AWS clés contextuelles de condition globale

Lorsqu'un directeur fait une demande à AWS, AWS rassemble les informations de la demande dans un contexte de demande. Vous pouvez utiliser l'Conditionélément d'une JSON politique pour comparer les clés dans le contexte de la demande avec les valeurs clés que vous spécifiez dans votre stratégie. Les informations relatives à la demande sont fournies par différentes sources, notamment le principal auteur de la demande, la ressource visée par la demande et les métadonnées relatives à la demande elle-même.

Les clés de condition globales peuvent être utilisées dans tous AWS services. Bien que ces clés de condition puissent être utilisées dans toutes les politiques, elles ne sont pas disponibles dans tous les contextes de demande. Par exemple, la clé de aws:SourceAccount condition n'est disponible que lorsque l'appel à votre ressource est effectué directement par un AWS principal de service. Pour en savoir plus sur les circonstances dans lesquelles une clé globale est incluse dans le contexte de la demande, consultez les informations de disponibilité pour chaque clé.

Certains services individuels créent leurs propres clés de condition qui sont disponibles dans le contexte de la demande pour d'autres services. Les clés de condition interservices sont un type de clé de condition globale qui inclut un préfixe correspondant au nom du service, tel que ec2: oulambda:, mais qui sont disponibles dans d'autres services.

Les clés de condition spécifiques au service sont définies pour être utilisées avec un individu AWS service. Par exemple, Amazon S3 vous permet de rédiger une politique avec la clé de s3:VersionId condition pour limiter l'accès à une version spécifique d'un objet Amazon S3. Cette clé de condition est propre au service, ce qui signifie qu'elle ne fonctionne qu'avec les demandes adressées au service Amazon S3. Pour les clés de condition spécifiques à un service, voir Actions, ressources et clés de condition pour AWS Services et choisissez le service dont vous souhaitez afficher les clés.

"Condition": {
    "IpAddressIfExists": {"aws:SourceIp" : ["xxx"] },
    "StringEqualsIfExists" : {"aws:SourceVpc" : ["yyy"]} 
}

Clés de condition sensibles

Les clés de condition suivantes sont considérées comme sensibles car leurs valeurs sont générées automatiquement. L'utilisation de caractères génériques dans ces clés de condition ne présente aucun cas d'utilisation valide, même avec une sous-chaîne de la valeur de la clé avec un caractère générique. Cela est dû au fait que le caractère générique peut associer la clé de condition à n'importe quelle valeur, ce qui peut présenter un risque de sécurité.

Propriétés du principal

Utilisez les clés de condition suivantes pour comparer les détails concernant le principal auteur de la demande avec les propriétés principales que vous spécifiez dans la politique. Pour obtenir la liste des principaux habilités à faire des demandes, consultezComment spécifier un principal.

lois : PrincipalArn

Utilisez cette clé pour comparer le nom de ressource Amazon (ARN) du principal qui a fait la demande avec ARN celui que vous spécifiez dans la politique. Pour IAM les rôles, le contexte ARN de demande renvoie le rôle, et non celui ARN de l'utilisateur qui a assumé le rôle.

Vous pouvez spécifier l'utilisateur root ARN comme valeur pour la clé de condition aws:PrincipalArn dans AWS Organizations politiques de contrôle des services (SCPs). SCPssont un type de politique d'organisation utilisé pour gérer les autorisations au sein de votre organisation et n'affectent que les comptes des membres de l'organisation. An SCP restreint les autorisations accordées aux IAM utilisateurs et aux rôles dans les comptes membres, y compris l'utilisateur root du compte membre. Pour plus d'informations sur les effets SCPs sur les autorisations, consultez la section SCPEffets sur les autorisations dans le Guide de l'utilisateur des Organizations.

lois : PrincipalAccount

Utilisez cette clé pour comparer le compte auquel appartient le principal demandeur avec l'identifiant de compte spécifié dans la politique. Pour les demandes anonymes, le contexte de la demande renvoie anonymous.

Dans l'exemple suivant, l'accès est refusé, sauf aux principaux possédant le numéro de compte 123456789012.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessFromPrincipalNotInSpecificAccount",
      "Action": "service:*",
      "Effect": "Deny",
      "Resource": [
        "arn:aws:service:region:accountID:resource"
      ],
      "Condition": {
        "StringNotEquals": {
          "aws:PrincipalAccount": [
            "123456789012"
          ]
        }
      }
    }
  ]
}
        

lois : PrincipalOrgPaths

Utilisez cette touche pour comparer les AWS Organizations chemin du principal qui fait la demande vers le chemin indiqué dans la politique. Ce principal peut être un IAM utilisateur, un IAM rôle, un utilisateur fédéré ou Utilisateur racine d'un compte AWS. Dans une politique, cette clé de condition garantit que le demandeur est membre du compte au sein de l'organisation racine ou des unités organisationnelles (OUs) spécifiées dans AWS Organizations. Un AWS Organizations path est une représentation textuelle de la structure d'une entité Organizations. Pour de plus amples informations sur l'utilisation et la compréhension des chemins, veuillez consulter Comprenez le AWS Organizations chemin de l'entité.

Par exemple, la condition suivante renvoie true les principaux des comptes rattachés directement à l'unité d'organisationou-ab12-22222222, mais pas à son enfantOUs.

"Condition" : { "ForAnyValue:StringEquals" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"]
}}

La condition suivante s'applique true aux titulaires d'un compte rattaché directement à l'UO ou à l'un de ses enfantsOUs. Lorsque vous incluez un caractère générique, vous devez utiliser l'opérateur de condition StringLike.

"Condition" : { "ForAnyValue:StringLike" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/*"]
}}

La condition suivante s'trueapplique aux principaux d'un compte rattaché directement à l'un des enfantsOUs, mais pas directement à l'unité d'organisation parent. La condition précédente s'applique à l'unité d'organisation ou à tous les enfants. La condition suivante s'applique uniquement aux enfants (et aux enfants de ces enfants).

"Condition" : { "ForAnyValue:StringLike" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/ou-*"]
}}

La condition suivante autorise l'accès à chaque principal de l'organisation o-a1b2c3d4e5, quelle que soit l'unité d'organisation parent.

"Condition" : { "ForAnyValue:StringLike" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/*"]
}}

aws:PrincipalOrgPaths est une clé de condition à valeurs multiples. Les clés multivaluées peuvent avoir plusieurs valeurs dans le contexte de la demande. Lorsque vous utilisez plusieurs valeurs avec l'opérateur de condition ForAnyValue, le chemin d'accès du principal doit correspondre à l'un des chemins spécifiés dans la politique. Pour de plus amples informations sur les clés de condition à valeurs multiples, veuillez consulter Clés de contexte à valeurs multiples.

    "Condition": {
        "ForAnyValue:StringLike": {
            "aws:PrincipalOrgPaths": [
                "o-a1b2c3d4e5/r-ab12/ou-ab12-33333333/*",
                "o-a1b2c3d4e5/r-ab12/ou-ab12-22222222/*"
            ]
        }
    }

lois : PrincipalOrg ID

Utilisez cette clé pour comparer l'identifiant de l'organisation dans AWS Organizations auquel appartient le principal demandeur avec l'identifiant spécifié dans la politique.

Cette clé globale fournit une alternative à la liste de tous IDs les comptes AWS comptes au sein d'une organisation. Vous pouvez utiliser cette clé de condition pour simplifier la spécification de l'élément Principal d'une politique basée sur une ressource. Vous pouvez spécifier l'ID de l'organisation dans l'élément Condition. Lorsque vous ajoutez et supprimez des comptes, les politiques qui contiennent la clé aws:PrincipalOrgID ajoutent automatiquement les bons comptes et ne nécessitent pas de mise à jour manuelle.

Par exemple, la politique de compartiment Amazon S3 suivante permet aux membres de n'importe quel compte de l'organisation o-xxxxxxxxxxx d'ajouter un objet dans le compartiment amzn-s3-demo-bucket.

