AWS Cloud9 n'est plus disponible pour les nouveaux clients. Les clients existants d’ AWS Cloud9 peuvent continuer à l’utiliser normalement. [En savoir plus](https://aws.amazon.com/blogs/devops/how-to-migrate-from-aws-cloud9-to-aws-ide-toolkits-or-aws-cloudshell/)
Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Identity and Access Management pour AWS Cloud9
Gestion des identités et des accès AWS (IAM) est un outil Service AWS qui permet à un administrateur de contrôler en toute sécurité l'accès aux AWS ressources. Les administrateurs IAM contrôlent qui peut être *authentifié* (connecté) et *autorisé (autorisé*) à utiliser AWS Cloud9 les ressources. IAM est un Service AWS outil que vous pouvez utiliser sans frais supplémentaires.
**Topics**
+ [Public ciblé](#security_iam_audience)
+ [Authentification par des identités](#security_iam_authentication)
+ [Gestion de l’accès à l’aide de politiques](#security_iam_access-manage)
+ [Comment AWS Cloud9 fonctionne avec IAM](#security_iam_service-with-iam)
+ [Exemples de politiques basées sur l'identité pour AWS Cloud9](#security_iam_id-based-policy-examples)
+ [Résolution des problèmes AWS Cloud9 d'identité et d'accès](#security_iam_troubleshoot)
+ [Comment AWS Cloud9 fonctionne avec les ressources et les opérations de l'IAM](#how-cloud9-with-iam)
+ [AWS politiques gérées pour AWS Cloud9](#auth-and-access-control-managed-policies)
+ [Création de politiques gérées par le client pour AWS Cloud9](#auth-and-access-control-customer-policies)
+ [AWS Cloud9 référence aux autorisations](#auth-and-access-control-ref)
+ [AWS informations d'identification temporaires gérées](#auth-and-access-control-temporary-managed-credentials)
## Public ciblé
La façon dont vous utilisez Gestion des identités et des accès AWS (IAM) varie en fonction de votre rôle :
+ **Utilisateur du service** : demandez des autorisations à votre administrateur si vous ne pouvez pas accéder aux fonctionnalités (voir [Résolution des problèmes AWS Cloud9 d'identité et d'accès](#security_iam_troubleshoot))
+ **Administrateur du service** : déterminez l’accès des utilisateurs et soumettez les demandes d’autorisation (voir [Comment AWS Cloud9 fonctionne avec IAM](#security_iam_service-with-iam))
+ **Administrateur IAM** : rédigez des politiques pour gérer l’accès (voir [Exemples de politiques basées sur l'identité pour AWS Cloud9](#security_iam_id-based-policy-examples))
## Authentification par des identités
L'authentification est la façon dont vous vous connectez à AWS l'aide de vos informations d'identification. Vous devez être authentifié en tant qu'utilisateur IAM ou en assumant un rôle IAM. Utilisateur racine d'un compte AWS
Vous pouvez vous connecter en tant qu'identité fédérée à l'aide d'informations d'identification provenant d'une source d'identité telle que AWS IAM Identity Center (IAM Identity Center), d'une authentification unique ou d'informations d'identification. Google/Facebook Pour plus d’informations sur la connexion, consultez [Connexion à votre Compte AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) dans le *Guide de l’utilisateur Connexion à AWS *.
Pour l'accès par programmation, AWS fournit un SDK et une CLI pour signer les demandes de manière cryptographique. Pour plus d’informations, consultez [Signature AWS Version 4 pour les demandes d’API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) dans le *Guide de l’utilisateur IAM*.
### Compte AWS utilisateur root
Lorsque vous créez un Compte AWS, vous commencez par une seule identité de connexion appelée *utilisateur Compte AWS root* qui dispose d'un accès complet à toutes Services AWS les ressources. Il est vivement déconseillé d’utiliser l’utilisateur racine pour vos tâches quotidiennes. Pour les tâches qui requièrent des informations d’identification de l’utilisateur racine, consultez [Tâches qui requièrent les informations d’identification de l’utilisateur racine](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) dans le *Guide de l’utilisateur IAM*.
### Identité fédérée
Il est recommandé d'obliger les utilisateurs humains à utiliser la fédération avec un fournisseur d'identité pour accéder à Services AWS l'aide d'informations d'identification temporaires.
