Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS politiques gérées pour Access AWS Identity and Access Management Analyzer et Access Analyzer

Une politique AWS gérée est une politique autonome créée et administrée par AWS. AWS les politiques gérées sont conçues pour fournir des autorisations pour de nombreux cas d'utilisation courants afin que vous puissiez commencer à attribuer des autorisations aux utilisateurs, aux groupes et aux rôles.

N'oubliez pas que les politiques AWS gérées peuvent ne pas accorder d'autorisations de moindre privilège pour vos cas d'utilisation spécifiques, car elles sont accessibles à tous les AWS clients. Nous vous recommandons de réduire encore les autorisations en définissant des politiques gérées par le client qui sont propres à vos cas d’utilisation.

Vous ne pouvez pas modifier les autorisations définies dans les politiques AWS gérées. Si les autorisations définies dans une politique AWS gérée sont AWS mises à jour, la mise à jour affecte toutes les identités principales (utilisateurs, groupes et rôles) auxquelles la politique est attachée. AWS est le plus susceptible de mettre à jour une politique AWS gérée lorsqu'une nouvelle Service AWS est lancée ou lorsque de nouvelles opérations d'API sont disponibles pour les services existants.

Pour plus d’informations, consultez Politiques gérées par AWS dans le Guide de l’utilisateur IAM.

IAMReadOnlyAccess

Utilisez la politique gérée IAMReadOnlyAccess pour autoriser l'accès en lecture seule aux ressources IAM. Cette politique accorde l'autorisation d'obtenir et de répertorier toutes les ressources IAM. Elle permet d'afficher les détails et les rapports d'activité pour les utilisateurs, les groupes, les rôles, les politiques, les fournisseurs d'identité et les dispositifs MFA. Elle n'inclut pas la possibilité de créer ou de supprimer des ressources ou d'accéder aux ressources IAM Access Analyzer. Consultez la politique pour obtenir la liste complète des services et des actions que prend en charge cette politique.

IAMUserChangePassword

Utilisez la politique gérée par l’interface IAMUserChangePassword pour autoriser les utilisateurs IAM à modifier leur mot de passe.

Vous configurez vos Account settings (paramètres de compte) IAM et la Password policy (politique de mot de passe) pour autoriser les utilisateurs IAM à modifier le mot de passe de leur compte IAM. Lorsque vous autorisez cette action, IAM attache la politique suivante à chaque utilisateur :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ChangePassword"
            ],
            "Resource": [
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetAccountPasswordPolicy"
            ],
            "Resource": "*"
        }
    ]
}

IAMAccessAnalyzerFullAccess

Utilisez la politique IAMAccessAnalyzerFullAccess AWS gérée pour permettre à vos administrateurs d'accéder à IAM Access Analyzer.

Groupes d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "access-analyzer:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "access-analyzer.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots"
      ],
      "Resource": "*"
    }
  ]
}

IAMAccessAnalyzerReadOnlyAccess

Utilisez la politique IAMAccessAnalyzerReadOnlyAccess AWS gérée pour autoriser l'accès en lecture seule à IAM Access Analyzer.

Pour autoriser également l'accès en lecture seule à IAM Access Analyzer pour AWS Organizations, créez une politique gérée par le client qui autorise les actions de description et de liste à partir de la politique gérée. IAMAccessAnalyzerFullAccess AWS

Autorisations de niveau service

Cette politique fournit un accès en lecture seule à IAM Access Analyzer. Cette politique n'inclut aucune autre autorisation de service.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "IAMAccessAnalyzerReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "access-analyzer:CheckAccessNotGranted",
        "access-analyzer:CheckNoNewAccess",
        "access-analyzer:Get*",
        "access-analyzer:List*",
        "access-analyzer:ValidatePolicy"
      ],
      "Resource": "*"
    }
  ]
}

AccessAnalyzerServiceRolePolicy

Vous ne pouvez pas vous associer AccessAnalyzerServiceRolePolicy à vos entités IAM. Cette politique est attachée à un rôle lié à un service qui permet à l'analyseur d'accès IAM de réaliser des actions en votre nom. Pour plus d'informations, consultez la section Utilisation de rôles liés à un service pour Access AWS Identity and Access Management Analyzer.