 {
  "Version": "2012-10-17",
  "Statement": {
    "Sid": "AllowPutObject",
    "Effect": "Allow",
    "Principal": "*",
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {"StringEquals":
      {"aws:PrincipalOrgID":"o-xxxxxxxxxxx"}
    }
  }
}

Pour plus d'informations sur AWS Organizations, voir What Is AWS Organizations? dans le AWS Organizations Guide de l'utilisateur.

aws :PrincipalTag//tag-key

Utilisez cette clé pour comparer la balise attachée au principal effectuant la demande avec la balise spécifiée dans la politique. Si plusieurs balises sont attachées au principal, le contexte de la demande inclut une clé aws:PrincipalTag pour chaque clé de balise attachée.

Vous pouvez ajouter des attributs personnalisés à un utilisateur ou un rôle sous la forme d'une paire clé-valeur. Pour plus d'informations sur les IAM balises, consultezTags pour les AWS Identity and Access Management ressources. Vous pouvez utiliser aws:PrincipalTag pour contrôler l'accès à AWS principes.

Cet exemple montre comment créer une politique basée sur l'identité qui permet aux utilisateurs dotés du department=hr tag de gérer des IAM utilisateurs, des groupes ou des rôles. Pour utiliser cette politique, remplacez le italicized placeholder text dans l'exemple de politique avec vos propres informations. Ensuite, suivez les instructions fournies dans create a policy (créer une politique) ou edit a policy (modifier une politique).

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/department": "hr"
        }
      }
    }
  ]
}

lois : PrincipalIs AWSService

Utilisez cette touche pour vérifier si l'appel à votre ressource est effectué directement par un AWS principal de service. Par exemple, AWS CloudTrail utilise le principal de service cloudtrail.amazonaws.com pour écrire des journaux dans votre compartiment Amazon S3. La clé de contexte de demande est définie sur true lorsqu'un service utilise un principal de service pour effectuer une action directe sur vos ressources. La clé de contexte est définie sur false si le service utilise les informations d'identification d'un IAM principal pour effectuer une demande au nom du principal. Il est également défini sur false si le service utilise un rôle de service ou un rôle lié au service pour passer un appel au nom du principal.

Vous pouvez utiliser cette clé de condition pour limiter l'accès à vos identités fiables et aux emplacements réseau attendus tout en accordant l'accès en toute sécurité à AWS services.

Dans l'exemple de politique de compartiment Amazon S3 suivant, l'accès au compartiment est restreint sauf si la demande provient vpc-111bbb22 ou provient d'un principal de service, tel que CloudTrail.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Expected-network+service-principal",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/AWS Logs/AccountNumber/*",
      "Condition": {
        "StringNotEqualsIfExists": {
          "aws:SourceVpc": "vpc-111bbb22"
        },
        "BoolIfExists": {
          "aws:PrincipalIsAWSService": "false"
        }
      }
    }
  ]
}

Dans la vidéo suivante, découvrez comment utiliser la clé de condition aws:PrincipalIsAWSService dans une politique.

lois : PrincipalServiceName

Utilisez cette clé pour comparer le nom du principal de service dans la politique au principal de service qui effectue des demandes à vos ressources. Vous pouvez utiliser cette clé pour vérifier si cet appel est effectué par un principal de service spécifique. Lorsqu'un principal de service effectue une demande directe à vos ressources, la clé aws:PrincipalServiceName contient le nom du principal de service. Par exemple, le AWS CloudTrail le nom principal du service estcloudtrail.amazonaws.com.

Vous pouvez utiliser cette clé de condition pour limiter l'accès à vos identités fiables et aux emplacements réseau attendus tout en accordant l'accès en toute sécurité à un AWS service.

Dans l'exemple de politique de compartiment Amazon S3 suivant, l'accès au compartiment est restreint sauf si la demande provient vpc-111bbb22 ou provient d'un principal de service, tel que CloudTrail.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "expected-network+service-principal",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/AWS Logs/AccountNumber/*",
      "Condition": {
        "StringNotEqualsIfExists": {
          "aws:SourceVpc": "vpc-111bbb22",
          "aws:PrincipalServiceName": "cloudtrail.amazonaws.com"
        }
      }
    }
  ]
}
        

lois : PrincipalServiceNamesList

Cette clé fournit une liste de tous les noms des principal de service appartenant au service. Il s'agit d'une clé de condition avancée. Vous pouvez l'utiliser pour empêcher le service d'accéder à vos ressources à partir d'une région spécifique uniquement. Certains services peuvent créer des principaux de services régionaux pour indiquer une instance particulière du service dans une région spécifique. Vous pouvez limiter l'accès à une ressource à une instance particulière du service. Lorsqu'un principal de service effectue une demande directe à vos ressources, aws:PrincipalServiceNamesList contient une liste non ordonnée de tous les noms des principaux de services associés à l'instance régionale du service.

aws:PrincipalServiceNamesList est une clé de condition à valeurs multiples. Les clés multivaluées peuvent avoir plusieurs valeurs dans le contexte de la demande. Vous devez utiliser les opérateurs d'ensemble ForAnyValue ou ForAllValues avec l'opérateur de condition de chaîne pour cette clé. Pour de plus amples informations sur les clés de condition à valeurs multiples, veuillez consulter Clés de contexte à valeurs multiples.

lois : PrincipalType

Utilisez cette clé pour comparer le type de principal qui effectue la demande avec le type de principal spécifié dans la politique. Pour plus d'informations, veuillez consulter Comment spécifier un principal. Pour des exemples spécifiques de valeurs clés principal, veuillez consulter Valeurs de la clé du principal.

aws:userid

Utilisez cette clé pour comparer l'identifiant principal du demandeur avec l'ID spécifié dans la politique. Pour IAM les utilisateurs, la valeur du contexte de demande est l'ID utilisateur. Pour IAM les rôles, ce format de valeur peut varier. Pour de plus amples informations sur l'ajout de principaux, veuillez consulter Comment spécifier un principal. Pour des exemples spécifiques de valeurs clés principal, veuillez consulter Valeurs de la clé du principal.

aws:username

Utilisez cette clé pour comparer le nom d'utilisateur du demandeur avec celui spécifié dans la politique. Pour de plus amples informations sur l'ajout de principaux, veuillez consulter Comment spécifier un principal. Pour des exemples spécifiques de valeurs clés principal, veuillez consulter Valeurs de la clé du principal.

Propriétés d'une session de rôle

Utilisez les clés de condition suivantes pour comparer les propriétés de la session de rôle au moment de sa génération. Ces clés de condition ne sont disponibles que lorsqu'une demande est faite par un principal doté d'une session de rôle ou d'informations d'identification utilisateur fédérées. Les valeurs de ces clés de condition sont intégrées dans le jeton de session du rôle.

Un rôle est une sorte de principal. Vous pouvez également utiliser les clés de condition de la Propriétés du principal section pour évaluer les propriétés d'un rôle lorsqu'un rôle fait une demande.

lois : FederatedProvider

Utilisez cette clé pour comparer le fournisseur d'identité (IdP) émetteur du principal avec l'IdP que vous spécifiez dans la politique. Cela signifie qu'un IAM rôle a été assumé à l'aide du AssumeRoleWithWebIdentity AWS STS opération. Lorsque les informations d'identification temporaires de la séance de rôle résultante sont utilisées pour effectuer une demande, le contexte de la demande identifie l'IdP qui a authentifié l'identité fédérée d'origine.

Par exemple, si l'utilisateur s'est authentifié via Amazon Cognito, le contexte de la demande inclut la valeur cognito-identity.amazonaws.com. De la même façon, si l'utilisateur s'est authentifié via Login with Amazon, le contexte de la demande inclut la valeur www.amazon.com.

Vous pouvez utiliser n'importe quelle clé de condition à valeur unique comme variable. L'exemple de stratégie basée sur les ressources suivant utilise la aws:FederatedProvider clé comme variable ARN de stratégie dans une ressource. Cette politique permet à tout principal qui s'est authentifié à l'aide d'un IdP d'obtenir des objets à partir d'un compartiment Amazon S3 avec un chemin spécifique au fournisseur d'identité émetteur.

lois : TokenIssueTime

Utilisez cette clé pour comparer la date et l'heure d'émission des informations d'identification de sécurité temporaires avec celles spécifiées dans la politique.

