IAMtutoriel : Déléguer l'accès à travers AWS comptes utilisant des IAM rôles

Connectez-vous au AWS Management Console en tant qu'administrateur du compte Originating, et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans la IAM console, choisissez votre nom d'utilisateur dans la barre de navigation en haut à droite. Cela ressemble généralement à ceci : username@account_ID_number_or_alias.

Dans ce scénario, vous pouvez utiliser l'identifiant de compte 111111111111 pour le compte d'origine. Toutefois, vous devez utiliser un ID de compte valide si vous utilisez ce scénario dans votre environnement de test.

Connectez-vous au AWS Management Console en tant qu'administrateur du compte Destination, puis ouvrez la IAM console.

Avant de créer le rôle, préparez la politique gérée qui définit les autorisations pour les exigences du rôle. Vous attachez cette politique au rôle dans une étape ultérieure.

Vous devez définir l'accès en lecture et en écriture au compartiment amzn-s3-demo-bucket-shared-container. Bien que AWS fournit certaines politiques gérées par Amazon S3, aucune ne fournit un accès en lecture et en écriture à un seul compartiment Amazon S3. Vous pouvez créer votre propre politique à la place.

Dans le panneau de navigation, choisissez Politiques, puis Créer une politique.

Choisissez l'JSONonglet et copiez le texte du document de JSON politique suivant. Collez ce texte dans la zone de JSONtexte, en remplaçant la ressource ARN (arn:aws:s3:::shared-container) par la vraie ressource pour votre compartiment Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container/*"
    }
  ]
}

L'action ListAllMyBuckets accorde l'autorisation de répertorier tous les compartiments appartenant à l'expéditeur authentifié de la demande. L'autorisation ListBucket permet aux utilisateurs d'afficher des objets dans le compartiment amzn-s3-demo-bucket-shared-container. Les autorisations GetObject, PutObject, DeleteObject permettent aux utilisateurs d'afficher, de mettre à jour et de supprimer le contenu du compartiment amzn-s3-demo-bucket-shared-container.

Sur la page Vérifier et créer, tapez read-write-app-bucket pour le nom de la politique. Vérifiez les autorisations accordées par votre politique, puis choisissez Créer une politique pour enregistrer votre travail.

La nouvelle politique apparaît dans la liste des politiques gérées.

Dans le panneau de navigation, choisissez Roles (Rôles), puis Create role (Créer un rôle).

Choisissez l'An Compte AWStype de rôle.

Dans le champ ID de compte, saisissez l'ID du compte d'origine.

Ce didacticiel utilise l'exemple d'ID de compte 111111111111 pour le compte d'origine. Vous devez utiliser un ID de compte valide. Si vous utilisez un identifiant de compte non valide, par exemple111111111111, IAM cela ne vous permet pas de créer le nouveau rôle.

Pour l'instant, vous n'avez pas besoin d'un identifiant externe, ni d'obliger les utilisateurs à disposer d'une authentification MFA multifactorielle () pour assumer ce rôle. Laissez ces options décochées. Pour plus d’informations, veuillez consulter AWS Authentification multifactorielle dans IAM.

Choisissez suivant : autorisations pour configurer les autorisations associées au rôle.

Cochez la case en regard de la politique que vous avez créée précédemment.

Ensuite, choisissez Suivant.

(Facultatif) Ajoutez des métadonnées au rôle en associant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation de balises dansIAM, consultezTags pour les AWS Identity and Access Management ressources.

(Facultatif) Pour Description, saisissez une description pour le nouveau rôle.

Après avoir procédé à la révision du rôle, sélectionnez Créer un rôle.

Le rôle UpdateData s'affiche dans la liste des rôles.

Dans le volet de navigation de la IAM console, sélectionnez Rôles.

Dans la liste des rôles, sélectionnez le rôle UpdateData.

Dans la section Résumé du volet de détails, copiez la ARN valeur du rôle.

