Didacticiel IAM : déléguer l'accès entre des comptes AWS à l'aide des rôles IAM

Connectez-vous au compte de développement en AWS Management Console tant qu'administrateur et ouvrez la console IAM à l'adresse https://console.aws.amazon.com/iam/.

Dans la barre de navigation, sélectionnez Support, puis Support Center (Centre de support). Le numéro de compte (ID) à 12 chiffres avec lequel vous êtes actuellement connecté apparaît dans le panneau de navigation Support Center (Centre de support). Pour ce scénario, vous pouvez utiliser l'ID 111111111111 pour le compte développement. Toutefois, vous devez utiliser un ID de compte valide si vous utilisez ce scénario dans votre environnement de test.

Connectez-vous en AWS Management Console tant qu'administrateur du compte de production et ouvrez la console IAM.

Avant de créer le rôle, préparez la politique gérée qui définit les autorisations pour les exigences du rôle. Vous attachez cette politique au rôle dans une étape ultérieure.

Vous devez définir l'accès en lecture et en écriture au compartiment productionapp. Bien que AWS certaines politiques soient gérées par Amazon S3, aucune ne fournit un accès en lecture et en écriture à un seul compartiment Amazon S3. Vous pouvez créer votre propre politique à la place.

Dans le panneau de navigation, choisissez Politiques, puis Créer une politique.

Choisissez l'onglet JSON et copiez le texte du document de politique JSON suivant. Collez ce texte dans la zone de texte JSON, en remplaçant l'ARN de la ressource (arn:aws:s3:::productionapp) par celui qui correspond véritablement à votre compartiment Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::productionapp"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::productionapp/*"
    }
  ]
}

L'action ListAllMyBuckets accorde l'autorisation de répertorier tous les compartiments appartenant à l'expéditeur authentifié de la demande. L'autorisation ListBucket permet aux utilisateurs d'afficher des objets dans le compartiment productionapp. Les autorisations GetObject, PutObject, DeleteObject permettent aux utilisateurs d'afficher, de mettre à jour et de supprimer le contenu du compartiment productionapp.

Résolvez les avertissements de sécurité, les erreurs ou les avertissements généraux générés durant la validation de la politique, puis choisissez Suivant.

Sur la page Vérifier et créer, tapez read-write-app-bucket pour le nom de la politique. Vérifiez les autorisations accordées par votre politique, puis choisissez Créer une politique pour enregistrer votre travail.

La nouvelle politique apparaît dans la liste des politiques gérées.

Dans le panneau de navigation, choisissez Roles (Rôles), puis Create role (Créer un rôle).

Choisissez le type de rôle Un Compte AWS.

Pour l'ID de compte, saisissez l'ID du compte développement.

Ce tutoriel utilise l'exemple d'ID de compte 111111111111 pour le compte développement. Vous devez utiliser un ID de compte valide. Si vous utilisez un ID de compte non valide, comme 111111111111, IAM ne vous laisse pas créer de rôle.

Pour le moment, les utilisateurs n'ont pas besoin d'un ID externe ou d'une authentification multi-facteurs (MFA) pour endosser le rôle. Laissez ces options décochées. Pour plus d’informations, veuillez consulter Utilisation de l'authentification multifactorielle (MFA) dans AWS.

Choisissez suivant : autorisations pour configurer les autorisations associées au rôle.

Cochez la case en regard de la politique que vous avez créée précédemment.

Ensuite, choisissez Suivant.

(Facultatif) Ajoutez des métadonnées au rôle en associant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation des balises dans IAM, veuillez consulter Balisage des ressources IAM.

(Facultatif) Pour Description, saisissez une description pour le nouveau rôle.

Après avoir procédé à la révision du rôle, sélectionnez Créer un rôle.

Le rôle UpdateApp s'affiche dans la liste des rôles.

Dans le panneau de navigation de la console IAM, sélectionnez Roles (Rôles).

