Création d’un rôle pour la délégation d’autorisations à un service AWS

De nombreux services AWS exigent que vous utilisiez des rôles pour autoriser le service à accéder en votre nom aux ressources d'autres services. Un rôle qu'un service endosse pour effectuer des actions en votre nom s'appelle un rôle de service. Lorsqu’un rôle de service remplit un objectif spécial pour un service, il est défini comme rôle lié à un service. Pour savoir quels services prennent en charge par les rôles de service liés à un service ou déterminer si un service prend en charge une forme d'informations d'identification temporaires, consultez Services AWS qui fonctionnent avec IAM. Pour découvrir comment un service individuel utilise des rôles, choisissez son nom dans le tableau pour afficher la documentation de ce service.

Lors de la définition de l’autorisation PassRole, vous devez vous assurer qu’un utilisateur ne transfère pas un rôle ayant plus d’autorisations que ce que vous souhaitez pour l’utilisateur. Par exemple, Alice n’est peut-être pas autorisée à effectuer des actions Amazon S3. Si Alice pouvait transmettre un rôle à un service autorisant les actions Amazon S3, le service pourrait effectuer des actions Amazon S3 pour le compte d’Alice lors de l’exécution de la tâche.

Pour plus d'informations sur la façon dont les rôles aident à déléguer des autorisations, consultez Termes et concepts relatifs aux rôles.

Autorisations de fonction de service

Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur ou un rôle) de créer ou modifier un rôle lié à un service.

Pour permettre à une entité IAM de créer un rôle spécifique lié à un service

Ajoutez la politique suivante à l'entité IAM qui doit créer le rôle lié à un service. Cette politique vous permet de créer un rôle lié au service spécifié et avec un nom spécifique. Vous pouvez ensuite attacher des politiques en ligne ou gérées à ce rôle.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::*:role/SERVICE-ROLE-NAME"
        }
    ]
}

Pour permettre à une entité IAM de créer n"importe quel rôle lié à un service

AWS recommande de n'autoriser que les utilisateurs administratifs à créer n'importe quelle fonction du service. Une personne disposant des autorisations nécessaires pour créer un rôle et attacher n'importe quelle politique peut augmenter ses propres autorisations. Au lieu de cela, créez une politique qui l’autorise à créer uniquement les rôles dont elle a besoin ou de demander à un administrateur de créer la fonction du service en son nom.

Pour attacher une politique qui permet à un administrateur d'accéder à l'intégralité de votre interface Compte AWS, utilisez la politique gérée AWS AdministratorAccess (accès administrateur).

Pour permettre à une entité IAM de modifier un rôle lié à un service

Ajoutez la politique suivante à l'entité IAM qui doit modifier le rôle lié à un service.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EditSpecificServiceRole",
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": "arn:aws:iam::*:role/SERVICE-ROLE-NAME"
        },
        {
            "Sid": "ViewRolesAndPolicies",
            "Effect": "Allow",
            "Action": [
                "iam:GetPolicy",
                "iam:ListRoles"
            ],
            "Resource": "*"
        }
    ]
}

Pour permettre à une entité IAM de supprimer un rôle spécifique lié à un service

Ajoutez l'instruction suivante à la politique d'autorisations de l'entité IAM qui doit supprimer le rôle lié à un service spécifié.

{
    "Effect": "Allow",
    "Action": "iam:DeleteRole",
    "Resource": "arn:aws:iam::*:role/SERVICE-ROLE-NAME"
}

Pour permettre à une entité IAM de supprimer un rôle de service

AWS recommande de n'autoriser que les utilisateurs administratifs à supprimer n'importe quelle fonction du service. Au lieu de cela, créez une politique qui leur permet de supprimer uniquement les rôles dont ils ont besoin ou de demander à un administrateur de supprimer le rôle de service en leur nom.

Pour attacher une politique qui permet à un administrateur d'accéder à l'intégralité de votre Compte AWS, utilisez la politique gérée AWS AdministratorAccess (accès administrateur).

Création d'un rôle pour un service AWS (console)

Vous pouvez utiliser la AWS Management Console pour créer un rôle pour un service. Puisque certains services prennent en charge plus d'un rôle de service, consultez la documentation AWS de votre service pour savoir quel cas d'utilisation choisir. Vous pouvez apprendre à attribuer les politiques d'approbation et d'autorisation nécessaires au rôle, afin que le service puisse endosser le rôle à votre place. Les étapes que vous pouvez utiliser pour contrôler les autorisations de votre rôle peuvent varier, selon la façon dont le service définit les cas d'utilisation et si vous créez un rôle lié à un service.

Création d'un rôle pour un service (AWS CLI)

La création d'un rôle à partir de la AWS CLI comporte plusieurs étapes. Lorsque vous créez un rôle à partir de la console, la plupart des étapes sont exécutées automatiquement pour vous. En revanche, lors de l'utilisation de l'AWS CLI, vous devez exécuter explicitement chaque étape vous-même. Vous devez créer le rôle et lui attribuer une politique d'autorisations. Si le service concerné est Amazon EC2 vous devez également créer un profil d'instance et lui ajouter le rôle. Vous pouvez également définir la limite d'autorisations pour votre rôle.

