Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

IAMJSONéléments de politique : Condition

L'élément Condition (ou bloc Condition) vous permet de spécifier des conditions lorsqu'une politique est appliquée. L’élément Condition est facultatif. Dans l'élément Condition, vous créez des expressions dans lesquelles vous utilisez des opérateurs de condition (égal, inférieur à, etc.) pour faire correspondre les clés et valeurs de contexte de la politique avec les clés et valeurs du contexte de la demande. Pour de plus amples informations sur le contexte de la demande, veuillez consulter Composantes d'une demande.

"Condition" : { "{condition-operator}" : { "{condition-key}" : "{condition-value}" }}

La clé de contexte que vous spécifiez dans une condition de politique peut être une clé de contexte de condition globale ou une clé de contexte spécifique au service. Les clés de contexte de condition globale possèdent le préfixe aws:. Les clés de contexte spécifiques au service possèdent le préfixe du service. Par exemple, Amazon vous EC2 permet d'écrire une condition à l'aide de la clé de ec2:InstanceType contexte, qui est propre à ce service. Pour afficher les clés de IAM contexte spécifiques au service avec le iam: préfixe, consultez. IAMet clés contextuelles de AWS STS condition

Les noms de clé de contexte ne sont pas sensibles à la casse. Par exemple, inclure la clé de contexte aws:SourceIP revient à tester AWS:SourceIp. La sensibilité à la casse des valeurs des clés de contexte dépend de l'opérateur de condition que vous utilisez. Par exemple, la condition suivante inclut l'opérateur StringEquals pour garantir que seules les demandes effectuées par johndoe correspondent. Les utilisateurs nommés JohnDoe se voient refuser l'accès.

"Condition" : { "StringEquals" : { "aws:username" : "johndoe" }}

La condition suivante utilise l'opérateur StringEqualsIgnoreCase pour la correspondance avec les utilisateurs nommés johndoe ou JohnDoe.

"Condition" : { "StringEqualsIgnoreCase" : { "aws:username" : "johndoe" }}

Certaines clés de contexte prennent en charge des paires clé-valeur qui vous permettent de spécifier une partie du nom de clé. Les exemples incluent la clé de aws:RequestTag/tag-key contexte AWS KMS kms:EncryptionContext:encryption_context_key, la clé de contexte et la clé de ResourceTag/tag-key contexte prises en charge par plusieurs services.

Contexte de la demande

Lorsqu'un principal fait une demande à AWS, AWS rassemble les informations de la demande dans un contexte de demande. Ces informations servent à évaluer et autoriser la demande. Vous pouvez utiliser l'Conditionélément d'une JSON politique pour tester des clés de contexte spécifiques par rapport au contexte de la demande. Par exemple, vous pouvez créer une politique qui utilise la clé de CurrentTime contexte aws : pour permettre à un utilisateur d'effectuer des actions dans un intervalle de dates spécifique uniquement.

Lorsqu'une demande est soumise, AWS évalue chaque clé de contexte de la politique et renvoie une valeur vraie, fausse, absente et parfois nulle (une chaîne de données vide). L'absence de clé de contexte dans la demande est considérée comme une absence de correspondance. Par exemple, la politique suivante permet de supprimer votre propre dispositif d'authentification multifactorielle (MFA), mais uniquement si vous vous êtes connecté au cours de la dernière heure (3 600 secondes). MFA

{
    "Version": "2012-10-17",
    "Statement": {
        "Sid": "AllowRemoveMfaOnlyIfRecentMfa",
        "Effect": "Allow",
        "Action": [
            "iam:DeactivateMFADevice"
        ],
        "Resource": "arn:aws:iam::*:user/${aws:username}",
        "Condition": {
            "NumericLessThanEquals": {"aws:MultiFactorAuthAge": "3600"}
        }
    }
}

Le contexte de la demande peut renvoyer les valeurs suivantes :

Bloc Condition

L'exemple suivant illustre le format de base d'un élément Condition :

"Condition": {"StringLike": {"s3:prefix": ["janedoe/*"]}}

Une valeur de la demande est représentée par une clé de contexte. Dans ce cas, il s'agit de s3:prefix. La valeur clé de contexte est comparée à une valeur que vous spécifiez comme valeur littérale, par exemple janedoe/*. Le type de comparaison à effectuer est spécifié par l'opérateur de condition (ici, StringLike). Vous pouvez créer des conditions qui comparent des chaînes, des dates, des numéros et autres à l'aide d'opérateurs de comparaison booléens standard comme est égal à, supérieur à ou inférieur à. Lorsque vous utilisez des opérateurs de chaîne ou des ARNopérateurs, vous pouvez également utiliser une variable de politique dans la valeur de la clé de contexte. L'exemple suivant inclut la variable aws:username.

"Condition": {"StringLike": {"s3:prefix": ["${aws:username}/*"]}}

Dans certains cas, les clés de contexte peuvent contenir plusieurs valeurs. Par exemple, une demande à Amazon DynamoDB peut retourner ou mettre à jour plusieurs attributs d'une table. Une politique d'accès aux tables DynamoDB peut inclure la clé de contexte dynamodb:Attributes, qui contient tous les attributs spécifiés dans la demande. Vous pouvez tester les divers attributs de la demande par rapport à une liste d'attributs autorisés dans une politique à l'aide d'opérateurs de définition dans l'élément Condition. Pour de plus amples informations, veuillez consulter Clés de contexte à valeurs multiples.

Lorsque la politique est évaluée lors d'une demande, AWS remplace la clé par la valeur correspondante de la demande. (Dans cet exemple, AWS utiliserait la date et l'heure de la demande.) L'évaluation de la condition retourne True ou False, ce qui est pris en compte pour déterminer si la politique dans sa totalité autorise ou refuse la demande.

Plusieurs valeurs dans un élément Condition

Un élément Condition peut contenir plusieurs opérateurs de condition, et chaque opérateur de condition peut également inclure plusieurs paires clé-valeur de contexte. L'illustration suivante décrit ce scénario.

Pour de plus amples informations, veuillez consulter Clés de contexte à valeurs multiples.