Dans la liste des rôles, sélectionnez le rôle UpdateApp.

Dans la section Récapitulatif du panneau des détails, copiez la valeur du champ ARN de rôle.

Le compte Production ayant pour ID de compte 999999999999, l'ARN du rôle est donc arn:aws:iam::999999999999:role/UpdateApp. Assurez-vous de fournir le véritable Compte AWS identifiant du compte de production.

Connectez-vous en tant qu'administrateur dans le compte développement, puis ouvrez la console IAM.

Sélectionnez User groups (Groupes d'utilisateurs), puis Developers (Développeurs).

Sélectionnez l'onglet Permissions (Autorisations), puis Add permissions (Ajouter des autorisations), et enfin Create inline policy (Créer une politique en ligne).

Sélectionnez l’onglet JSON.

Ajoutez l'instruction de politique suivante pour autoriser l'action AssumeRole sur le rôle UpdateApp dans le compte Production. Assurez-vous de remplacer PRODUCTION-ACCOUNT-ID dans l'Resourceélément par l' Compte AWS ID réel du compte de production.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::PRODUCTION-ACCOUNT-ID:role/UpdateApp"
  }
}

L'effet Allow autorise explicitement l'accès du groupe Développeurs au rôle UpdateApp dans le compte Production. Tout développeur qui essaie d'accéder à ce rôle y parvient.

Choisissez Examiner une politique.

Tapez un Nom, tel que allow-assume-S3-role-in-production.

Choisissez Créer une politique.

Choisissez User groups (groupes d'utilisateurs), puis Testers (testeurs).

Sélectionnez l'onglet Permissions (Autorisations), puis Add permissions (Ajouter des autorisations), et enfin Create inline policy (Créer une politique en ligne).

Sélectionnez l’onglet JSON.

Ajoutez l'instruction de politique suivante pour refuser l'action AssumeRole sur le rôle UpdateApp. Assurez-vous de remplacer PRODUCTION-ACCOUNT-ID dans l'Resourceélément par l' Compte AWS ID réel du compte de production.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::PRODUCTION-ACCOUNT-ID:role/UpdateApp"
  }
}

L'effet Deny refuse explicitement l'accès du groupe Testeurs au rôle UpdateApp dans le compte Production. Tout testeur qui essaiera d'accéder au rôle recevra un message d'accès refusé.

Choisissez Examiner une politique.

Tapez un Nom comme deny-assume-S3-role-in-production.

Sélectionnez Créer une politique.

David se connecte en AWS Management Console utilisant son utilisateur normal dans le groupe d'utilisateurs de développement.

Il choisit le lien que l'administrateur lui a envoyé par email. Cela amène David à la page Switch Role (Changer de rôle) avec l'identifiant ou l'alias de compte et les informations sur le nom du rôle déjà remplis.

—ou—

David choisit son nom (le menu Identity [Identité]) dans la barre de navigation, puis sélectionne Switch Roles (Changer de rôle).

Si c'est la première fois que David essaie d'accéder à la page Switch Role (changer de rôle) de cette manière, il est dirigé vers la 1ère page de mise en route Switch Role (changer de rôle). Cette page fournit des informations supplémentaires sur la manière dont le changement de rôle permet aux utilisateurs de gérer des ressources entre Comptes AWS. David doit choisir Switch Role (changer de rôle) sur cette page pour appliquer le reste de la procédure.

Ensuite, pour accéder au rôle, David doit saisir manuellement le numéro d'ID (999999999999) et le nom du rôle (UpdateApp) du compte Production.

En outre, David souhaite contrôler les rôles et les autorisations associées actuellement actifs dans IAM. Pour suivre ces informations, il saisit PRODUCTION dans la zone de texte Display Name (nom complet), choisit l'option de couleur rouge, puis choisit Switch Role (changer de rôle).

