IAMtutoriel : Définir les autorisations d'accès aux AWS ressources en fonction des balises

1. Créez la politique gérée par le client ci-dessous et nommez-la access-assume-role. Pour plus d'informations sur la création d'une JSON politique, consultezCréation de IAM politiques.

   ABACpolitique : assumez n'importe quel ABAC rôle, mais uniquement lorsque les balises utilisateur et rôle correspondent

   La politique suivante autorise un utilisateur à endosser n'importe quel rôle de votre compte avec le préfixe de nom access-. Le rôle doit également être balisé avec les mêmes balises de projet, d'équipe et de centre de coûts que l'utilisateur.

   Pour utiliser cette politique, remplacez le texte en italique de l'espace réservé dans l'exemple de politique par vos propres informations de compte.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeRole",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::account-ID-without-hyphens:role/access-*",
               "Condition": {
                   "StringEquals": {
                       "iam:ResourceTag/access-project": "${aws:PrincipalTag/access-project}",
                       "iam:ResourceTag/access-team": "${aws:PrincipalTag/access-team}",
                       "iam:ResourceTag/cost-center": "${aws:PrincipalTag/cost-center}"
                   }
               }
           }
       ]
   }

   Pour étendre ce didacticiel à un plus grand nombre d'utilisateurs, vous pouvez attacher la politique à un groupe et ajouter chaque utilisateur au groupe. Pour plus d’informations, consultez Création de groupes IAM d'utilisateurs et Modifier les utilisateurs dans les IAM IAM groupes.

2. Créez les IAM utilisateurs suivants, joignez la politique access-assume-role d'autorisation. Assurez-vous de sélectionner Fournir un accès utilisateur à la AWS Management Console, puis d'ajouter les balises suivantes.

   Nom utilisateur	Clé de balise utilisateur	Valeur de balise utilisateur
   Accès-A rnav-peg-eng	access-project access-team cost-center	peg eng 987654
   Accès-m ary-peg-qas	access-project access-team cost-center	peg qas 987654
   Accès-S aanvi-uni-eng	access-project access-team cost-center	uni eng 123456
   Accès-C arlos-uni-qas	access-project access-team cost-center	uni qas 123456

Pour tester la création d'un secret avec et sans les balises requises

1. Dans la fenêtre principale de votre navigateur, restez connecté en tant qu'utilisateur administrateur afin de pouvoir consulter les utilisateurs, les rôles et les politiquesIAM. Utilisez une fenêtre de navigation privée ou un navigateur séparé pour votre test. Ensuite, connectez-vous en tant qu'access-Arnav-peg-engIAMutilisateur et ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

2. Tentez de basculer vers le rôle access-uni-engineering.

   Cette opération échoue, car les valeurs de balise access-project et cost-center ne correspondent pas à l'utilisateur access-Arnav-peg-eng et au rôle access-uni-engineering.

   Pour plus d'informations sur le changement de rôle dans le AWS Management Console, voir Passer d'un utilisateur à un IAM rôle (console)

3. Basculez vers le rôle access-peg-engineering.

4. Enregistrez un nouveau secret en utilisant les informations suivantes. Pour savoir comment enregistrer un secret, veuillez consulter Création d'un secret basique dans le Guide de l'utilisateur AWS Secrets Manager .

   Important

   Secrets Manager affiche des alertes indiquant que vous ne disposez pas d'autorisations pour des services AWS supplémentaires qui fonctionnent avec Secrets Manager. Par exemple, pour créer des informations d'identification pour une RDS base de données Amazon, vous devez être autorisé à décrire RDS les instances, les RDS clusters et les clusters Amazon Redshift. Vous pouvez ignorer ces alertes car vous n'utilisez pas ces AWS services spécifiques dans ce didacticiel.

   1. Dans la section Sélectionner un type de secret sélectionnez Autre type de secrets. Dans les deux zones de texte, saisissez test-access-key et test-access-secret.

   2. Saisissez test-access-peg-eng dans le champ Nom du secret .

   3. Ajoutez différentes combinaisons de balises du tableau suivant et visualisez le comportement attendu.

   4. Choisissez Stocker pour tenter de créer le secret. Si le stockage échoue, revenez aux pages précédentes de la console Secrets Manager et utilisez l'ensemble de balises suivant dans le tableau ci-dessous. Le dernier ensemble de balises est autorisé et crée le secret avec succès.