Groupes d'autorisations

Cette politique autorise l'accès à IAM Access Analyzer pour analyser les métadonnées des ressources à partir de plusieurs Services AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccessAnalyzerServiceRolePolicy",
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetResourcePolicy",
        "dynamodb:ListStreams",
        "dynamodb:ListTables",
        "ec2:DescribeAddresses",
        "ec2:DescribeByoipCidrs",
        "ec2:DescribeSnapshotAttribute",
        "ec2:DescribeSnapshots",
        "ec2:DescribeVpcEndpoints",
        "ec2:DescribeVpcs",
        "ec2:GetSnapshotBlockPublicAccessState",
        "ecr:DescribeRepositories",
        "ecr:GetAccountSetting",
        "ecr:GetRegistryPolicy",
        "ecr:GetRepositoryPolicy",
        "elasticfilesystem:DescribeFileSystemPolicy",
        "elasticfilesystem:DescribeFileSystems",
        "iam:GetRole",
        "iam:ListEntitiesForPolicy",
        "iam:ListRoles",
        "iam:ListUsers",
        "iam:ListRoleTags",
        "iam:ListUserTags",
        "iam:GetUser",
        "iam:GetGroup",
        "iam:GenerateServiceLastAccessedDetails",
        "iam:GetServiceLastAccessedDetails",
        "iam:ListAccessKeys",
        "iam:GetLoginProfile",
        "iam:GetAccessKeyLastUsed",
        "iam:ListRolePolicies",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListUserPolicies",
        "iam:GetUserPolicy",
        "iam:ListAttachedUserPolicies",
        "iam:GetPolicy",
        "iam:GetPolicyVersion",
        "iam:ListGroupsForUser",
        "kms:DescribeKey",
        "kms:GetKeyPolicy",
        "kms:ListGrants",
        "kms:ListKeyPolicies",
        "kms:ListKeys",
        "lambda:GetFunctionUrlConfig",
        "lambda:GetLayerVersionPolicy",
        "lambda:GetPolicy",
        "lambda:ListAliases",
        "lambda:ListFunctions",
        "lambda:ListLayers",
        "lambda:ListLayerVersions",
        "lambda:ListVersionsByFunction",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots",
        "rds:DescribeDBClusterSnapshotAttributes",
        "rds:DescribeDBClusterSnapshots",
        "rds:DescribeDBSnapshotAttributes",
        "rds:DescribeDBSnapshots",
        "s3:DescribeMultiRegionAccessPointOperation",
        "s3:GetAccessPoint",
        "s3:GetAccessPointPolicy",
        "s3:GetAccessPointPolicyStatus",
        "s3:GetAccountPublicAccessBlock",
        "s3:GetBucketAcl",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketPolicy",
        "s3:GetBucketPublicAccessBlock",
        "s3:GetMultiRegionAccessPoint",
        "s3:GetMultiRegionAccessPointPolicy",
        "s3:GetMultiRegionAccessPointPolicyStatus",
        "s3:ListAccessPoints",
        "s3:ListAllMyBuckets",
        "s3:ListMultiRegionAccessPoints",
        "s3express:GetBucketPolicy",
        "s3express:ListAllMyDirectoryBuckets",
        "sns:GetTopicAttributes",
        "sns:ListTopics",
        "secretsmanager:DescribeSecret",
        "secretsmanager:GetResourcePolicy",
        "secretsmanager:ListSecrets",
        "sqs:GetQueueAttributes",
        "sqs:ListQueues"
      ],
      "Resource": "*"
    }
  ]
}

IAMAuditRootUserCredentials

Utilisez la politique IAMAuditRootUserCredentials AWS gérée pour limiter les autorisations lorsque vous effectuez une tâche privilégiée sur un compte AWS Organizations membre afin de vérifier le statut des informations d'identification de l'utilisateur root d'un compte membre. Vous pouvez répertorier ou obtenir les informations d'identification de chaque utilisateur root, telles que :

Vous ne pouvez pas joindre de IAMAuditRootUserCredentials à vos entités IAM. Cette politique est associée AssumeRootà l'exécution de tâches privilégiées sur un compte membre de votre organisation. Pour de plus amples informations, veuillez consulter Gestion centralisée de l’accès root pour les comptes membres.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetAccountSummary",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyAuditingCredentialsOnNonRootUserResource",
         "Action": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices" ,
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"     
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      } 
   ]
}

Groupes d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

IAMCreateRootUserPassword

Utilisez la politique IAMCreateRootUserPassword AWS gérée pour limiter les autorisations lorsque vous effectuez une tâche privilégiée sur un compte AWS Organizations membre afin de permettre la récupération du mot de passe d'un compte membre sans informations d'identification utilisateur root.