David peut maintenant utiliser la console Amazon S3 pour travailler avec le compartiment Amazon S3 ou toute autre ressource pour laquelle le rôle UpdateApp dispose d'autorisations.

Quand c'est fait, David peut retourner dans ses autorisations d'origine. Pour cela, il choisit le nom complet du rôle PRODUCTION sur la barre de navigation, puis il sélectionne Back to David @ 111111111111 (Revenir à David @ 111111111111).

La prochaine fois que David voudra changer de rôle et choisira le menu Identity (identité) dans la barre de navigation, il verra l'entrée PRODUCTION toujours affichée depuis la dernière fois. Il lui suffira de choisir cette entrée pour changer de rôle immédiatement sans avoir à ressaisir l'ID du compte et le nom du rôle.

David ouvre une fenêtre d'invite de commande et confirme que le AWS CLI client fonctionne en exécutant la commande :

aws help

Il commence le processus de changement de rôle en exécutant la commande suivante pour passer au rôle UpdateApp dans le compte production. Il a reçu l'ARN du rôle auprès de l'administrateur ayant créé le rôle. La commande nécessite que vous fournissiez un nom de session également. Pour cela, vous pouvez choisir n'importe quel texte.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateApp" --role-session-name "David-ProdUpdate"

David voit ensuite ce qui suit dans le résultat :

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David voit les trois éléments dont il a besoin dans la section informations d'identification du résultat.

David doit configurer l' AWS CLI environnement pour utiliser ces paramètres lors des appels suivants. Pour plus d'informations sur les différentes manières de configurer vos informations d'identification, veuillez consulter Configuration de l'outil AWS Command Line Interface. Vous ne pouvez pas utiliser la commande aws configure, car elle ne prend pas en charge la capture du jeton de session. En revanche, vous pouvez saisir manuellement les informations dans un fichier de configuration. Du fait qu'il s'agisse d'informations d'identification temporaires avec un délai d'expiration relativement court, il est plus facile de les ajouter à l'environnement de votre session de ligne de commande actuelle.

Pour ajouter les trois valeurs à l'environnement, David coupe et colle le résultat de l'étape précédente dans les commandes suivantes. Vous pourriez vouloir couper et coller dans un simple éditeur de texte pour résoudre les problèmes de retour à la ligne dans le résultat du jeton de session. Elles doivent être ajoutées sous la forme d'une simple chaîne longue, même si elles s'affichent avec des retours de ligne pour plus de clarté.

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

À ce stade, toutes les commandes seront exécutées avec les autorisations du rôle identifié par ces informations d'identification. Dans le cas de David, le rôle UpdateApp.

Exécutez la commande pour accéder aux ressources du compte Production. Dans cet exemple, David répertorie simplement le contenu de son compartiment S3 avec la commande suivante.

aws s3 ls s3://productionapp

Du fait que les noms de compartiments Amazon S3 sont universellement uniques, il n'est pas nécessaire de spécifier l'ID du compte qui est titulaire du compartiment. Pour accéder aux ressources d'autres AWS services, reportez-vous à la AWS CLI documentation de ce service pour connaître les commandes et la syntaxe requises pour référencer ses ressources.

David appelle AssumeRole dans le cadre d'une application. Il doit spécifier l'ARN UpdateApp : arn:aws:iam::999999999999:role/UpdateApp.

La réponse de l'appel AssumeRole inclut les informations d'identification temporaires avec un AccessKeyId et un SecretAccessKey. Elle inclut également une heure Expiration qui indique à quel moment les informations d'identification expirent et vous devez en demander de nouvelles.

Grâce aux informations d'identification de sécurité temporaires, David réalise un appel s3:PutObject pour mettre à jour le compartiment productionapp. Il transfère les informations d'identification à l'appel d'API en tant que paramètre AuthParams. Du fait que les informations d'identification de rôle temporaires ont uniquement accès en lecture et en écriture au compartiment productionapp, toute autre action dans le compte Production est refusée.