Une *identité fédérée* est un utilisateur provenant de l'annuaire de votre entreprise, de votre fournisseur d'identité Web ou Directory Service qui y accède à Services AWS l'aide d'informations d'identification provenant d'une source d'identité. Les identités fédérées assument des rôles qui fournissent des informations d’identification temporaires.
Pour une gestion des accès centralisée, nous vous recommandons d’utiliser AWS IAM Identity Center. Pour plus d’informations, consultez [Qu’est-ce que IAM Identity Center ?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) dans le *Guide de l’utilisateur AWS IAM Identity Center *.
### Utilisateurs et groupes IAM
Un *[utilisateur IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* est une identité qui dispose d’autorisations spécifiques pour une seule personne ou application. Nous vous recommandons d’utiliser ces informations d’identification temporaires au lieu des utilisateurs IAM avec des informations d’identification à long terme. Pour plus d'informations, voir [Exiger des utilisateurs humains qu'ils utilisent la fédération avec un fournisseur d'identité pour accéder à AWS l'aide d'informations d'identification temporaires](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) dans le *guide de l'utilisateur IAM*.
[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spécifient une collection d’utilisateurs IAM et permettent de gérer plus facilement les autorisations pour de grands ensembles d’utilisateurs. Pour plus d’informations, consultez [Cas d’utilisation pour les utilisateurs IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) dans le *Guide de l’utilisateur IAM*.
### Rôles IAM
Un *[rôle IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* est une identité dotée d’autorisations spécifiques qui fournit des informations d’identification temporaires. Vous pouvez assumer un rôle en [passant d'un rôle d'utilisateur à un rôle IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) ou en appelant une opération d' AWS API AWS CLI ou d'API. Pour plus d’informations, consultez [Méthodes pour endosser un rôle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) dans le *Guide de l’utilisateur IAM*.
Les rôles IAM sont utiles pour l’accès des utilisateurs fédérés, les autorisations temporaires des utilisateurs IAM, les accès intercompte, les accès entre services et les applications exécutées sur Amazon EC2. Pour plus d’informations, consultez [Accès intercompte aux ressources dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) dans le *Guide de l’utilisateur IAM*.
## Gestion de l’accès à l’aide de politiques
Vous contrôlez l'accès en AWS créant des politiques et en les associant à AWS des identités ou à des ressources. Une politique définit les autorisations lorsqu'elles sont associées à une identité ou à une ressource. AWS évalue ces politiques lorsqu'un directeur fait une demande. La plupart des politiques sont stockées AWS sous forme de documents JSON. Pour plus d’informations les documents de politique JSON, consultez [Vue d’ensemble des politiques JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) dans le *Guide de l’utilisateur IAM*.
À l’aide de politiques, les administrateurs précisent qui a accès à quoi en définissant quel **principal** peut effectuer des **actions** sur quelles **ressources** et dans quelles **conditions**.
Par défaut, les utilisateurs et les rôles ne disposent d’aucune autorisation. Un administrateur IAM crée des politiques IAM et les ajoute aux rôles, que les utilisateurs peuvent ensuite assumer. Les politiques IAM définissent les autorisations quelle que soit la méthode que vous utilisez pour exécuter l’opération.
### Politiques basées sur l’identité
Les stratégies basées sur l’identité sont des documents de stratégie d’autorisations JSON que vous attachez à une identité (utilisateur, groupe ou rôle). Ces politiques contrôlent les actions que peuvent exécuter ces identités, sur quelles ressources et dans quelles conditions. Pour découvrir comment créer une politique basée sur l’identité, consultez [Définition d’autorisations IAM personnalisées avec des politiques gérées par le client](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) dans le *Guide de l’utilisateur IAM*.
Les politiques basées sur l’identité peuvent être des *politiques intégrées* (intégrées directement dans une seule identité) ou des *politiques gérées (politiques* autonomes associées à plusieurs identités). Pour découvrir comment choisir entre des politiques gérées et en ligne, consultez [Choix entre les politiques gérées et les politiques en ligne](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) dans le *Guide de l’utilisateur IAM*.
### Politiques basées sur les ressources
Les politiques basées sur les ressources sont des documents de politique JSON que vous attachez à une ressource. Les exemples incluent *les politiques de confiance de rôle* IAM et les *stratégies de compartiment* Amazon S3. Dans les services qui sont compatibles avec les politiques basées sur les ressources, les administrateurs de service peuvent les utiliser pour contrôler l’accès à une ressource spécifique. Vous devez [spécifier un principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) dans une politique basée sur les ressources.
