Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Réseaux attendus

Avec l'accès Console de gestion AWS privé, vous pouvez faire en sorte que les utilisateurs n'accèdent Console de gestion AWS qu'à partir de réseaux approuvés, tels que vos VPC ou vos centres de données sur site connectés via Direct Connect ou. AWS Site-to-Site VPN Cela empêche l'accès depuis des emplacements inattendus, même lorsque les utilisateurs disposent d'informations d'identification valides.

Pour appliquer ces contrôles réseau, vous utilisez trois types de politiques :

Ces politiques sont complémentaires et fonctionnent ensemble. Les politiques basées sur l'identité IAM et les politiques basées sur les ressources s'appliquent à toutes les méthodes d'accès, y compris la Console de gestion AWS AWS CLI et les SDK, et contrôlent les ressources auxquelles un principal peut accéder après authentification. Connexion à AWS Les RBP et RCP ne s'appliquent qu'à la connexion à la console elle-même : ils peuvent empêcher les tentatives de connexion non autorisées, mais ils ne limitent pas les ressources auxquelles une session authentifiée peut accéder.

Restreignez l'accès aux services à l'aide d'aws : SourceVpc

Vous pouvez restreindre l'accès au service par réseau à l'aide de la clé de aws:SourceVpc condition. Il fonctionne à la fois dans les politiques basées sur l'identité IAM (associées aux utilisateurs, aux groupes d'utilisateurs ou aux rôles) et dans les politiques basées sur les ressources (associées à des ressources telles AWS que les compartiments ou les clés Amazon S3). AWS KMS Pour l'accès Console de gestion AWS privé, aws:SourceVpc il s'agit de la clé de condition recommandée pour restreindre l'accès au service par réseau. L'exemple suivant montre une politique basée sur l'identité qui refuse l'accès à Amazon Simple Storage Service sauf si la demande provient du VPC que vous avez spécifié.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "S3:*",
            "Resource": "*",
            "Condition": {
                "StringNotEqualsIfExists": {
                    "aws:SourceVpc": "vpc-12345678"
                },
                "Bool": {
                    "aws:ViaAwsService": "false"
                }
            }
        }
    ]
}

Comment ?Console de gestion AWSPrivate Access fonctionne avec AWS : SourceVpce

Cette section décrit les différents chemins réseau que les demandes générées par vous Console de gestion AWS peuvent emprunterServices AWS. AWSles consoles de service utilisent à la fois des requêtes directes du navigateur et des requêtes transmises par proxy aux serveurs Console de gestion AWS Web. Services AWS Ces implémentations sont susceptibles d'être modifiées sans préavis. Si vos exigences en matière de sécurité incluent l'accès à Services AWS l'utilisation de points de terminaison VPC, nous vous recommandons de configurer des points de terminaison VPC pour tous les services que vous avez l'intention d'utiliser depuis un VPC, que ce soit directement depuis ou via un accès privé. CLI/IDE Console de gestion AWS En outre, nous vous recommandons d'utiliser la condition aws:SourceVpc IAM dans vos politiques plutôt que des aws:SourceVpce valeurs spécifiques avec la fonctionnalité Console de gestion AWS d'accès privé.

Une fois qu'un utilisateur s'est connecté auConsole de gestion AWS, il envoie des demandes Services AWS via une combinaison de demandes directes du navigateur et de demandes transmises par des serveurs Console de gestion AWS Web à AWS des serveurs. Par exemple, les demandes de données CloudWatch graphiques sont effectuées directement depuis le navigateur. Alors que certaines demandes de console de AWS service, telles qu'Amazon S3, sont transmises par proxy à Amazon S3 par le serveur Web.

Pour les requêtes directes du navigateur, l'utilisation de l'accès Console de gestion AWS privé ne change rien. Comme auparavant, la demande atteint le service via le chemin réseau que le VPC a configuré pour atteindre monitoring.region.amazonaws.com. Si le VPC est configuré avec un point de terminaison VPC pourcom.amazonaws.region.monitoring, la demande atteindra CloudWatch ce point de terminaison VPC. CloudWatch S'il n'existe aucun point de terminaison VPC pour CloudWatch, la demande CloudWatch atteindra son point de terminaison public, via une passerelle Internet sur le VPC. Les demandes qui arrivent via CloudWatch le point de terminaison du CloudWatch VPC seront soumises aux conditions IAM aws:SourceVpc et seront aws:SourceVpce définies sur leurs valeurs respectives. Ceux qui accèdent CloudWatch via son point de terminaison public auront aws:SourceIp défini l'adresse IP source de la demande. Pour plus d'informations sur ces clés de condition IAM, consultez Clés de condition globales dans le Guide de l'utilisateur IAM.

Pour les demandes transmises par le serveur Console de gestion AWS Web, telles que la demande faite par la console Amazon S3 pour répertorier vos buckets lorsque vous visitez la console Amazon S3, le chemin réseau est différent. Ces demandes ne sont pas initiées depuis votre VPC, mais depuis le serveur Console de gestion AWS Web, et n'utilisent donc pas le point de terminaison Amazon S3 VPC que vous avez peut-être configuré. Toutefois, lorsque vous utilisez Console de gestion AWS Private Access avec des services pris en charge, ces demandes (par exemple, adressées à Amazon S3) incluent la clé de aws:SourceVpc condition dans leur contexte de demande. La clé de condition aws:SourceVpc est définie sur l'ID du VPC sur lequel vos points de terminaison d'accès privé Console de gestion AWS pour la connexion et la console sont déployés. La aws:SourceVpce condition sera définie sur l'ID de point de terminaison VPC de console correspondant.

Limitez l'accès à la console en utilisantConnexion à AWSpolitiques

Connexion à AWSles politiques basées sur les ressources (RBP) s'appliquent aux individus. Comptes AWS Les politiques de contrôle des ressources (RCP) s'appliquent à l'ensemble de l'organisation. AWS Organizations Les deux refusent la connexion à la console lorsque la demande ne provient pas des plages d'adresses IP ou des VPC que vous avez spécifiés.

Pour configurer les Connexion à AWS RBP et les RCP, consultez la section Contrôle de l'accès à la console à l'aide de politiques basées sur les ressources et de politiques de contrôle des ressources dans le Guide de l'utilisateur. Connexion à AWS