Pour savoir quels services prennent en charge l'utilisation d'informations d'identification temporaires, consultez AWS des services qui fonctionnent avec IAM.

lois : MultiFactorAuthAge

Utilisez cette clé pour comparer le nombre de secondes écoulées depuis que le principal demandeur a été autorisé à utiliser MFA avec le nombre que vous spécifiez dans la politique. Pour plus d'informations surMFA, voirAWS Authentification multifactorielle dans IAM.

lois : MultiFactorAuthPresent

Utilisez cette clé pour vérifier si l'authentification multifactorielle (MFA) a été utilisée pour valider les informations de sécurité temporaires à l'origine de la demande.

Les informations d'identification temporaires sont utilisées pour authentifier les IAM rôles et IAM les utilisateurs à l'aide de jetons temporaires provenant de AssumeRoleou GetSessionToken, et les utilisateurs du AWS Management Console.

IAMles clés d'accès utilisateur sont des informations d'identification à long terme, mais dans certains cas, AWS crée des informations d'identification temporaires au nom des IAM utilisateurs pour effectuer des opérations. Dans ces cas, la clé aws:MultiFactorAuthPresent est présente dans la demande et définie sur la valeur false. Deux scénarios courants peuvent expliquer ce comportement :

Pour savoir quels services prennent en charge l'utilisation d'informations d'identification temporaires, consultez AWS des services qui fonctionnent avec IAM.

La aws:MultiFactorAuthPresent clé n'est pas présente lorsqu'une CLI commande API or est appelée avec des informations d'identification à long terme, telles que des paires de clés d'accès utilisateur. Par conséquent, nous vous recommandons d'utiliser les versions ...IfExists des opérateurs de condition lors de la vérification de cette clé.

Il est important de comprendre que l'Conditionélément suivant n'est pas un moyen fiable de vérifier si une demande est authentifiée à l'aide MFA de.

#####   WARNING: NOT RECOMMENDED   #####
"Effect" : "Deny",
"Condition" : { "Bool" : { "aws:MultiFactorAuthPresent" : "false" } }

Cette combinaison de l'Denyeffet, de l'Boolélément et de false la valeur refuse les demandes qui peuvent être authentifiées en utilisantMFA, mais qui ne l'étaient pas. Cela s'applique uniquement aux informations d'identification temporaires qui prennent en charge l'utilisationMFA. Cette déclaration ne refuse pas l'accès aux demandes effectuées à l'aide d'informations d'identification à long terme ou aux demandes authentifiées à l'aide MFA de. Utilisez cet exemple avec prudence car sa logique est complexe et il ne permet pas de vérifier si MFA -authentication a été réellement utilisé.

De même, n'utilisez pas la combinaison de l'effet Deny, de l'élément Null et de true, car elle se comporte de la même manière et sa logique est encore plus complexe.

Combinaison recommandée

Nous vous recommandons d'utiliser l'BoolIfExistsopérateur pour vérifier si une demande est authentifiée à l'aide MFA de.

"Effect" : "Deny",
"Condition" : { "BoolIfExists" : { "aws:MultiFactorAuthPresent" : "false" } }

Cette combinaison de DenyBoolIfExists, et false refuse les demandes qui ne sont pas authentifiées à l'aide MFA de. Plus précisément, il refuse les demandes provenant d'informations d'identification temporaires qui ne sont pas inclusesMFA. Il refuse également les demandes effectuées à l'aide d'informations d'identification à long terme, telles que AWS CLI or AWS APIopérations effectuées à l'aide de clés d'accès. L'opérateur *IfExists vérifie si la clé aws:MultiFactorAuthPresent existe et est présente ou non. Utilisez-le lorsque vous souhaitez refuser toute demande non authentifiée à l'aide MFA de. C'est plus sûr, mais cela peut casser tout code ou script utilisant des clés d'accès pour accéder au AWS CLI or AWS API.

Combinaisons alternatives

Vous pouvez également utiliser l'BoolIfExistsopérateur pour autoriser les demandes MFA authentifiées et AWS CLI or AWS APIdemandes effectuées à l'aide d'informations d'identification à long terme.

"Effect" : "Allow",
"Condition" : { "BoolIfExists" : { "aws:MultiFactorAuthPresent" : "true" } }

Cette condition correspond à deux cas : si la clé existe et est présente ou si la clé n'existe pas. Cette combinaison de AllowBoolIfExists, et true autorise les demandes authentifiées à l'aide deMFA, ou les demandes qui ne peuvent pas être authentifiées à l'aide de. MFA Cela signifie que AWS CLI, AWS API, et AWS SDKles opérations sont autorisées lorsque le demandeur utilise ses clés d'accès à long terme. Cette combinaison n'autorise pas les demandes provenant d'informations d'identification temporaires qui pourraient, mais ne l'incluent pasMFA.

Lorsque vous créez une politique à l'aide de l'éditeur visuel de IAM console et que vous choisissez MFAObligatoire, cette combinaison est appliquée. Ce paramètre nécessite un accès MFA à la console, mais autorise un accès programmatique sans MFA accès.

Vous pouvez également utiliser l'Boolopérateur pour autoriser les demandes programmatiques et de console uniquement lorsque vous êtes authentifié à l'aide de. MFA

"Effect" : "Allow",
"Condition" : { "Bool" : { "aws:MultiFactorAuthPresent" : "true" } }

Cette combinaison de AllowBool, et true autorise uniquement les demandes MFA authentifiées. Cela s'applique uniquement aux informations d'identification temporaires qui prennent en charge l'utilisationMFA. Cette déclaration n'autorise pas l'accès aux demandes effectuées à l'aide de clés d'accès à long terme, ni aux demandes effectuées à l'aide d'informations d'identification temporaires sansMFA.

N'utilisez pas une structure de politique similaire à la suivante pour vérifier si la MFA clé est présente :

#####   WARNING: USE WITH CAUTION   #####

"Effect" : "Allow",
"Condition" : { "Null" : { "aws:MultiFactorAuthPresent" : "false" } }

Cette combinaison de l'Alloweffet, de l'Nullélément et de false la valeur autorise uniquement les demandes qui peuvent être authentifiées à l'aideMFA, que la demande soit réellement authentifiée ou non. Elle autorise toutes les demandes effectuées à l'aide d'informations d'identification temporaires et refuse l'accès aux informations d'identification à long terme. Utilisez cet exemple avec prudence car il ne permet pas de vérifier si MFA -authentication a été réellement utilisé.

AWS : EC2 InstanceSourceVpc

Cette clé identifie la personne VPC à laquelle les informations d'identification du EC2 IAM rôle Amazon ont été transmises. Vous pouvez utiliser cette clé dans une politique avec la clé aws:SourceVPCglobale pour vérifier si un appel est passé à partir de a VPC (aws:SourceVPC) qui correspond à l'VPCendroit où un identifiant a été délivré (aws:Ec2InstanceSourceVpc).

Cette clé peut être utilisée avec des valeurs d'VPCidentifiant, mais elle est particulièrement utile lorsqu'elle est utilisée en tant que variable associée à la clé de aws:SourceVpc contexte. La clé de aws:SourceVpc contexte est incluse dans le contexte de la demande uniquement si le demandeur utilise un VPC point de terminaison pour effectuer la demande. Utiliser aws:Ec2InstanceSourceVpc avec aws:SourceVpc permet d'utiliser aws:Ec2InstanceSourceVpc plus largement, car la comparaison porte sur des valeurs qui changent généralement ensemble.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireSameVPC",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
            "aws:SourceVpc": "${aws:Ec2InstanceSourceVpc}"
        },
        "Null": {
          "ec2:SourceInstanceARN": "false"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Dans l'exemple ci-dessus, l'accès est refusé si la valeur aws:SourceVpc n'est pas égale à la valeur aws:Ec2InstanceSourceVpc. La déclaration de politique est limitée aux seuls rôles utilisés comme rôles d'EC2instance Amazon en testant l'existence de la clé de ec2:SourceInstanceARN condition.

La politique utilise aws:ViaAWSService pour permettre AWS pour autoriser les demandes lorsque celles-ci sont effectuées au nom de vos rôles d'EC2instance Amazon. Par exemple, lorsque vous envoyez une demande depuis une EC2 instance Amazon vers un compartiment Amazon S3 chiffré, Amazon S3 appelle AWS KMS en votre nom. Certaines clés ne sont pas présentes lorsque la demande est faite à AWS KMS.