Les politiques basées sur les ressources sont des politiques en ligne situées dans ce service. Vous ne pouvez pas utiliser les politiques AWS gérées par IAM dans une stratégie basée sur les ressources.
### Autres types de politique
AWS prend en charge des types de politiques supplémentaires qui peuvent définir les autorisations maximales accordées par les types de politiques les plus courants :
+ **Limites d’autorisations** : une limite des autorisations définit le nombre maximum d’autorisations qu’une politique basée sur l’identité peut accorder à une entité IAM. Pour plus d’informations, consultez [Limites d’autorisations pour des entités IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) dans le *Guide de l’utilisateur IAM*.
+ **Politiques de contrôle des services (SCPs)** — Spécifiez les autorisations maximales pour une organisation ou une unité organisationnelle dans AWS Organizations. Pour plus d’informations, consultez [Politiques de contrôle de service](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) dans le *Guide de l’utilisateur AWS Organizations *.
+ **Politiques de contrôle des ressources (RCPs)** : définissez le maximum d'autorisations disponibles pour les ressources de vos comptes. Pour plus d'informations, voir [Politiques de contrôle des ressources (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) dans le *guide de AWS Organizations l'utilisateur*.
+ **Politiques de session** : politiques avancées que vous passez en tant que paramètre lorsque vous créez par programmation une session temporaire pour un rôle ou un utilisateur fédéré. Pour plus d’informations, consultez [Politiques de session](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) dans le *Guide de l’utilisateur IAM*.
### Plusieurs types de politique
Lorsque plusieurs types de politiques s’appliquent à la requête, les autorisations en résultant sont plus compliquées à comprendre. Pour savoir comment AWS déterminer s'il faut autoriser une demande lorsque plusieurs types de politiques sont impliqués, consultez la section [Logique d'évaluation des politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) dans le *guide de l'utilisateur IAM*.
## Comment AWS Cloud9 fonctionne avec IAM
Avant d'utiliser IAM pour gérer l'accès à AWS Cloud9, découvrez les fonctionnalités IAM disponibles. AWS Cloud9
**Fonctionnalités IAM que vous pouvez utiliser avec AWS Cloud9**
| Fonctionnalité IAM | AWS Cloud9 soutien |
| --- | --- |
| [Politiques basées sur l’identité](#security_iam_service-with-iam-id-based-policies) | Oui |
| [Politiques basées sur les ressources](#security_iam_service-with-iam-resource-based-policies) | Non |
| [Actions de politique](#security_iam_service-with-iam-id-based-policies-actions) | Oui |
| [Ressources de politique](#security_iam_service-with-iam-id-based-policies-resources) | Oui |
| [Clés de condition de politique (spécifiques au service)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Oui |
| [ACLs](#security_iam_service-with-iam-acls) | Non |
| [ABAC (étiquettes dans les politiques)](#security_iam_service-with-iam-tags) | Oui |
| [Informations d’identification temporaires](#security_iam_service-with-iam-roles-tempcreds) | Oui |
| [Transmission des sessions d’accès (FAS)](#security_iam_service-with-iam-principal-permissions) | Oui |
| [Rôles de service](#security_iam_service-with-iam-roles-service) | Oui |
| [Rôles liés à un service](#security_iam_service-with-iam-roles-service-linked) | Oui |
Pour obtenir une vue d'ensemble de la façon dont AWS Cloud9 les autres AWS services fonctionnent avec la plupart des fonctionnalités IAM, consultez la section [AWS Services compatibles avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) dans le Guide de l'utilisateur *IAM*.
### Politiques basées sur l'identité pour AWS Cloud9
**Prend en charge les politiques basées sur l’identité :** oui
Les politiques basées sur l’identité sont des documents de politique d’autorisations JSON que vous pouvez attacher à une identité telle qu’un utilisateur, un groupe d’utilisateurs ou un rôle IAM. Ces politiques contrôlent quel type d’actions des utilisateurs et des rôles peuvent exécuter, sur quelles ressources et dans quelles conditions. Pour découvrir comment créer une politique basée sur l’identité, consultez [Définition d’autorisations IAM personnalisées avec des politiques gérées par le client](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) dans le *Guide de l’utilisateur IAM*.
Avec les politiques IAM basées sur l’identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Pour découvrir tous les éléments que vous utilisez dans une politique JSON, consultez [Références des éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) dans le *Guide de l’utilisateur IAM*.