Si vous envisagez d'utiliser le rôle avec Amazon EC2 ou un autre service AWS qui utilise Amazon EC2, vous devez stocker le rôle dans un profil d'instance. Un profil d'instance est un conteneur pour un rôle que vous pouvez attacher à une instance Amazon EC2 lorsqu'elle est lancée. Un profil d'instance peut contenir un rôle uniquement et cette limite ne peut pas être augmentée. Si vous créez le rôle avec AWS Management Console, le profil d'instance est créé pour vous et il a même nom que le rôle. Pour plus d'informations sur les profils d'instance, consultez Utilisation des profils d’instance. Pour de plus amples informations sur le lancement d’une instance EC2 avec un rôle, consultez Contrôle de l’accès aux ressources Amazon EC2 dans le Guide de l’utilisateur Amazon EC2.

L'exemple d'ensemble de commande AWS CLI suivant illustre les deux premières étapes de la création d'un rôle et de l'attachement des autorisations. Il présente également les deux étapes de la création d'un profil d'instance et de l'ajout du rôle au profil. Cet exemple de politique de confiance permet au service Amazon EC2 d'endosser le rôle et d'afficher le compartiment Amazon S3 example_bucket. L'exemple suppose également que vous utilisiez un ordinateur client exécutant Windows et que vous ayez déjà configuré votre interface de ligne de commande avec vos informations d'identification et votre région. Pour plus d’informations, consultez Configuration de l’interface de ligne de commande AWS.

Dans cet exemple, incluez la politique de confiance suivante dans la première commande lors de la création du rôle. Cette politique de confiance permet au service Amazon EC2 d'endosser le rôle.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"Service": "ec2.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }
}

Lorsque vous utilisez la deuxième commande, vous devez attacher une politique d'autorisations au rôle. L'exemple de politique d'autorisations suivant permet au rôle d'exécuter uniquement l'action ListBucket sur le compartiment Amazon S3 example_bucket.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "s3:ListBucket",
    "Resource": "arn:aws:s3:::example_bucket"
  }
}

Pour créer ce rôle Test-Role-for-EC2, vous devez d'abord enregistrer la politique de confiance précédente avec le nom trustpolicyforec2.json et la politique d'autorisations précédente avec le nom permissionspolicyforec2.json dans le répertoire policies de votre disque local C:. Vous pouvez ensuite utiliser les commandes suivantes pour créer le rôle, attacher la politique, créer le profil d'instance et ajouter le rôle au profil d'instance.

# Create the role and attach the trust policy that allows EC2 to assume this role.
$ aws iam create-role --role-name Test-Role-for-EC2 --assume-role-policy-document file://C:\policies\trustpolicyforec2.json

# Embed the permissions policy (in this example an inline policy) to the role to specify what it is allowed to do.
$ aws iam put-role-policy --role-name Test-Role-for-EC2 --policy-name Permissions-Policy-For-Ec2 --policy-document file://C:\policies\permissionspolicyforec2.json

# Create the instance profile required by EC2 to contain the role
$ aws iam create-instance-profile --instance-profile-name EC2-ListBucket-S3

# Finally, add the role to the instance profile
$ aws iam add-role-to-instance-profile --instance-profile-name EC2-ListBucket-S3 --role-name Test-Role-for-EC2

Lorsque vous lancez l'instance EC2, spécifiez le nom de profil d'instance dans la page Configurer les détails de l'instance si vous utilisez la console AWS. Si vous utilisez la commande CLI aws ec2 run-instances, précisez le paramètre --iam-instance-profile.

Création d'un rôle pour un service (API AWS)

La création d'un rôle à partir de l'API AWS comporte plusieurs étapes. Lorsque vous utilisez la console pour créer un rôle, la plupart des étapes sont exécutées automatiquement pour vous, mais avec l'API vous devez exécuter explicitement chaque étape vous-même. Vous devez créer le rôle et lui attribuer une politique d'autorisations. Si le service concerné est Amazon EC2 vous devez également créer un profil d'instance et lui ajouter le rôle. Vous pouvez également définir la limite d'autorisations pour votre rôle.

Si vous envisagez d'utiliser le rôle avec Amazon EC2 ou un autre service AWS qui utilise Amazon EC2, vous devez stocker le rôle dans un profil d'instance. Un profil d'instance est un conteneur pour un rôle. Chaque profil d'instance peut contenir un rôle uniquement et cette limite ne peut pas être augmentée. Si vous créez le rôle dans AWS Management Console, le profil d'instance est créé pour vous et il a le même nom que le rôle. Pour plus d'informations sur les profils d'instance, consultez Utilisation des profils d’instance. Pour de plus amples informations sur le lancement d’une instance Amazon EC2 avec un rôle, consultez Contrôle de l’accès aux ressources Amazon EC2 dans le Guide de l’utilisateur Amazon EC2.