AWS : EC2 InstanceSourcePrivate IPv4

Cette clé identifie l'IPv4adresse privée de l'interface Elastic Network principale à laquelle les informations d'identification du EC2 IAM rôle Amazon ont été transmises. Vous devez utiliser cette clé de condition avec sa clé associée aws:Ec2InstanceSourceVpc pour vous assurer que vous disposez d'une combinaison unique au monde d'VPCidentifiant et d'adresse IP privée source. Utilisez cette clé avec aws:Ec2InstanceSourceVpc pour vous assurer qu'une demande a été faite à partir de la même adresse IP privée à laquelle les informations d'identification ont été transmises.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action":  "*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:Ec2InstanceSourceVpc": "${aws:SourceVpc}"
                },                
                "Null": {
                    "ec2:SourceInstanceARN": "false"
                },
                "BoolIfExists": {
                    "aws:ViaAWSService": "false"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action":  "*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:Ec2InstanceSourcePrivateIPv4": "${aws:VpcSourceIp}"
                },                               
                "Null": {
                    "ec2:SourceInstanceARN": "false"
                },
                "BoolIfExists": {
                    "aws:ViaAWSService": "false"
                }
            }
        }
    ]
}

lois : SourceIdentity

Utilisez cette clé pour comparer l'identité source qui a été définie par le principal à l'identité source que vous spécifiez dans la politique.

Vous pouvez utiliser cette clé dans une politique pour autoriser des actions dans AWS par des responsables qui ont défini une identité source lorsqu'ils assument un rôle. L'activité associée à l'identité source spécifiée pour le rôle apparaît dans AWS CloudTrail. Cela permet aux administrateurs de déterminer plus facilement qui ou quoi a effectué des actions avec un rôle dans AWS.

Contrairement à sts:RoleSessionName, une fois l'identité source définie, la valeur ne peut plus être modifiée. Elle est présente dans le contexte de la demande pour toutes les actions entreprises par le rôle. La valeur persiste dans les sessions de rôle suivantes lorsque vous utilisez les informations d'identification de session pour endosser un autre rôle. Le fait d'endosser un rôle à partir d'un autre est appelé chaînage des rôles.

La sts:SourceIdentityclé est présente dans la demande lorsque le principal définit initialement une identité source tout en assumant un rôle en utilisant n'importe quelle AWS STS CLIcommande assume-role, ou AWS STS AssumeRoleAPIopération. La clé aws:SourceIdentity est présente dans la demande pour toutes les actions qui sont effectuées avec une session de rôle disposant d'un ensemble d'identités source.

La politique de confiance de rôle suivante pour CriticalRole dans un compte 111122223333 contient une condition pour aws:SourceIdentity qui empêche un principal sans identité source définie sur Saanvi ou Diego d'endosser le rôle.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AssumeRoleIfSourceIdentity",
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/CriticalRole"},
            "Action": [
                "sts:AssumeRole",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringLike": {
                    "aws:SourceIdentity": ["Saanvi","Diego"]
                }
            }
        }
    ]
}

Pour en savoir plus sur les informations relatives à l'identité source, veuillez consulter Surveiller et contrôler les actions prises avec les rôles endossés.

EC2 : RoleDelivery

Utilisez cette clé pour comparer la version du service de métadonnées d'instance figurant dans la demande signée avec les informations d'identification du IAM rôle pour AmazonEC2. Le service de métadonnées d'instance fait la distinction entre les IMDSv2 demandes IMDSv1 et selon que, pour une demande donnée, GET des en-têtes PUT ou des en-têtes, qui sont uniques àIMDSv2, sont présents dans cette demande.

Vous pouvez configurer le service de métadonnées d'instance (IMDS) sur chaque instance afin que le code local ou les utilisateurs puissent l'utiliserIMDSv2. Lorsque vous spécifiez que cela IMDSv2 doit être utilisé, cela IMDSv1 ne fonctionne plus.

Pour plus d'informations sur la configuration de votre instance à utiliserIMDSv2, consultez Configurer les options de métadonnées de l'instance.

Dans l'exemple suivant, l'accès est refusé si la RoleDelivery valeur ec2 : dans le contexte de la demande est 1.0 (IMDSv1). Cette déclaration de politique peut être appliquée de manière générale car, si la demande n'est pas signée par les informations d'identification du EC2 rôle Amazon, elle n'a aucun effet.

{
    "Version": "2012-10-17",
    "Statement": [
               {
            "Sid": "RequireAllEc2RolesToUseV2",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "NumericLessThan": {
                    "ec2:RoleDelivery": "2.0"
                }
            }
        }
    ]
}

Pour plus d'informations, consultez Exemples de politiques pour l'utilisation des métadonnées d'instance.

EC2 : SourceInstanceArn

Utilisez cette clé pour comparer l'ARNinstance à partir de laquelle la session du rôle a été générée.

Pour des exemples de politiques, voir Autoriser une instance spécifique à afficher des ressources dans d'autres AWS services.

colle : RoleAssumedBy

Le AWS Glue le service définit cette clé de condition pour chaque AWS APIdemande où AWS Glue effectue une demande en utilisant un rôle de service pour le compte du client (non pas par le biais d'un poste de travail ou d'un point de terminaison de développeur, mais directement par le AWS Glue service). Utilisez cette clé pour vérifier si un appel à un AWS la ressource provenait du AWS Glue service.

L'exemple suivant ajoute une condition pour autoriser AWS Glue service permettant d'obtenir un objet depuis un compartiment Amazon S3.

{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {
        "StringEquals": {
            "glue:RoleAssumedBy": "glue.amazonaws.com"
        }
    }
}

colle : CredentialIssuingService

Le AWS Glue le service définit cette clé pour chaque AWS APIdemande utilisant un rôle de service provenant d'un poste de travail ou d'un point de terminaison de développeur. Utilisez cette clé pour vérifier si un appel à un AWS la ressource provenait d'un AWS Glue poste de travail ou point de terminaison de développeur.

L'exemple suivant ajoute une condition attachée à un IAM rôle utilisé par un AWS Glue travail. Cela garantit que certaines actions sont autorisées/refusées selon que la session de rôle est utilisée ou non pour AWS Glue environnement d'exécution des tâches.

{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {
        "StringEquals": {
            "glue:CredentialIssuingService": "glue.amazonaws.com"
        }
    }
}

lambda : SourceFunctionArn

Utilisez cette clé pour identifier la fonction Lambda à ARN laquelle les informations d'identification de IAM rôle ont été fournies. Le service Lambda définit cette clé pour chaque AWS APIdemande provenant de l'environnement d'exécution de votre fonction. Utilisez cette clé pour vérifier si un appel à un AWS la ressource provient du code d'une fonction Lambda spécifique. Lambda définit également cette clé pour certaines requêtes provenant de l'extérieur de l'environnement d'exécution, telles que l'écriture de journaux CloudWatch et l'envoi de traces à X-Ray.

L'exemple suivant permet à une fonction Lambda spécifique d's3:PutObjectaccéder au bucket spécifié.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ExampleSourceFunctionArn",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
            "Condition": {
                "ArnEquals": {
                    "lambda:SourceFunctionArn": "arn:aws:lambda:us-east-1:123456789012:function:source_lambda"
                }
            }
        }
    ]
}

Pour plus d'informations, consultez la section Utilisation des informations d'identification de l'environnement d'exécution Lambda dans le AWS Lambda Guide du développeur.

SMS : SourceInstanceArn

Utilisez cette clé pour identifier AWS Systems Manager instance gérée à ARN laquelle les informations d'identification du IAM rôle ont été fournies. Cette clé de condition n'est pas présente lorsque la demande provient d'une instance gérée dont le IAM rôle est associé à un profil d'EC2instance Amazon.

boutique d'identité : UserId

Utilisez cette clé pour comparer IAM l'identité du personnel d'Identity Center figurant dans la demande signée avec l'identité spécifiée dans la politique.

Vous pouvez trouver le nom UserId d'un utilisateur dans IAM Identity Center en faisant une demande à l'GetUserIdAPIaide du AWS CLI, AWS API, ou AWS SDK.

Propriétés du réseau

Utilisez les clés de condition suivantes pour comparer les détails du réseau d'où provient ou est passée la demande avec les propriétés du réseau que vous spécifiez dans la politique.

lois : SourceIp

Utilisez cette clé pour comparer l'adresse IP du demandeur avec celle spécifiée dans la politique. La clé de condition aws:SourceIp ne peut être utilisée que pour les plages d'adresses IP publiques.