#### Exemples de politiques basées sur l'identité pour AWS Cloud9
Pour consulter des exemples de politiques AWS Cloud9 basées sur l'identité, consultez. [Exemples de politiques basées sur l'identité pour AWS Cloud9](#security_iam_id-based-policy-examples)
### Politiques basées sur les ressources au sein de AWS Cloud9
**Prend en charge les politiques basées sur les ressources :** non
Les politiques basées sur les ressources sont des documents de politique JSON que vous attachez à une ressource. Par exemple, les *politiques de confiance de rôle* IAM et les *politiques de compartiment* Amazon S3 sont des politiques basées sur les ressources. Dans les services qui sont compatibles avec les politiques basées sur les ressources, les administrateurs de service peuvent les utiliser pour contrôler l’accès à une ressource spécifique. Pour la ressource dans laquelle se trouve la politique, cette dernière définit quel type d’actions un principal spécifié peut effectuer sur cette ressource et dans quelles conditions. Vous devez [spécifier un principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) dans une politique basée sur les ressources. Les principaux peuvent inclure des comptes, des utilisateurs, des rôles, des utilisateurs fédérés ou. Services AWS
Pour permettre un accès intercompte, vous pouvez spécifier un compte entier ou des entités IAM dans un autre compte en tant que principal dans une politique basée sur les ressources. Pour plus d’informations, consultez [Accès intercompte aux ressources dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) dans le *Guide de l’utilisateur IAM*.
AWS Cloud9 ne prend pas en charge les politiques basées sur les ressources, mais vous pouvez toujours contrôler les autorisations des ressources de AWS Cloud9 l'environnement pour les membres de AWS Cloud9 l'environnement via l' AWS Cloud9 API et AWS Cloud9 l'IDE.
### Actions politiques pour AWS Cloud9
**Prend en charge les actions de politique :** oui
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L’élément `Action` d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.
Pour consulter la liste des AWS Cloud9 actions, reportez-vous à la section [Actions définies par AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions) dans la *référence d'autorisation de service*.
Les actions de politique en AWS Cloud9 cours utilisent le préfixe suivant avant l'action :
```
account
```
Pour indiquer plusieurs actions dans une seule déclaration, séparez-les par des virgules.
```
"Action": [
"account:action1",
"account:action2"
]
```
Pour consulter des exemples de politiques AWS Cloud9 basées sur l'identité, consultez. [Exemples de politiques basées sur l'identité pour AWS Cloud9](#security_iam_id-based-policy-examples)
### Ressources politiques pour AWS Cloud9
**Prend en charge les ressources de politique :** oui
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L’élément de politique JSON `Resource` indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (\$1) afin d’indiquer que l’instruction s’applique à toutes les ressources.
```
"Resource": "*"
```
Pour consulter la liste des types de AWS Cloud9 ressources et leurs caractéristiques ARNs, consultez la section [Ressources définies par AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-resources-for-iam-policies) dans la *référence d'autorisation de service*. Pour savoir grâce à quelles actions vous pouvez spécifier l’ARN de chaque ressource, consultez [Actions définies par AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions).
Pour consulter des exemples de politiques AWS Cloud9 basées sur l'identité, consultez. [Exemples de politiques basées sur l'identité pour AWS Cloud9](#security_iam_id-based-policy-examples)
### Clés de conditions de politique pour AWS Cloud9
**Prend en charge les clés de condition de politique spécifiques au service :** oui
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L’élément `Condition` indique à quel moment les instructions s’exécutent en fonction de critères définis. Vous pouvez créer des expressions conditionnelles qui utilisent des [opérateurs de condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande. Pour voir toutes les clés de condition AWS globales, voir les clés de [contexte de condition AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dans le *guide de l'utilisateur IAM*.
Pour consulter la liste des clés de AWS Cloud9 condition, reportez-vous à la section [Clés de condition pour AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-policy-keys) la *référence d'autorisation de service*. Pour savoir avec quelles actions et ressources vous pouvez utiliser une clé de condition, consultez la section [Actions définies par AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions).
Pour consulter des exemples de politiques AWS Cloud9 basées sur l'identité, consultez. [Exemples de politiques basées sur l'identité pour AWS Cloud9](#security_iam_id-based-policy-examples)
### ACLs in AWS Cloud9
**Supports ACLs :** Non
Les listes de contrôle d'accès (ACLs) contrôlent les principaux (membres du compte, utilisateurs ou rôles) autorisés à accéder à une ressource. ACLs sont similaires aux politiques basées sur les ressources, bien qu'elles n'utilisent pas le format de document de politique JSON.
