Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Éléments de politique JSON : NotPrincipal

L'NotPrincipalélément est utilisé "Effect":"Deny" pour refuser l'accès à tous les principaux, à l'exception du principal spécifié dans l'NotPrincipalélément. Un principal peut être un utilisateur IAM, un utilisateur fédéré, un rôle IAM, une session de rôle assumé Compte AWS, un AWS service ou un autre type principal. Pour plus d'informations sur les directeurs, consultezAWS Éléments de politique JSON : Principal.

L'élément NotPrincipal doit être utilisé avec "Effect":"Deny". Son utilisation avec "Effect":"Allow" n'est pas prise en charge.

Points clés

Alternatives à l'NotPrincipalélément

Lorsque vous gérez le contrôle d'accès dans AWS, il peut arriver que vous deviez refuser explicitement à tous les principaux l'accès à une ressource, à l'exception d'un ou de plusieurs principaux que vous spécifiez. AWS recommande d'utiliser une instruction Deny avec des clés contextuelles de condition globales pour un contrôle plus précis et un dépannage simplifié. Les exemples suivants montrent des approches alternatives utilisant des opérateurs de condition tels que StringNotEquals ou ArnNotEquals pour refuser l'accès à tous les principaux, à l'exception de ceux spécifiés dans l'élément Condition.

Exemple de scénario utilisant un rôle IAM

Vous pouvez utiliser une politique basée sur les ressources avec une instruction Deny pour empêcher tous les rôles IAM, à l'exception de ceux spécifiés dans l'élément Condition, d'accéder à vos ressources ou de les manipuler. Cette approche repose sur le principe AWS de sécurité selon lequel un refus explicite a toujours priorité sur toute instruction d'autorisation et contribue à maintenir le principe du moindre privilège au sein de votre AWS infrastructure.

Au lieu de l'utiliserNotPrincipal, nous vous recommandons d'utiliser une instruction Deny avec des clés contextuelles de condition globales et l'opérateur de condition, comme ArnNotEqualspour autoriser explicitement un rôle IAM à accéder à vos ressources. L'exemple suivant permet lois : PrincipalArn d'autoriser explicitement le rôle read-only-role à accéder aux compartiments Amazon S3 du Bucket_Account_Audit dossier.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyCrossAuditAccess",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::Bucket_Account_Audit",
        "arn:aws:s3:::Bucket_Account_Audit/*"
      ],
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:sts::444455556666:role/read-only-role"
        }
      }
    }
  ]
}

Exemple de scénario utilisant un principal de service

Vous pouvez utiliser une instruction Deny pour empêcher tous les principaux de service, à l'exception de ceux spécifiés dans l'Conditionélément, d'accéder à vos ressources ou de les manipuler. Cette approche est particulièrement utile lorsque vous devez mettre en œuvre des contrôles d'accès précis ou établir des limites de sécurité entre les différents services et applications de votre AWS environnement.

Au lieu de l'utiliserNotPrincipal, nous vous recommandons d'utiliser une instruction Deny avec des clés contextuelles de condition globales et l'opérateur de condition StringNotEqualspour autoriser explicitement un principal de service à accéder à vos ressources. L'exemple suivant permet lois : PrincipalServiceName d'autoriser explicitement le principal du AWS CodeBuild service à accéder aux compartiments Amazon S3 du BUCKETNAME dossier.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNotCodeBuildAccess",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::BUCKETNAME",
        "arn:aws:s3:::BUCKETNAME/*"
      ],
      "Condition": {
        "StringNotEqualsIfExists": {
          "aws:PrincipalServiceName": "codebuild.amazonaws.com"
        }
      }
    }
  ]
}