés vos journaux de CloudTrail piste.

3. Choisissez l'onglet Permissions (Autorisations) et accédez à la section Object ownership (Propriété des objets).

   Utilisez les paramètres de propriété des objets du compartiment Amazon S3 pour contrôler la propriété des objets que vous chargez dans vos compartiments. Par défaut, lorsque d'autres Comptes AWS chargent des objets dans votre compartiment, le compte qui les a chargés est propriétaire des objets. Pour générer une politique, le propriétaire du compartiment doit posséder tous les objets du compartiment. Selon votre cas ACL d'utilisation, vous pouvez modifier le réglage Object Ownership (Propriété de l'objet) pour votre compartiment. Définissez Object Ownership (Propriété de l'objet) sur l'une des options suivantes.

   • Bucket owner enforced (Propriétaire du compartiment imposé) (recommandé)

   • Bucket owner preferred (Propriétaire du compartiment préféré)

   Important

   Pour générer une politique avec succès, les objets du compartiment doivent appartenir au propriétaire du compartiment. Si vous choisissez d'utiliser Bucket owner preferred (Propriétaire du compartiment préféré), vous ne pouvez générer une politique que pour la période qui suit la modification de propriété de l'objet.

   Pour en savoir plus sur la propriété des objets dans Amazon S3, veuillez consulter la rubrique Contrôle de la propriété des objets et désactivation ACLs pour votre compartiment dans le Guide de l'utilisateur d'Simple Storage Service (Amazon S3).

4. Ajoutez des autorisations à votre politique de compartiment Amazon S3 dans le compte B afin d'autoriser l'accès au rôle dans le compte A.

   L'exemple de politique suivant autorise ListBucket et GetObject pour le compartiment nommé amzn-s3-demo-bucket. Il autorise l'accès si le rôle accédant au compartiment appartient à un compte de votre organisation et a un nom commençant par AccessAnalyzerMonitorServiceRole. L'utilisation de l'Resourceélément Condition en aws:PrincipalArntant qu'élément garantit que le rôle ne peut accéder à l'activité du compte que s'il appartient au compte A. Vous pouvez le amzn-s3-demo-bucket remplacer par le nom de votre bucket, optional-prefix par un préfixe facultatif pour le bucket et organization-id par l'ID de votre organisation.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "PolicyGenerationBucketPolicy",
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": [
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket",
           "arn:aws:s3:::amzn-s3-demo-bucket/optional-prefix/AWSLogs/organization-id/${aws:PrincipalAccount}/*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }

5. Si vous chiffrez vos journaux à l'aide d' AWS KMS, mettez à jour votre stratégie de AWS KMS clé dans le compte où vous stockez les CloudTrail journaux afin IAM d'autoriser Access Analyzer à utiliser votre clé, comme indiqué dans l'exemple de stratégie suivant. CROSS_ACCOUNT_ORG_TRAIL_FULL_ARNRemplacez-le par le ARN correspondant à votre sentier et organization-id par le numéro d'identification de votre organisation.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": "kms:Decrypt",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN",
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "kms:ViaService": [
               "access-analyzer.*.amazonaws.com",
               "s3.*.amazonaws.com"
             ],
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }