Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Identités fiables

Avec l'accès AWS Management Console privé, vous pouvez restreindre les identités Comptes AWS et les identités organisationnelles qui peuvent utiliser le formulaire au sein AWS Management Console de votre VPC. Cela empêche l'accès à partir de comptes personnels et de comptes extérieurs à votre organisation.

Les points de terminaison Connexion à AWS VPC AWS Management Console et VPC prennent chacun en charge une politique de point de terminaison VPC qui contrôle l'identité du compte connecté. Les politiques sont évaluées au moment de la connexion et sont périodiquement réévaluées pour les sessions existantes.

Les exemples suivants montrent comment restreindre l'accès par compte ou par organisation. Appliquez des restrictions équivalentes à votre point de terminaison AWS Management Console et à celui de votre Connexion à AWS VPC, en utilisant le format de politique approprié pour chaque point de terminaison.

AWS Management ConsoleExemples de points de terminaison VPC

Exemple : autoriser uniquement les comptes au sein de votre organisation

Cette politique de point de terminaison AWS Management Console VPC autorise l'accès au Comptes AWS sein de l'AWSorganisation spécifiée et bloque tous les autres comptes.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgId": "o-xxxxxxxxxxx"
        }
      }
    }
  ]
}

Exemple : autoriser uniquement des comptes spécifiques

Cette politique de point de terminaison AWS Management Console VPC limite l'accès à une liste de comptes spécifiques Comptes AWS et bloque tout autre compte.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": [ "111122223333", "222233334444" ]
        }
      }
    }
  ]
}

Connexion à AWSExemples de points de terminaison VPC

Le point de terminaison Connexion à AWS VPC nécessite des politiques comportant des Sign-In actions spécifiques et des clés de condition adaptées à chaque phase d'authentification :

Exemple : autoriser la connexion uniquement pour les comptes de votre organisation

Cette politique de point de terminaison Connexion à AWS VPC utilise des instructions spécifiques à une action pour autoriser la connexion Comptes AWS dans l'AWSorganisation spécifiée pendant les phases de pré-authentification et de post-authentification.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "PreAuthOrgRestriction",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "signin:Authenticate",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceOrgID": "o-xxxxxxxxxxx"
        }
      }
    },
    {
      "Sid": "PostAuthOrgRestriction",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "signin:AuthorizeOAuth2Access",
        "signin:CreateOAuth2Token"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgId": "o-xxxxxxxxxxx"
        }
      }
    }
  ]
}

Exemple : autoriser la connexion uniquement pour des comptes spécifiques

Cette politique de point de terminaison Connexion à AWS VPC utilise des instructions spécifiques à une action pour limiter la connexion à une liste spécifique Comptes AWS lors des phases de pré-authentification et de post-authentification.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "PreAuthAccountRestriction",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "signin:Authenticate",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": [ "123456789012", "210987654321" ]
        }
      }
    },
    {
      "Sid": "PostAuthAccountRestriction",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "signin:AuthorizeOAuth2Access",
        "signin:CreateOAuth2Token"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": [ "123456789012", "210987654321" ]
        }
      }
    }
  ]
}

Contrôle des flux d'inscription aux comptes

L'signin:CreateAccountaction contrôle si le flux d'inscription au AWS compte est accessible depuis votre réseau privé. Cette action utilise un principal anonyme (aucun compte n'existe lors de l'inscription) et ne prend pas en charge les clés de condition.

Lorsque vous utilisez le format de politique de point de terminaison Connexion à AWS VPC, le flux d'inscription est bloqué par un refus implicite, sauf si vous l'autorisez explicitement. Si votre organisation nécessite l'ouverture d'un compte depuis le réseau privé, ajoutez la déclaration suivante à votre politique de point de Connexion à AWS terminaison VPC :

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccountSignup",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "signin:CreateAccount",
      "Resource": "*"
    }
  ]
}

Page d'erreur d'accès refusé

Si vous vous connectez avec une identité qui n'appartient pas à votre compte, le message d'erreur « Votre compte n'est pas autorisé à utiliser l'accès privé à la console de gestion AWS » s'affiche. La capture d'écran suivante montre la page d'erreur d'accès refusé.

Autoriser les politiques de contrôle des services de connexion

Si votre AWS organisation utilise une politique de contrôle des services (SCP) qui autorise des services spécifiques, vous devez ajouter des actions signin:* aux actions autorisées. Cette autorisation est nécessaire car la connexion AWS Management Console au point de terminaison VPC via un accès privé exécute une autorisation IAM que le SCP bloque sans autorisation. À titre d'exemple, la politique de contrôle des services suivante permet d'utiliser Amazon EC2 et les CloudWatch services dans l'organisation, y compris lorsqu'ils sont accessibles via un point de terminaison d'accès AWS Management Console privé.

{
  "Effect": "Allow",
  "Action": [
    "signin:*",
    "ec2:*",
    "cloudwatch:*",
    ... Other services allowed
  },
  "Resource": "*"
}

Pour plus d’informations sur les SCP, consultez Politiques de contrôle de service (SCP) dans le Guide de l’utilisateur AWS Organizations.