Le compte de destination possède un ID de compte 999999999999, le rôle est donc. ARN arn:aws:iam::999999999999:role/UpdateData Assurez-vous de fournir le vrai Compte AWS ID du compte Destination.

Connectez-vous en tant qu'administrateur dans le compte Originating et ouvrez la IAM console.

Choisissez Rôles, puis Developers.

Sélectionnez l'onglet Permissions (Autorisations), puis Add permissions (Ajouter des autorisations), et enfin Create inline policy (Créer une politique en ligne).

Choisissez l'JSONonglet.

Ajoutez la déclaration de politique suivante pour autoriser l'AssumeRoleaction sur le UpdateData rôle dans le compte de destination. Assurez-vous de changer DESTINATION-ACCOUNT-ID dans l'Resourceélément jusqu'au réel Compte AWS ID du compte de destination.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

L'Alloweffet permet explicitement au groupe de développeurs d'accéder au UpdateData rôle dans le compte Destination. Tout développeur qui essaie d'accéder à ce rôle y parvient.

Choisissez Review policy (Examiner une politique).

Tapez un Nom, tel que allow-assume-S3-role-in-destination.

Choisissez Create Policy (Créer une politique).

Choisissez Rôles, puis Analystes.

Sélectionnez l'onglet Permissions (Autorisations), puis Add permissions (Ajouter des autorisations), et enfin Create inline policy (Créer une politique en ligne).

Choisissez l'JSONonglet.

Ajoutez l'instruction de politique suivante pour refuser l'action AssumeRole sur le rôle UpdateData. Assurez-vous de changer DESTINATION-ACCOUNT-ID dans l'Resourceélément jusqu'au réel Compte AWS ID du compte de destination.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

L'Denyeffet refuse explicitement au groupe d'analystes l'accès au UpdateData rôle dans le compte Destination. Tout analyste qui tente d'accéder au rôle reçoit un message de refus d'accès.

Choisissez Review policy (Examiner une politique).

Tapez un Nom comme deny-assume-S3-role-in-destination.

Choisissez Create Policy (Créer une politique).

David se connecte au AWS Management Console en utilisant son utilisateur normal dans le compte Originating.

Il choisit le lien que l'administrateur lui a envoyé par email. Cela amène David à la page Switch Role (Changer de rôle) avec l'identifiant ou l'alias de compte et les informations sur le nom du rôle déjà remplis.

—ou—

David choisit son nom (le menu Identity [Identité]) dans la barre de navigation, puis sélectionne Switch Roles (Changer de rôle).

Si c'est la première fois que David essaie d'accéder à la page Switch Role (changer de rôle) de cette manière, il est dirigé vers la 1ère page de mise en route Switch Role (changer de rôle). Cette page fournit des informations supplémentaires sur la façon dont le changement de rôle peut permettre aux utilisateurs de gérer les ressources entre Comptes AWS. David doit choisir Switch Role sur cette page pour terminer le reste de cette procédure.

Ensuite, pour accéder au rôle, David doit saisir manuellement le numéro d'identification du compte de destination (999999999999) et le nom du rôle (UpdateData).

David souhaite également surveiller les rôles et les autorisations associées actuellement actifsIAM. Pour suivre ces informations, il saisit Destination dans la zone de texte Display Name (nom complet), choisit l'option de couleur rouge, puis choisit Switch Role (changer de rôle).

David peut maintenant utiliser la console Amazon S3 pour travailler avec le compartiment Amazon S3 ou toute autre ressource pour laquelle le rôle UpdateData dispose d'autorisations.

Quand c'est fait, David peut retourner dans ses autorisations d'origine. Pour ce faire, ils choisissent le nom d'affichage du rôle de destination dans la barre de navigation, puis choisissent Back to David @ 111111111111.

La prochaine fois que David souhaitera changer de rôle et choisira le menu Identité dans la barre de navigation, il verra l'entrée Destination toujours présente depuis la dernière fois. Il lui suffira de choisir cette entrée pour changer de rôle immédiatement sans avoir à ressaisir l'ID du compte et le nom du rôle.