### ABAC avec AWS Cloud9
**Prise en charge d’ABAC (balises dans les politiques) :** Oui
Le contrôle d’accès par attributs (ABAC) est une stratégie d’autorisation qui définit les autorisations en fonction des attributs appelés balises. Vous pouvez associer des balises aux entités et aux AWS ressources IAM, puis concevoir des politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de la ressource.
Pour contrôler l’accès basé sur des étiquettes, vous devez fournir les informations d’étiquette dans l’[élément de condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) d’une politique utilisant les clés de condition `aws:ResourceTag/key-name`, `aws:RequestTag/key-name` ou `aws:TagKeys`.
Si un service prend en charge les trois clés de condition pour tous les types de ressources, alors la valeur pour ce service est **Oui**. Si un service prend en charge les trois clés de condition pour certains types de ressources uniquement, la valeur est **Partielle**.
Pour plus d’informations sur ABAC, consultez [Définition d’autorisations avec l’autorisation ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) dans le *Guide de l’utilisateur IAM*. Pour accéder à un didacticiel décrivant les étapes de configuration de l’ABAC, consultez [Utilisation du contrôle d’accès par attributs (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) dans le *Guide de l’utilisateur IAM*.
### Utilisation d'informations d'identification temporaires avec AWS Cloud9
**Prend en charge les informations d’identification temporaires :** oui
Les informations d'identification temporaires fournissent un accès à court terme aux AWS ressources et sont automatiquement créées lorsque vous utilisez la fédération ou que vous changez de rôle. AWS recommande de générer dynamiquement des informations d'identification temporaires au lieu d'utiliser des clés d'accès à long terme. Pour plus d’informations, consultez [Informations d’identification de sécurité temporaires dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) et [Services AWS compatibles avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) dans le *Guide de l’utilisateur IAM*.
### Transférer les sessions d'accès pour AWS Cloud9
**Prend en charge les sessions d’accès direct (FAS) :** oui
Les sessions d'accès direct (FAS) utilisent les autorisations du principal appelant et Service AWS, combinées Service AWS à la demande d'envoi de demandes aux services en aval. Pour plus de détails sur la politique relative à la transmission de demandes FAS, consultez la section [Sessions de transmission d’accès](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
### Rôles de service pour AWS Cloud9
**Prend en charge les rôles de service :** oui
Un rôle de service est un [rôle IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) qu’un service endosse pour accomplir des actions en votre nom. Un administrateur IAM peut créer, modifier et supprimer un rôle de service à partir d’IAM. Pour plus d’informations, consultez [Création d’un rôle pour la délégation d’autorisations à un Service AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) dans le *Guide de l’utilisateur IAM*.
**Avertissement**
La modification des autorisations associées à un rôle de service peut perturber AWS Cloud9 les fonctionnalités. Modifiez les rôles de service uniquement lorsque AWS Cloud9 vous recevez des instructions à cet effet.
### Rôles liés à un service pour AWS Cloud9
**Prend en charge les rôles liés à un service :** oui
Un rôle lié à un service est un type de rôle de service lié à un. Service AWS Le service peut endosser le rôle afin d’effectuer une action en votre nom. Les rôles liés à un service apparaissent dans votre Compte AWS répertoire et appartiennent au service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service.
Pour plus d’informations sur la création ou la gestion des rôles liés à un service, consultez [Services AWS qui fonctionnent avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Recherchez un service dans le tableau qui inclut un `Yes` dans la colonne **Rôle lié à un service**. Choisissez le lien **Oui** pour consulter la documentation du rôle lié à ce service.
## Exemples de politiques basées sur l'identité pour AWS Cloud9
Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou modifier les ressources AWS Cloud9 . Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM.
Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez [Création de politiques IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) dans le *Guide de l’utilisateur IAM*.
Pour plus de détails sur les actions et les types de ressources définis par AWS Cloud9, y compris le format de ARNs pour chacun des types de ressources, voir [Actions, ressources et clés de condition AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html) dans la *référence d'autorisation de service*.