La clé de condition aws:SourceIp peut être utilisée dans une politique pour autoriser des principaux à effectuer des demandes uniquement dans une plage IP spécifiée.

Par exemple, vous pouvez associer la politique basée sur l'identité suivante à un IAM rôle. Cette politique permet à l'utilisateur de placer des objets dans le compartiment amzn-s3-demo-bucket3 Amazon S3 s'il effectue l'appel depuis la plage d'IPv4adresses spécifiée. Cette politique permet également AWS service utilisé Transmission des sessions d'accès pour effectuer cette opération en votre nom.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PrincipalPutObjectIfIpAddress",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket3/*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "203.0.113.0/24"
                }
            }
        }
    ]
}

Si vous devez restreindre l'accès aux réseaux qui prennent en charge à la fois l'IPv6adressage IPv4 et l'adresse, vous pouvez inclure l'IPv6adresse IPv4 et ou des plages d'adresses IP dans la condition de IAM politique. La politique basée sur l'identité suivante permettra à l'utilisateur de placer des objets dans le compartiment amzn-s3-demo-bucket3 Amazon S3 s'il passe l'appel depuis des plages d'adresses spécifiées IPv4 ou depuis des plages d'IPv6adresses. Avant d'inclure des plages d'IPv6adresses dans votre IAM politique, vérifiez que Service AWS vous travaillez avec des supportsIPv6. Pour une liste des Services AWS ce supportIPv6, voir Services AWS qui sont disponibles IPv6 dans le guide de VPC l'utilisateur Amazon.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PrincipalPutObjectIfIpAddress",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket3/*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "203.0.113.0/24",
                        "2001:DB8:1234:5678::/64"
                    ]
                }
            }
        }
    ]
}

Si la demande provient d'un hôte qui utilise un point de VPC terminaison Amazon, la aws:SourceIp clé n'est pas disponible. Vous devez plutôt utiliser une clé VPC spécifique telle que aws : VpcSourceIp. Pour plus d'informations sur l'utilisation des VPC points de terminaison, consultez la section Gestion des identités et des accès pour les VPC points de VPC terminaison et les services de point de terminaison dans le AWS PrivateLink Guidez.

lois : SourceVpc

Utilisez cette clé pour vérifier si la demande passe par le VPC terminal auquel est attaché le VPC point de terminaison. Dans une politique, vous pouvez utiliser cette clé pour n'autoriser l'accès qu'à un élément spécifiqueVPC. Pour plus d'informations, consultez la section Restreindre l'accès à un élément spécifique VPC dans le guide de l'utilisateur d'Amazon Simple Storage Service.

Dans une politique, vous pouvez utiliser cette clé pour autoriser ou restreindre l'accès à un élément spécifiqueVPC.

Par exemple, vous pouvez associer la politique basée sur l'identité suivante à un IAM rôle afin de le refuser PutObject au compartiment amzn-s3-demo-bucket3 Amazon S3, sauf si la demande est faite à partir de l'VPCID spécifié ou par Services AWS qui utilisent des sessions d'accès direct (FAS) pour effectuer des demandes au nom du rôle. Contrairement àlois : SourceIp, vous devez utiliser AWS : V iaAWSService ou lois : CalledVia autoriser les FAS demandes, car la source VPC de la demande initiale n'est pas préservée.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PutObjectIfNotVPCID",
      "Effect": "Deny",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket3/*",
      "Condition": {
        "StringNotEqualsIfExists": {
          "aws:SourceVpc": "vpc-1234567890abcdef0"
        },
        "Bool": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Pour savoir comment appliquer cette clé dans une politique basée sur les ressources, consultez Restreindre l'accès à un élément spécifique VPC dans le guide de l'utilisateur d'Amazon Simple Storage Service.

lois : SourceVpce

Utilisez cette clé pour comparer l'identifiant du VPC point de terminaison de la demande avec l'identifiant du point de terminaison que vous spécifiez dans la politique.

Dans une politique, vous pouvez utiliser cette clé pour restreindre l'accès à un point de VPC terminaison spécifique. Pour plus d'informations, consultez Restreindre l'accès à un élément spécifique VPC dans le guide de l'utilisateur d'Amazon Simple Storage Service. De même que pour utiliserlois : SourceVpc, vous devez utiliser AWS : V iaAWSService ou lois : CalledVia autoriser les demandes faites par Services AWS en utilisant des sessions d'accès direct (FAS). Cela est dû au fait que le VPC point de terminaison source de la demande initiale n'est pas préservé.

lois : VpcSourceIp

Utilisez cette clé pour comparer l'adresse IP à partir de laquelle une demande a été effectuée avec celle spécifiée dans la politique. Dans une politique, la clé ne correspond que si la demande provient de l'adresse IP spécifiée et passe par un VPC point de terminaison.

Pour plus d'informations, consultez la section Contrôler l'accès aux points de VPC terminaison à l'aide des politiques relatives aux points de terminaison dans le guide de VPC l'utilisateur Amazon. De même que pour utiliserlois : SourceVpc, vous devez utiliser AWS : V iaAWSService ou lois : CalledVia autoriser les demandes faites par Services AWS en utilisant des sessions d'accès direct (FAS). Cela est dû au fait que l'adresse IP source de la demande initiale effectuée à l'aide d'un VPC point de terminaison n'est pas préservée dans les FAS demandes.

Propriétés de la ressource

Utilisez les clés de condition suivantes pour comparer les détails de la ressource cible de la demande avec les propriétés de ressource que vous spécifiez dans la politique.

lois : ResourceAccount

Utilisez cette clé pour comparer les informations du propriétaire de la ressource demandée Compte AWS ID avec le compte de ressources indiqué dans la politique. Vous pouvez ensuite autoriser ou refuser l'accès à cette ressource en fonction du compte propriétaire de la ressource.

Cette clé est égale à Compte AWS ID du compte contenant les ressources évaluées dans la demande.

Pour la plupart des ressources de votre compte, le ARNcontient l'identifiant du compte propriétaire de cette ressource. Pour certaines ressources, telles que les compartiments Amazon S3, la ressource n'ARNinclut pas l'ID de compte. Les deux exemples suivants montrent la différence entre une ressource avec un ID de compte dans ARN le et un Amazon S3 ARN sans identifiant de compte :

Utilisez la commande AWS console, ouAPI, ouCLI, pour trouver toutes vos ressources et les ressources correspondantesARNs.

Vous élaborez une politique qui refuse les autorisations d'accès aux ressources en fonction de l'ID de compte du propriétaire de la ressource. Par exemple, la politique basée sur l'identité suivante refuse l'accès à la ressource spécifiée si celle-ci n'appartient pas au compte spécifié.

Pour utiliser cette politique, remplacez le texte en italique de l'espace réservé dans l'exemple de politique par vos propres informations de compte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyInteractionWithResourcesNotInSpecificAccount",
      "Action": "service:*",
      "Effect": "Deny",
      "Resource": [
        "arn:aws:service:region:account:*"
      ],
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceAccount": [
            "account"
          ]
        }
      }
    }
  ]
}

Cette politique refuse l'accès à toutes les ressources pour un AWS service sauf indication contraire Compte AWS possède la ressource.

Certain AWS des services, tels que AWS Data Exchange, comptez sur l'accès à des ressources extérieures à votre Comptes AWS pour des opérations normales. Si vous utilisez l'élément aws:ResourceAccount dans vos politiques, incluez des déclarations supplémentaires afin de créer des dérogations pour ces services. L'exemple de politique AWS: Refusez l'accès aux ressources Amazon S3 en dehors de votre compte, sauf AWS Data Exchange montre comment refuser l'accès en fonction du compte de la ressource tout en définissant des exceptions pour les ressources appartenant au service.

