Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques de gestion de ressources IAM

Voici des exemples de politiques IAM qui autorisent les utilisateurs à exécuter des tâches associées à la gestion des utilisateurs, des groupes et des informations d'identification IAM. Il s'agit notamment de politiques qui permettent aux utilisateurs de gérer leurs propres mots de passe, clés d'accès et dispositifs d'authentification multi-facteur (MFA).

Pour des exemples de politiques qui permettent aux utilisateurs d'effectuer des tâches avec d'autres AWS services, tels qu'Amazon S3, Amazon EC2 et DynamoDB, consultez. Exemples de politiques basées sur l'identité IAM

Autoriser un utilisateur à répertorier les groupes, les utilisateurs et les politiques d'un compte, ainsi que d'autres informations à des fins d'élaboration de rapports

La politique suivante permet à l'utilisateur d'appeler toute action IAM qui commence par la chaîne Get ou List et générer des rapports. Pour afficher l'exemple de politique, consultez IAM : autorise l'accès en lecture seule à la console IAM.

Autoriser un utilisateur à gérer l'adhésion à un groupe

La politique suivante permet à l'utilisateur de mettre à jour l'appartenance au groupe appelé MarketingGroup. Pour afficher l'exemple de politique, consultez IAM : autorise la gestion des membres d'un groupe par programmation et dans la console.

Autoriser un utilisateur à gérer les utilisateurs IAM

La politique suivante permet à un utilisateur d'exécuter toutes les tâches associées à la gestion des utilisateurs IAM, mais pas d'effectuer d'actions sur d'autres entités, par exemple la création de groupes ou de politiques. Les actions autorisées sont notamment :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowUsersToPerformUserActions",
            "Effect": "Allow",
            "Action": [
                "iam:ListPolicies",
                "iam:GetPolicy",
                "iam:UpdateUser",
                "iam:AttachUserPolicy",
                "iam:ListEntitiesForPolicy",
                "iam:DeleteUserPolicy",
                "iam:DeleteUser",
                "iam:ListUserPolicies",
                "iam:CreateUser",
                "iam:RemoveUserFromGroup",
                "iam:AddUserToGroup",
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:PutUserPolicy",
                "iam:ListAttachedUserPolicies",
                "iam:ListUsers",
                "iam:GetUser",
                "iam:DetachUserPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowUsersToSeeStatsOnIAMConsoleDashboard",
            "Effect": "Allow",
            "Action": [
                "iam:GetAccount*",
                "iam:ListAccount*"
            ],
            "Resource": "*"
        }
    ]
}

Plusieurs autorisations incluses dans la politique précédente permettent à l'utilisateur d'exécuter des tâches dans AWS Management Console. Les utilisateurs qui exécutent des tâches liées à l'utilisateur à partir de la AWS CLI, des kits SDK AWS ou de l'API Query HTTP IAM uniquement peuvent ne pas avoir besoin de certaines autorisations. Par exemple, si les utilisateurs connaissent déjà l'ARN des politiques à détacher d'un utilisateur, ils n'ont pas besoin d'autorisation iam:ListAttachedUserPolicies. La liste exacte des autorisations requises par un utilisateur varie en fonction des tâches qu'il doit effectuer lorsqu'il gère d'autres utilisateurs.

Les autorisations suivantes de la politique permettent l'accès aux tâches utilisateur via   AWS Management Console:

Autoriser les utilisateurs à définir la politique de mot de passe du compte

Vous pouvez octroyer à certains utilisateurs des autorisations pour obtenir et mettre à jour la politique de mot de passe de votre Compte AWS. Pour afficher l'exemple de politique, consultez IAM : permet de définir les exigences de mot de passe du compte par programmation et dans la console.

Autoriser les utilisateurs à générer et extraire des rapports d'informations d'identification IAM

Vous pouvez autoriser les utilisateurs à générer et à télécharger un rapport répertoriant tous les utilisateurs de votre Compte AWS. Le rapport indique également l'état de plusieurs informations d'identification utilisateur, y compris les mots de passe, les clés d'accès, les dispositifs MFA et les certificats de signature. Pour de plus amples informations sur les rapports d'informations d'identification, veuillez consulter Générez des rapports d'identification pour votre Compte AWS. Pour afficher l'exemple de politique, consultez IAM : générer et extraire des rapports sur les informations d'identification IAM.

Autoriser toutes les actions IAM (Accès Admin)

Il est possible d'accorder à certains utilisateurs des autorisations administratives leur permettant d'effectuer toutes les actions dans IAM, y compris la gestion des mots de passe et des clés d'accès, des dispositifs MFA et des certificats utilisateur. L'exemple de politique suivant accorde ces autorisations.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "iam:*",
    "Resource": "*"
  }
}