Vous ne pouvez pas joindre de IAMCreateRootUserPassword à vos entités IAM. Cette politique est associée AssumeRootà l'exécution de tâches privilégiées sur un compte membre de votre organisation. Pour de plus amples informations, veuillez consulter Gestion centralisée de l’accès root pour les comptes membres.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyCreatingPasswordOnNonRootUserResource",
         "Action": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"   
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}

Groupes d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

IAMDeleteRootUserCredentials

Utilisez la politique IAMDeleteRootUserCredentials AWS gérée pour limiter les autorisations lorsque vous effectuez une tâche privilégiée sur un compte AWS Organizations membre afin de supprimer les informations d'identification de l'utilisateur root, notamment le mot de passe, les clés d'accès, les certificats de signature et la désactivation du MFA. Des autorisations supplémentaires sont requises pour cette action privilégiée, afin que vous puissiez afficher les dernières informations d’identification utilisées, vérifier les dernières informations utilisées pour le compte membre de l’utilisateur racine et dresser la liste des autorisations pour toutes les informations d’identification de l’utilisateur racine à supprimer.

Vous ne pouvez pas joindre de IAMDeleteRootUserCredentials à vos entités IAM. Cette politique est associée AssumeRootà l'exécution de tâches privilégiées sur un compte membre de votre organisation. Pour de plus amples informations, veuillez consulter Gestion centralisée de l’accès root pour les comptes membres.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "DenyAllOtherActionsOnAnyResource",
			"Effect": "Deny",
			"NotAction": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"Resource": "*"
		},
		{
			"Sid": "DenyDeletingRootUserCredentialsOnNonRootUserResource",
			"Effect": "Deny",
			"Action": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"NotResource": "arn:aws:iam::*:root"
		}
	]
}

Groupes d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

S3 UnlockBucketPolicy

Utilisez la politique S3UnlockBucketPolicy AWS gérée pour limiter les autorisations lorsque vous effectuez une tâche privilégiée sur un compte AWS Organizations membre afin de supprimer une politique de compartiment mal configurée qui empêche tous les principaux d'accéder à un compartiment Amazon S3.

Vous ne pouvez pas joindre de S3UnlockBucketPolicy à vos entités IAM. Cette politique est associée AssumeRootà l'exécution de tâches privilégiées sur un compte membre de votre organisation. Pour de plus amples informations, veuillez consulter Gestion centralisée de l’accès root pour les comptes membres.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyManagingBucketPolicyForNonRootCallers",
         "Action": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*",
         "Condition" : {
            "StringNotLike" : {
               "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

Groupes d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

SQSUnlockQueuePolicy

Utilisez la politique SQSUnlockQueuePolicy AWS gérée pour limiter les autorisations lorsque vous effectuez une tâche privilégiée sur un compte AWS Organizations membre afin de supprimer une politique basée sur les ressources Amazon Simple Queue Service qui interdit à tous les principaux d'accéder à une file d'attente Amazon SQS.

Vous ne pouvez pas joindre de SQSUnlockQueuePolicy à vos entités IAM. Cette politique est associée AssumeRootà l'exécution de tâches privilégiées sur un compte membre de votre organisation. Pour de plus amples informations, veuillez consulter Gestion centralisée de l’accès root pour les comptes membres.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "Effect": "Deny",
         "NotAction": [
            "sqs:SetQueueAttributes",
            "sqs:GetQueueAttributes",
            "sqs:ListQueues",
            "sqs:GetQueueUrl"
         ],
         "Resource": "*"
      },
      {
         "Sid": "DenyGettingQueueAttributesOnNonOwnQueue",
         "Effect": "Deny",
         "Action": [
            "sqs:GetQueueAttributes"
         ],
         "Resource": "arn:aws:sqs:*:*:*",
         "Condition": {
            "StringNotEqualsIfExists": {
               "aws:ResourceAccount": [
               "${aws:PrincipalAccount}"
            ]
         }
      }
   },
   {
      "Sid": "DenyActionsForNonRootUser",
      "Effect": "Deny",
      "Action": [
        "sqs:SetQueueAttributes",
        "sqs:GetQueueAttributes",
        "sqs:ListQueues",
        "sqs:GetQueueUrl"
      ],
      "Resource": "*",
      "Condition" : {
         "StringNotLike" : {
            "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

Groupes d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

Mises à jour de IAM et de IAM Access Analyzer pour les politiques gérées par l'interface AWS

Consultez les détails des mises à jour apportées à l'IAM et aux politiques AWS gérées depuis que le service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques sur les modifications apportées à cette page, abonnez-vous au flux RSS sur les pages d'historique d'IAM et IAM Access Analyzer Document.