Utilisez cet exemple de politique comme modèle pour créer vos propres politiques personnalisées. Reportez-vous à votre documentation de service pour plus d'informations.

lois : ResourceOrgPaths

Utilisez cette touche pour comparer les AWS Organisations : chemin de la ressource consultée vers le chemin indiqué dans la politique. Dans une politique, cette clé de condition garantit que la ressource appartient à un membre du compte au sein de la racine ou des unités organisationnelles (OUs) spécifiées dans AWS Organisations. Un AWS Organizations path est une représentation textuelle de la structure d'une entité Organizations. Pour de plus amples informations sur l'utilisation et la compréhension des chemins, veuillez consulter Comprenez le AWS Organizations chemin de l'entité.

aws:ResourceOrgPaths est une clé de condition à valeurs multiples. Les clés multivaluées peuvent avoir plusieurs valeurs dans le contexte de la demande. Vous devez utiliser les opérateurs d'ensemble ForAnyValue ou ForAllValues avec l'opérateur de condition de chaîne pour cette clé. Pour de plus amples informations sur les clés de condition à valeurs multiples, veuillez consulter Clés de contexte à valeurs multiples.

Par exemple, la condition suivante renvoie True pour les ressources qui appartiennent à l'organisation o-a1b2c3d4e5. Lorsque vous incluez un caractère générique, vous devez utiliser l'opérateur de StringLikecondition.

"Condition": { 
      "ForAnyValue:StringLike": {
             "aws:ResourceOrgPaths":["o-a1b2c3d4e5/*"]
   }
}

La condition suivante renvoie True pour les ressources avec l'ID d'unité d'organisation ou-ab12-11111111. Il correspondra aux ressources détenues par des comptes rattachés à l'UO ou-ab12-11111111 ou à l'un des comptes de l'enfant. OUs

"Condition": { "ForAnyValue:StringLike" : {
     "aws:ResourceOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/*"]
}}

La condition suivante s'applique True aux ressources détenues par des comptes directement associés à l'ID de l'unité d'ou-ab12-22222222organisation, mais pas à l'enfantOUs. L'exemple suivant utilise l'opérateur de StringEqualscondition pour spécifier l'exigence de correspondance exacte pour l'ID d'unité d'organisation et non une correspondance générique.

"Condition": { "ForAnyValue:StringEquals" : {
     "aws:ResourceOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"]
}}

Certain AWS des services, tels que AWS Data Exchange, comptez sur l'accès à des ressources extérieures à votre Comptes AWS pour des opérations normales. Si vous utilisez la clé aws:ResourceOrgPaths dans vos politiques, incluez des déclarations supplémentaires afin de créer des dérogations pour ces services. L'exemple de politique AWS: Refusez l'accès aux ressources Amazon S3 en dehors de votre compte, sauf AWS Data Exchange montre comment refuser l'accès en fonction du compte de la ressource tout en définissant des exceptions pour les ressources appartenant au service. Vous pouvez créer une politique similaire pour restreindre l'accès aux ressources d'une unité d'organisation (UO) à l'aide de la clé aws:ResourceOrgPaths, tout en tenant compte des ressources appartenant au service.

Utilisez cet exemple de politique comme modèle pour créer vos propres politiques personnalisées. Reportez-vous à votre documentation de service pour plus d'informations.

lois : ResourceOrg ID

Utilisez cette clé pour comparer l'identifiant de l'organisation dans AWS Organisations auxquelles appartient la ressource demandée avec l'identifiant spécifié dans la politique.

Cette clé globale renvoie l'ID de l'organisation de la ressource pour une demande donnée. Elle vous permet de créer des règles qui s'appliquent à toutes les ressources d'une organisation qui sont spécifiées dans l'élément Resource d'une politique basée sur l'identité. Vous pouvez spécifier l'ID de l'organisation dans l'élément Condition. Lorsque vous ajoutez et supprimez des comptes, les politiques qui contiennent la clé aws:ResourceOrgID incluent automatiquement les bons comptes et vous n'avez pas besoin de la mettre à jour manuellement.

Par exemple, la politique suivante empêche le principal d'ajouter des objets à la ressource policy-genius-dev, sauf si la ressource Amazon S3 appartient à la même organisation que le principal qui effectue la demande.

{
  "Version": "2012-10-17",
  "Statement": {
    "Sid": "DenyPutObjectToS3ResourcesOutsideMyOrganization",
    "Effect": "Deny",
    "Action": "s3:PutObject",
    "Resource": "arn:partition:s3:::policy-genius-dev/*",
    "Condition": {
      "StringNotEquals": {
        "aws:ResourceOrgID": "${aws:PrincipalOrgID}"
      }
    }
  }
}

Certain AWS des services, tels que AWS Data Exchange, comptez sur l'accès à des ressources extérieures à votre Comptes AWS pour des opérations normales. Si vous utilisez la clé aws:ResourceOrgID dans vos politiques, incluez des déclarations supplémentaires afin de créer des dérogations pour ces services. L'exemple de politique AWS: Refusez l'accès aux ressources Amazon S3 en dehors de votre compte, sauf AWS Data Exchange montre comment refuser l'accès en fonction du compte de la ressource tout en définissant des exceptions pour les ressources appartenant au service. Vous pouvez créer une politique similaire pour restreindre l'accès aux ressources de votre organisation à l'aide de la clé aws:ResourceOrgID, tout en tenant compte des ressources appartenant au service.

Utilisez cet exemple de politique comme modèle pour créer vos propres politiques personnalisées. Reportez-vous à votre documentation de service pour plus d'informations.

Dans la vidéo suivante, découvrez comment utiliser la clé de condition aws:ResourceOrgID dans une politique.

aws :ResourceTag//tag-key

Utilisez cette clé pour comparer la paire valeur clé d'étiquette que vous spécifiez dans la politique avec la paire valeur clé attachée à la ressource. Par exemple, vous pouvez exiger que l'accès à une ressource soit autorisé uniquement si la clé de balise "Dept" est attachée à la ressource avec la valeur "Marketing". Pour de plus amples informations, veuillez consulter Contrôle de l'accès aux ressources AWS.

Cette clé de contexte est formatée où "aws:ResourceTag/tag-key":"tag-value" tag-key and tag-value sont une paire clé-valeur de balise. Les clés et les valeurs d'étiquette ne sont pas sensibles à la casse. Cela signifie que si vous spécifiez "aws:ResourceTag/TagKey1": "Value1" dans l'élément de condition de votre politique, la condition correspond à une clé de balise de ressource nommée TagKey1 ou tagkey1, mais pas aux deux.

Pour des exemples d'utilisation de la aws:ResourceTag clé pour contrôler l'accès aux IAM ressources, consultezContrôle de l'accès aux ressources AWS.

Pour des exemples d'utilisation de la aws:ResourceTag clé pour contrôler l'accès à d'autres AWS ressources, voirContrôle de l'accès aux AWS ressources à l'aide de balises.

Pour un didacticiel sur l'utilisation de la clé de aws:ResourceTag condition pour le contrôle d'accès basé sur les attributs (ABAC), voirIAMtutoriel : Définir les autorisations d'accès aux AWS ressources en fonction des balises.

Propriétés de la demande

Utilisez les clés de condition suivantes pour comparer les détails de la demande elle-même et son contenu avec les propriétés de demande que vous spécifiez dans la politique.

lois : CalledVia

Utilisez cette clé pour comparer les services inclus dans la politique avec les services qui ont effectué des demandes au nom du IAM principal (utilisateur ou rôle). Lorsqu'un directeur fait une demande à un AWS service, ce service peut utiliser les informations d'identification du principal pour effectuer des demandes ultérieures à d'autres services. La clé aws:CalledVia contient une liste ordonnée des services de la chaîne ayant effectué des demandes pour le compte du principal.

Par exemple, vous pouvez utiliser AWS CloudFormation pour lire et écrire à partir d'une table Amazon DynamoDB. DynamoDB utilise ensuite le chiffrement fourni par AWS Key Management Service (AWS KMS).

Pour utiliser la clé de aws:CalledVia condition dans une politique, vous devez fournir les principes de service permettant d'autoriser ou de refuser AWS demandes de service. AWS prend en charge l'utilisation des principes de service suivants avecaws:CalledVia.

Pour autoriser ou refuser l'accès lorsqu'un service effectue une demande à l'aide des informations d'identification du principal, utilisez la clé de condition AWS : V iaAWSService. Cette clé de condition soutient AWS services.

La clé aws:CalledVia est une clé à valeurs multiples. Cependant, vous ne pouvez pas imposer l'ordre en utilisant cette clé dans une condition. À l'aide de l'exemple ci-dessus, l'utilisateur 1 fait une demande à AWS CloudFormation, qui appelle DynamoDB, qui appelle AWS KMS. Il s'agit de trois demandes distinctes. Le dernier appel à AWS KMS est effectué par l'utilisateur 1 via AWS CloudFormation puis DynamoDB.