**Topics**
+ [Bonnes pratiques en matière de politiques](#security_iam_service-with-iam-policy-best-practices)
+ [Utilisation de la AWS Cloud9 console](#security_iam_id-based-policy-examples-console)
+ [Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations](#security_iam_id-based-policy-examples-view-own-permissions)
### Bonnes pratiques en matière de politiques
Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer AWS Cloud9 des ressources dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :
+ **Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les *politiques AWS gérées* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez [politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [politiques gérées par AWS pour les activités professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*.
+ **Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*.
+ **Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*.
+ **Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politiques avec IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*.
+ **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Sécurisation de l’accès aux API avec MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*.
Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*.
### Utilisation de la AWS Cloud9 console
Pour accéder à la AWS Cloud9 console, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les détails AWS Cloud9 des ressources de votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.
Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.
Pour garantir que les utilisateurs et les rôles peuvent toujours utiliser la AWS Cloud9 console, associez également la politique AWS Cloud9 `ConsoleAccess` ou la politique `ReadOnly` AWS gérée aux entités. Pour plus d’informations, consultez [Ajout d’autorisations à un utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) dans le *Guide de l’utilisateur IAM*.
### Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations
Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Résolution des problèmes AWS Cloud9 d'identité et d'accès
Utilisez les informations suivantes pour vous aider à diagnostiquer et à résoudre les problèmes courants que vous pouvez rencontrer lorsque vous travaillez avec AWS Cloud9 IAM.
**Topics**
+ [Je ne suis pas autorisé à effectuer une action dans AWS Cloud9](#security_iam_troubleshoot-no-permissions)
+ [Je ne suis pas autorisé à effectuer iam : PassRole](#security_iam_troubleshoot-passrole)
+ [Je souhaite permettre à des personnes extérieures Compte AWS à moi d'accéder à mes AWS Cloud9 ressources](#security_iam_troubleshoot-cross-account-access)
### Je ne suis pas autorisé à effectuer une action dans AWS Cloud9
Si vous recevez une erreur qui indique que vous n’êtes pas autorisé à effectuer une action, vos politiques doivent être mises à jour afin de vous permettre d’effectuer l’action.
L’exemple d’erreur suivant se produit quand l’utilisateur IAM `mateojackson` tente d’utiliser la console pour afficher des informations détaillées sur une ressource `my-example-widget` fictive, mais ne dispose pas des autorisations `awes:GetWidget` fictives.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: awes:GetWidget on resource: my-example-widget
```
Dans ce cas, la politique qui s’applique à l’utilisateur `mateojackson` doit être mise à jour pour autoriser l’accès à la ressource `my-example-widget` à l’aide de l’action `awes:GetWidget`.
Si vous avez besoin d'aide, contactez votre AWS administrateur. Votre administrateur vous a fourni vos informations d’identification de connexion.
### Je ne suis pas autorisé à effectuer iam : PassRole
Si vous recevez une erreur selon laquelle vous n’êtes pas autorisé à exécuter `iam:PassRole` l’action, vos stratégies doivent être mises à jour afin de vous permettre de transmettre un rôle à AWS Cloud9.
Certains vous Services AWS permettent de transmettre un rôle existant à ce service au lieu de créer un nouveau rôle de service ou un rôle lié à un service. Pour ce faire, vous devez disposer des autorisations nécessaires pour transmettre le rôle au service.
L’exemple d’erreur suivant se produit lorsqu’un utilisateur IAM nommé `marymajor` essaie d’utiliser la console pour exécuter une action dans AWS Cloud9. Toutefois, l'action nécessite que le service ait des autorisations accordées par une fonction de service. Mary n'est pas autorisée à transmettre le rôle au service.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
Dans ce cas, les politiques de Mary doivent être mises à jour pour lui permettre d’exécuter l’action `iam:PassRole`.
Si vous avez besoin d'aide, contactez votre AWS administrateur. Votre administrateur vous a fourni vos informations d’identification de connexion.
### Je souhaite permettre à des personnes extérieures Compte AWS à moi d'accéder à mes AWS Cloud9 ressources
Vous pouvez créer un rôle que les utilisateurs provenant d’autres comptes ou les personnes extérieures à votre organisation pourront utiliser pour accéder à vos ressources. Vous pouvez spécifier qui est autorisé à assumer le rôle. Pour les services qui prennent en charge les politiques basées sur les ressources ou les listes de contrôle d'accès (ACLs), vous pouvez utiliser ces politiques pour autoriser les utilisateurs à accéder à vos ressources.