David ouvre une fenêtre d'invite de commande et confirme que AWS CLI le client fonctionne en exécutant la commande :

aws help

Il commence le processus de changement de rôle en exécutant la commande suivante pour passer au UpdateData rôle dans le compte Destination. Il a reçu le rôle ARN de l'administrateur qui l'a créé. La commande nécessite que vous fournissiez un nom de session également. Pour cela, vous pouvez choisir n'importe quel texte.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateData" --role-session-name "David-ProdUpdate"

David voit ensuite ce qui suit dans le résultat :

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David voit les trois éléments dont il a besoin dans la section informations d'identification du résultat.

David doit configurer le AWS CLI environnement pour utiliser ces paramètres lors des appels suivants. Pour plus d'informations sur les différentes manières de configurer vos informations d'identification, voir Configuration du AWS Command Line Interface. Vous ne pouvez pas utiliser la aws configure commande car elle ne prend pas en charge la capture du jeton de session. En revanche, vous pouvez saisir manuellement les informations dans un fichier de configuration. Du fait qu'il s'agisse d'informations d'identification temporaires avec un délai d'expiration relativement court, il est plus facile de les ajouter à l'environnement de votre session de ligne de commande actuelle.

Pour ajouter les trois valeurs à l'environnement, David coupe et colle le résultat de l'étape précédente dans les commandes suivantes. Vous pourriez vouloir couper et coller dans un simple éditeur de texte pour résoudre les problèmes de retour à la ligne dans le résultat du jeton de session. Elles doivent être ajoutées sous la forme d'une simple chaîne longue, même si elles s'affichent avec des retours de ligne pour plus de clarté.

L'exemple suivant illustre les commandes fournies dans l'environnement Windows où « set » est la commande destinée à créer une variable d'environnement. Sur Linux ou macOS, vous devez plutôt utiliser la commande « export ». Toutes les autres sections de l'exemple sont valides dans les trois environnements.

Pour en savoir plus sur l'utilisation des outils pour Windows Powershell, consultez Basculer vers un IAM rôle (Outils pour Windows PowerShell)

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

À ce stade, toutes les commandes seront exécutées avec les autorisations du rôle identifié par ces informations d'identification. Dans le cas de David, le rôle UpdateData.

Exécutez la commande pour accéder aux ressources du compte Destination. Dans cet exemple, David répertorie simplement le contenu de son compartiment S3 avec la commande suivante.

aws s3 ls s3://shared-container

Du fait que les noms de compartiments Amazon S3 sont universellement uniques, il n'est pas nécessaire de spécifier l'ID du compte qui est titulaire du compartiment. Pour accéder à des ressources destinées à d'autres AWS services, reportez-vous au AWS CLI documentation de ce service concernant les commandes et la syntaxe requises pour référencer ses ressources.

David appelle AssumeRole dans le cadre d'une application. Ils doivent spécifier le UpdateData ARN :arn:aws:iam::999999999999:role/UpdateData.

La réponse de l'appel AssumeRole inclut les informations d'identification temporaires avec un AccessKeyId et un SecretAccessKey. Elle inclut également une heure Expiration qui indique à quel moment les informations d'identification expirent et vous devez en demander de nouvelles. Lorsque vous configurez le chaînage des rôles avec AWS SDK, de nombreux fournisseurs d'informations d'identification actualisent automatiquement les informations d'identification avant leur expiration.

Grâce aux informations d'identification de sécurité temporaires, David réalise un appel s3:PutObject pour mettre à jour le compartiment amzn-s3-demo-bucket-shared-container. Ils transmettraient les informations d'identification à l'APIappel en tant que AuthParams paramètre. Étant donné que les informations d'identification du rôle temporaire n'ont qu'un accès en lecture et en écriture au amzn-s3-demo-bucket-shared-container compartiment, toute autre action dans le compte Destination est refusée.