Dans ce cas, la clé aws:CalledVia dans le contexte de la demande comprend cloudformation.amazonaws.com et dynamodb.amazonaws.com, dans cet ordre. Si vous vous souciez uniquement du fait que l'appel a été effectué via DynamoDB quelque part dans la chaîne des demandes, vous pouvez utiliser cette clé de condition dans votre politique.

Par exemple, la politique suivante permet de gérer AWS KMS clé nomméemy-example-key, mais uniquement si DynamoDB est l'un des services demandeurs. L'opérateur de condition ForAnyValue:StringEquals s'assure que DynamoDB est un des services appelant. Si le directeur appelle AWS KMS directement, la condition revient false et la demande n'est pas autorisée par cette politique.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "KmsActionsIfCalledViaDynamodb",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:region:111122223333:key/my-example-key",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": ["dynamodb.amazonaws.com"]
                }
            }
        }
    ]
}

Si vous souhaitez définir le service effectuant le premier ou le dernier appel de la chaîne, vous pouvez utiliser les clés aws:CalledViaLast et aws:CalledViaFirst. Par exemple, la politique suivante permet de gérer la clé nommée my-example-key dans AWS KMS. Ces AWS KMS les opérations ne sont autorisées que si plusieurs demandes ont été incluses dans la chaîne. La première demande doit être faite via AWS CloudFormation et le dernier via DynamoDB. Si d'autres services font des demandes au milieu de la chaîne, l'opération est toujours autorisée.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "KmsActionsIfCalledViaChain",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:region:111122223333:key/my-example-key",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaFirst": "cloudformation.amazonaws.com",
                    "aws:CalledViaLast": "dynamodb.amazonaws.com"
                }
            }
        }
    ]
}

Les aws:CalledViaLast touches aws:CalledViaFirst et sont présentes dans la demande lorsqu'un service utilise les informations d'identification d'un IAM principal pour appeler un autre service. Elles indiquent le premier et le dernier services ayant effectué des appels dans la chaîne de demandes. Supposons, par exemple, que AWS CloudFormation appelle un autre service nomméX Service, qui appelle DynamoDB, qui appelle ensuite AWS KMS. Le dernier appel à AWS KMS est réalisé par User 1 via AWS CloudFormation, puisX Service, puis DynamoDB. Il a d'abord été appelé via AWS CloudFormation et appelé pour la dernière fois via DynamoDB.

lois : CalledViaFirst

Utilisez cette clé pour comparer les services de la politique avec le premier service ayant effectué une demande au nom du IAM principal (utilisateur ou rôle). Pour de plus amples informations, veuillez consulter aws:CalledVia.

lois : CalledViaLast

Utilisez cette clé pour comparer les services de la politique avec le dernier service ayant fait une demande au nom du IAM principal (utilisateur ou rôle). Pour de plus amples informations, veuillez consulter aws:CalledVia.

AWS : V iaAWSService

Utilisez cette touche pour vérifier si un Service AWS fait une demande à un autre service en votre nom à l'aide de sessions d'accès avancées (FAS).

La clé de contexte de demande true est renvoyée lorsqu'un service utilise des sessions d'accès direct pour effectuer une demande au nom du IAM principal d'origine. La clé de contexte est renvoyée false si le service utilise un rôle de service ou un rôle lié à un service pour passer un appel au nom du principal. La clé de contexte de demande renvoie également false lorsque le principal effectue l'appel directement.

lois : CurrentTime

Utilisez cette clé pour comparer la date et l'heure de la demande avec celles spécifiée dans la politique. Pour visualiser un exemple de politique qui utilise cette clé de condition, veuillez consulter AWS : permet l'accès en fonction de la date et de l'heure.

lois : EpochTime

Utilisez cette clé pour comparer la date et l'heure de la demande au format Epoch ou Unix avec la valeur spécifiée dans la politique. Cette clé accepte également le nombre de secondes depuis le 1er janvier 1970.

aws:referer

Utilisez cette clé pour comparer le référent de la demande dans le navigateur client avec le référent spécifié dans la politique. La valeur du contexte de la aws:referer demande est fournie par l'appelant dans un HTTP en-tête. L'en-tête Referer est inclus dans une demande de navigateur Web lorsque vous sélectionnez un lien sur une page Web. L'Refereren-tête contient le nom URL de la page Web sur laquelle le lien a été sélectionné.

Par exemple, vous pouvez accéder à un objet Amazon S3 directement en utilisant un URL ou en utilisant un API appel direct. Pour plus d'informations, consultez la section APIOpérations Amazon S3 directement à l'aide d'un navigateur Web. Lorsque vous accédez à un objet Amazon S3 à partir URL d'un objet existant sur une page Web, URL la page Web source est utilisée dansaws:referer. Lorsque vous accédez à un objet Amazon S3 URL en le saisissant dans votre navigateur, aws:referer il n'est pas présent. Lorsque vous invoquez le API directement, aws:referer il n'est pas non plus présent. Vous pouvez utiliser la clé de condition aws:referer dans une politique pour autoriser les demandes effectuées à partir d'un référent spécifique, comme un lien sur une page Web dans le domaine de votre entreprise.

lois : RequestedRegion

Utilisez cette touche pour comparer les AWS Région appelée dans la demande avec la région que vous spécifiez dans la politique. Vous pouvez utiliser cette clé de condition globale pour contrôler les régions qui peuvent être demandées. Pour consulter le AWS Régions pour chaque service, voir Points de terminaison et quotas du service dans le Référence générale d'Amazon Web Services.

Certains services mondiaux, tels queIAM, ont un seul point de terminaison. Ce point de terminaison étant physiquement situé dans la région de l'est des États-Unis (Virginie du Nord), les IAM appels sont toujours effectués vers la région us-east-1. Par exemple, si vous créez une politique qui refuse l'accès à tous les services si la région demandée n'est pas us-west-2, les appels échouent toujours. IAM Pour voir un exemple de la manière de contourner ce problème, voir NotAction avec Deny.

Vous pouvez utiliser cette clé de contexte pour limiter l'accès à AWS services au sein d'un ensemble donné de régions. Par exemple, la politique suivante permet à un utilisateur de consulter toutes les EC2 instances Amazon dans AWS Management Console. Toutefois, cela leur permet uniquement d'apporter des modifications aux instances situées en Irlande (eu-west-1), à Londres (eu-west-2) ou à Paris (eu-west-3).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "InstanceConsoleReadOnly",
            "Effect": "Allow",
            "Action": [
                "ec2:Describe*",
                "ec2:Export*",
                "ec2:Get*",
                "ec2:Search*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "InstanceWriteRegionRestricted",
            "Effect": "Allow",
            "Action": [
                "ec2:Associate*",
                "ec2:Import*",
                "ec2:Modify*",
                "ec2:Monitor*",
                "ec2:Reset*",
                "ec2:Run*",
                "ec2:Start*",
                "ec2:Stop*",
                "ec2:Terminate*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": [
                        "eu-west-1",
                        "eu-west-2",
                        "eu-west-3"
                    ]
                }
            }
        }
    ]
}       

aws :RequestTag//tag-key

Utilisez cette clé pour comparer la paire clé-valeur de balise qui a été transmise dans la demande avec la paire de balises spécifiée dans la politique. Par exemple, vous pouvez vérifier que la demande comprend la clé de balise "Dept" et qu'elle a la valeur "Accounting". Pour de plus amples informations, veuillez consulter Contrôle de l'accès au cours des demandes AWS.

Cette clé de contexte est formatée où "aws:RequestTag/tag-key":"tag-value" tag-key and tag-value sont une paire clé-valeur de balise. Les clés et les valeurs d'étiquette ne sont pas sensibles à la casse. Cela signifie que si vous spécifiez "aws:RequestTag/TagKey1": "Value1" dans l'élément de condition de votre politique, la condition correspond à une clé de balise de demande nommée TagKey1 ou tagkey1, mais pas aux deux.