   Le tableau suivant présente les combinaisons de ABAC balises associées au test-access-peg-eng rôle.

   access-project Valeur de l’étiquette	access-team Valeur de l’étiquette	cost-center Valeur de l’étiquette	Balises supplémentaires	Comportement attendu
   (aucun)	(aucun)	(aucun)	(aucun)	Refusé, car la valeur de la balise access-project ne correspond pas à la valeur peg du rôle.
   uni	eng	987654	(aucun)	Refusé, car la valeur de la balise access-project ne correspond pas à la valeur peg du rôle.
   peg	qas	987654	(aucun)	Refusé, car la valeur de la balise access-team ne correspond pas à la valeur eng du rôle.
   peg	eng	123456	(aucun)	Refusé, car la valeur de la balise cost-center ne correspond pas à la valeur 987654 du rôle.
   peg	eng	987654	Propriétaire = Jane	Refusé, car la balise owner supplémentaire n'est pas autorisée par la politique, même si les trois balises requises sont présentes et que leurs valeurs correspondent à celles du rôle.
   peg	eng	987654	Nom = Jane	Autorisé, car les trois balises obligatoires sont présentes et leurs valeurs correspondent aux valeurs du rôle. Vous êtes également autorisé à inclure la balise Name facultative.

5. Déconnectez-vous et répétez les trois premières étapes de cette procédure pour chaque rôle et chaque valeur de balise ci-dessous. À la quatrième étape de cette procédure, testez tous les ensembles de balises manquantes, de balises facultatives, de balises non autorisées et de valeurs de balises non valides de votre choix. Puis, utilisez les balises requises pour créer un secret avec les balises et le nom suivants.

   Nom utilisateur	Nom du rôle	Nom du secret	Balises du secret
   Accès-m ary-peg-qas	access-peg-quality-assurance	test-access-peg-qas	projet d'accès = peg équipe d'accès = qas centre de coûts = 987654
   Accès-S aanvi-uni-eng	access-uni-engineering	test-access-uni-eng	projet d'accès = uni équipe d'accès = eng centre de coûts = 123456
   Accès-C arlos-uni-qas	access-uni-quality-assurance	test-access-uni-qas	projet d'accès = uni équipe d'accès = qas centre de coûts = 123456

Pour tester l'affichage d'un secret avec et sans les balises requises

1. Connectez-vous en tant que l'un des IAM utilisateurs suivants :

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

2. Basculez vers le rôle correspondant :

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-uni-quality-assurance

   Pour plus d'informations sur le changement de rôle dans le AWS Management Console, consultezPasser d'un utilisateur à un IAM rôle (console).

3. Dans le panneau de navigation de gauche, sélectionnez l'icône de menu permettant de développer le menu, puis sélectionnez Secrets.

4. Vous devriez voir les quatre secrets du tableau, quel que soit votre rôle actuel. C'est le comportement attendu, car la politique nommée access-same-project-team autorise l'action secretsmanager:ListSecrets pour toutes les ressources.

5. Choisissez l'un des secrets.

6. Sur la page détaillée du secret, les étiquettes de votre rôle déterminent si vous pouvez afficher le contenu de la page. Comparez le nom de votre rôle avec celui de votre secret. S'ils ont le même nom d'équipe, alors les balises access-team correspondent. Si elles ne correspondent pas, l'accès est refusé.

   Le tableau suivant indique le comportement d'affichage ABAC secret pour chaque rôle.

   Nom du rôle	Nom du secret	Comportement attendu
   access-peg-engineering	test-access-peg-eng	Autorisé
   	test-access-peg-qas	Refusé
   	test-access-uni-eng	Autorisé
   	test-access-uni-qas	Refusé
   access-peg-quality-assurance	test-access-peg-eng	Refusé
   	test-access-peg-qas	Autorisé
   	test-access-uni-eng	Refusé
   	test-access-uni-qas	Autorisé
   access-uni-engineering	test-access-peg-eng	Autorisé
   	test-access-peg-qas	Refusé
   	test-access-uni-eng	Autorisé
   	test-access-uni-qas	Refusé
   access-uni-quality-assurance	test-access-peg-eng	Refusé
   	test-access-peg-qas	Autorisé
   	test-access-uni-eng	Refusé
   	test-access-uni-qas	Autorisé

7. Dans les miniatures en haut de la page, sélectionnez Secrets pour revenir à la liste des secrets. Répétez les étapes de cette procédure en utilisant différents rôles pour vérifier si vous pouvez afficher chacun des secrets.

Pour ajouter le nouveau projet à AWS

1. Connectez-vous en tant qu'utilisateur IAM administrateur et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

2. Dans le volet de navigation de gauche, choisissez Rôles et ajoutez un IAM rôle nomméaccess-cen-engineering. Attachez la politique d'autorisation access-same-project-team au rôle et ajoutez les balises de rôle suivantes :

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

3. Dans le panneau de navigation de gauche, sélectionnez Users (Utilisateurs).

4. Ajoutez un nouvel utilisateur nommé access-Nikhil-cen-eng, attachez la politique nommée access-assume-role, et ajoutez les balises utilisateur suivantes.

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

5. Utilisez les procédures des sections Étape 4 : Tester la création de secrets et Étape 5 : Tester l'affichage des secrets. Dans une autre fenêtre de navigateur, vérifiez que Nikhil ne peut créer que des secrets d'ingénierie pour le projet Centaur et qu'il peut afficher tous les secrets d'ingénierie.

6. Dans la fenêtre principale du navigateur à partir de laquelle vous vous êtes connecté en tant qu'administrateur, sélectionnez l'utilisateur access-Saanvi-uni-eng.

7. Dans l'onglet Autorisations, supprimez la politique access-assume-roled'autorisations.

8. Ajoutez la politique en ligne ci-dessous et nommez-la access-assume-specific-roles. Pour de plus amples informations sur l'intégration d'une politique en ligne pour un utilisateur, veuillez consulter Pour intégrer une politique en ligne pour un utilisateur ou un rôle (console).

   ABACpolitique : assumer uniquement des rôles spécifiques

   Cette politique autorise Saanvi à assumer les rôles d'ingénierie pour les projets Pegasus et Centaure. Il est nécessaire de créer cette politique personnalisée car elle IAM ne prend pas en charge les balises à valeurs multiples. Vous ne pouvez pas baliser l'utilisateur Saanvi avec access-project = peg et access-project = cen. De plus, le modèle AWS d'autorisation ne peut pas correspondre aux deux valeurs. Pour de plus amples informations, veuillez consulter Règles relatives au balisage et IAM AWS STS. Vous devez spécifier manuellement les deux rôles qu'elle peut endosser.

   Pour utiliser cette politique, remplacez le texte en italique de l'espace réservé dans l'exemple de politique par vos propres informations de compte.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeSpecificRoles",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": [
                   "arn:aws:iam::account-ID-without-hyphens:role/access-peg-engineering",
                   "arn:aws:iam::account-ID-without-hyphens:role/access-cen-engineering"
               ]
           }
       ]
   }

9. Utilisez les procédures des sections Étape 4 : Tester la création de secrets et Étape 5 : Tester l'affichage des secrets. Dans une autre fenêtre du navigateur, vérifiez que Saanvi peut endosser les deux rôles. Vérifiez qu'elle peut créer des secrets uniquement pour son projet, son équipe et son centre de coûts, en fonction des balises du rôle. Vérifiez également qu'elle peut afficher les détails de tous les secrets appartenant à l'équipe d'ingénierie, y compris ceux qu'elle vient de créer.

Pour tester la mise à jour et la suppression d'un secret avec et sans les balises requises

1. Connectez-vous en tant que l'un des IAM utilisateurs suivants :

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

   • access-Nikhil-cen-eng

2. Basculez vers le rôle correspondant :

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-peg-quality-assurance

   • access-cen-engineering

   Pour plus d'informations sur le changement de rôle dans le AWS Management Console, consultezPasser d'un utilisateur à un IAM rôle (console).

3. Pour chaque rôle, mettez à jour la description du secret, puis supprimez les secrets suivants. Pour de plus amples informations, veuillez consulter Modification d'un secret et Suppression et restauration d'un secret dans le Guide de l'utilisateur AWS Secrets Manager .

   Le tableau suivant montre le comportement de mise à jour et de suppression ABAC secrètes pour chaque rôle.

   Nom du rôle	Nom du secret	Comportement attendu
   access-peg-engineering	test-access-peg-eng	Autorisé
   	test-access-uni-eng	Refusé
   	test-access-uni-qas	Refusé
   access-peg-quality-assurance	test-access-peg-qas	Autorisé
   	test-access-uni-eng	Refusé
   access-uni-engineering	test-access-uni-eng	Autorisé
   	test-access-uni-qas	Refusé
   access-peg-quality-assurance	test-access-uni-qas	Autorisé