Cet exemple montre que même si la clé est à valeur unique, vous pouvez toujours utiliser plusieurs paires clé-valeur dans une requête si les clés sont différentes.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "ec2:CreateTags",
    "Resource": "arn:aws:ec2:::instance/*",
    "Condition": {
      "StringEquals": {
        "aws:RequestTag/environment": [
          "preprod",
          "production"
        ],
        "aws:RequestTag/team": [
          "engineering"
        ]
      }
    }
  }
}

lois : TagKeys

Utilisez cette clé pour comparer les clés de balise d’une demande avec celles spécifiées dans la politique. Nous vous recommandons, lorsque vous utilisez des politiques pour contrôler l'accès à l'aide de balises, d'utiliser la clé de condition aws:TagKeys pour définir quelles clés de balises sont autorisées. Pour obtenir des exemples de stratégie et de plus amples informations, veuillez consulter Contrôle de l'accès en fonction des clés de balise.

Cette clé de contexte est formatée où "aws:TagKeys":"tag-key" tag-key est une liste de clés de balise sans valeurs (par exemple,["Dept","Cost-Center"]).

Étant donné que vous pouvez inclure plusieurs paires clé-valeur de balise dans une demande, le contenu de la demande peut être une demande à valeurs multiples. Dans ce cas, vous devez utiliser le opérateurs d'ensemble ForAllValues ou ForAnyValue. Pour de plus amples informations, veuillez consulter Clés de contexte à valeurs multiples.

Certains services prennent en charge le balisage avec des opérations de ressource, comme la création, la modification ou de la suppression d'une ressource. Pour autoriser le balisage et les opérations sous la forme d'un seul appel, vous devez créer une politique qui inclut à la fois l'action de balisage et celle de modification de ressource. Vous pouvez ensuite utiliser la clé de condition aws:TagKeys pour imposer l'utilisation de clés de balise spécifiques dans la demande. Par exemple, pour limiter les balises lorsque quelqu'un crée un EC2 instantané Amazon, vous devez inclure l'action de ec2:CreateSnapshot création et l'action de ec2:CreateTags balisage dans la politique. Pour consulter une politique applicable à ce scénario qui utiliseaws:TagKeys, consultez la section Création d'un instantané avec des balises dans le guide de EC2 l'utilisateur Amazon.

lois : SecureTransport

Utilisez cette clé pour vérifier si la demande a été envoyée viaTLS. Le contexte de la demande renvoie true ou false. Dans une politique, vous ne pouvez autoriser des actions spécifiques que si la demande est envoyée viaTLS.

lois : SourceArn

Utilisez cette clé pour comparer le nom de ressource Amazon (ARN) de la ressource qui fait une service-to-service demande avec celui ARN que vous spécifiez dans la politique, mais uniquement lorsque la demande est faite par un AWS principal de service. Lorsque la source ARN inclut l'identifiant du compte, il n'est pas nécessaire de l'utiliser aws:SourceAccount avecaws:SourceArn.

Cette clé ne fonctionne pas avec celle ARN du principal qui fait la demande. Utilisez à la place lois : PrincipalArn.

Vous pouvez utiliser cette clé de condition pour empêcher une AWS service d'être utilisé en tant qu'adjoint confus lors de transactions entre services. Utilisez cette clé uniquement dans les politiques basées sur les ressources où il s'agit d'Principalun Service AWS principal. Définissez la valeur de cette clé de condition sur celle ARN de la ressource contenue dans la demande. Par exemple, lorsqu'une mise à jour du compartiment Amazon S3 déclenche la publication d'une SNS rubrique Amazon, le service Amazon S3 appelle l'sns:PublishAPIopération. Dans la rubrique Politique autorisant l'sns:Publishopération, définissez la valeur de la clé de condition sur celle ARN du compartiment Amazon S3. Pour savoir comment et quand cette clé de condition est recommandée, consultez la documentation du AWS les services que vous utilisez.

lois : SourceAccount

Utilisez cette clé pour comparer l'ID de compte de la ressource qui fait une service-to-service demande avec l'ID de compte que vous spécifiez dans la politique, mais uniquement lorsque la demande est faite par un AWS principal de service.

Vous pouvez utiliser cette clé de condition pour empêcher une AWS service d'être utilisé en tant qu'adjoint confus lors de transactions entre services. Utilisez cette clé uniquement dans les politiques basées sur les ressources où il s'agit d'Principalun Service AWS principal. Définissez la valeur de cette clé de condition sur l'ID de compte de la ressource dans la demande. Par exemple, lorsqu'une mise à jour du compartiment Amazon S3 déclenche la publication d'une SNS rubrique Amazon, le service Amazon S3 appelle l'sns:PublishAPIopération. Dans la politique de rubrique qui autorise l'opération sns:Publish, définissez la valeur de la clé de condition sur l'ID de compte du compartiment Amazon S3. Pour savoir comment et quand ces clés de condition sont recommandées, consultez la documentation du AWS les services que vous utilisez.

lois : SourceOrgPaths

Utilisez cette touche pour comparer les AWS Organizations chemin de la ressource effectuant une service-to-service demande avec le chemin de l'organisation que vous spécifiez dans la politique, mais uniquement lorsque la demande est faite par un AWS principal de service. Un chemin Organizations est une représentation textuelle de la structure d'une entité Organizations. Pour plus d'informations sur l'utilisation et la compréhension des chemins, voir Comprendre le AWS Organizations chemin de l'entité.

Vous pouvez utiliser cette clé de condition pour empêcher une AWS service d'être utilisé en tant qu'adjoint confus lors de transactions entre services. Utilisez cette clé uniquement dans les politiques basées sur les ressources où il s'agit d'Principalun Service AWS principal. Définissez la valeur de cette clé de condition sur le chemin de l'organisation de la ressource dans la demande. Par exemple, lorsqu'une mise à jour du compartiment Amazon S3 déclenche la publication d'une SNS rubrique Amazon, le service Amazon S3 appelle l'sns:PublishAPIopération. Dans la politique de rubrique qui autorise l'opération sns:Publish, définissez la valeur de la clé de condition sur le chemin de l'organisation du compartiment Amazon S3. Pour savoir comment et quand cette clé de condition est recommandée, consultez la documentation du AWS les services que vous utilisez.

aws:SourceOrgPaths est une clé de condition à valeurs multiples. Les clés multivaluées peuvent avoir plusieurs valeurs dans le contexte de la demande. Vous devez utiliser les opérateurs d'ensemble ForAnyValue ou ForAllValues avec l'opérateur de condition de chaîne pour cette clé. Pour de plus amples informations sur les clés de condition à valeurs multiples, veuillez consulter Clés de contexte à valeurs multiples.

lois : SourceOrg ID

Utilisez cette clé pour comparer l'ID d'organisation de la ressource qui fait une service-to-service demande avec l'ID d'organisation que vous spécifiez dans la politique, mais uniquement lorsque la demande est faite par un AWS principal de service. Lorsque vous ajoutez et supprimez des comptes dans une organisation dans AWS Organizations, les politiques qui incluent la aws:SourceOrgID clé incluent automatiquement les comptes appropriés et vous n'avez pas à les mettre à jour manuellement.

Vous pouvez utiliser cette clé de condition pour empêcher une AWS service d'être utilisé en tant qu'adjoint confus lors de transactions entre services. Utilisez cette clé uniquement dans les politiques basées sur les ressources où il s'agit d'Principalun Service AWS principal. Définissez la valeur de cette clé de condition sur l'ID de l'organisation de la ressource dans la demande. Par exemple, lorsqu'une mise à jour du compartiment Amazon S3 déclenche la publication d'une SNS rubrique Amazon, le service Amazon S3 appelle l'sns:PublishAPIopération. Dans la politique de rubrique qui autorise l'opération sns:Publish, définissez la valeur de la clé de condition sur l'ID de l'organisation du compartiment Amazon S3. Pour savoir comment et quand cette clé de condition est recommandée, consultez la documentation du AWS les services que vous utilisez.

lois : UserAgent

Utilisez cette clé pour comparer l'application cliente du demandeur avec l'application spécifiée dans la politique.

Autres clés de condition inter-services

AWS STS prend en charge SAMLdes clés de condition de fédération basées sur des clés de condition et des clés de condition interservices pour la OIDCfédération. Ces clés sont disponibles lorsqu'un utilisateur fédéré à l'aide de SAML AWS opérations dans d'autres services.