Pour plus d’informations, consultez les éléments suivants :
+ Pour savoir si ces fonctionnalités sont prises AWS Cloud9 en charge, consultez[Comment AWS Cloud9 fonctionne avec IAM](#security_iam_service-with-iam).
+ Pour savoir comment fournir l'accès à vos ressources sur celles Comptes AWS que vous possédez, consultez la section [Fournir l'accès à un utilisateur IAM dans un autre utilisateur Compte AWS que vous possédez](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) dans le Guide de l'*utilisateur IAM*.
+ Pour savoir comment fournir l'accès à vos ressources à des tiers Comptes AWS, consultez la section [Fournir un accès à des ressources Comptes AWS détenues par des tiers](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) dans le *guide de l'utilisateur IAM*.
+ Pour savoir comment fournir un accès par le biais de la fédération d’identité, consultez [Fournir un accès à des utilisateurs authentifiés en externe (fédération d’identité)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) dans le *Guide de l’utilisateur IAM*.
+ Pour en savoir plus sur la différence entre l’utilisation des rôles et des politiques basées sur les ressources pour l’accès intercompte, consultez [Accès intercompte aux ressources dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) dans le *Guide de l’utilisateur IAM*.
## Comment AWS Cloud9 fonctionne avec les ressources et les opérations de l'IAM
Gestion des identités et des accès AWS est utilisé pour gérer les autorisations qui vous permettent de travailler à la fois avec des environnements de AWS Cloud9 développement et avec d'autres Services AWS ressources.
### AWS Cloud9 ressources et opérations
Dans AWS Cloud9, la ressource principale est un environnement AWS Cloud9 de développement. Dans une politique, vous utilisez un Amazon Resource Name (ARN) pour identifier la ressource à laquelle la politique s'applique. Le tableau suivant répertorie l'environnement ARNs. Pour plus d'informations, consultez les [sections Amazon Resource Names (ARNs) et AWS Service Namespaces](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) dans le *Référence générale d'Amazon Web Services*.
****
| Type de ressource | Format ARN |
| --- | --- |
| Environnement | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| Chaque environnement détenu par le compte spécifié dans la Région AWS spécifiée | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:*` |
| Chaque environnement détenu par le compte spécifié dans la région spécifiée | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:*` |
| Toutes les AWS Cloud9 ressources, quels que soient le compte et la région | `arn:aws:cloud9:*` |
Par exemple, vous pouvez indiquer un environnement spécifique dans votre instruction en utilisant son Amazon Resource Name (ARN), comme suit.
```
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX"
```
Pour spécifier toutes les ressources, utilisez le caractère générique (`*`) dans l'élément `Resource`.
```
"Resource": "*"
```
Pour spécifier plusieurs ressources dans une seule instruction, séparez leurs noms de ressources Amazon (ARNs) par des virgules.
```
"Resource": [
"arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX",
"arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
]
```
AWS Cloud9 fournit un ensemble d'opérations permettant de travailler avec AWS Cloud9 les ressources. Pour obtenir la liste, consultez [AWS Cloud9 référence aux autorisations](#auth-and-access-control-ref).
### Présentation de la propriété des ressources
Le Compte AWS compte possède les ressources créées dans le compte, quelle que soit la personne qui les a créées.
Prenons en compte les cas d'utilisation et les scénarios suivants :
+ Supposons que vous utilisiez les informations d'identification de votre compte root Compte AWS pour créer un environnement de AWS Cloud9 développement. Bien que cela soit possible, ce n'est pas recommandé. Dans ce cas, vous Compte AWS êtes le propriétaire de l'environnement.
+ Supposons que vous créiez un utilisateur IAM dans votre Compte AWS et que vous accordiez des autorisations pour créer un environnement à cet utilisateur. L'utilisateur peut ensuite créer un environnement. Cependant, vous Compte AWS, auquel appartient l'utilisateur, est toujours propriétaire de l'environnement.
+ Supposons que vous créiez un rôle IAM Compte AWS avec les autorisations nécessaires pour créer un environnement. Toute personne pouvant assumer le rôle peut alors créer un environnement. Votre Compte AWS, auquel le rôle appartient, est propriétaire de l'environnement.
**Note**
Si vous supprimez un compte utilisateur propriétaire de l'ARN d'un ou de plusieurs AWS Cloud9 environnements, ces environnements n'auront aucun propriétaire. Une solution à ce scénario consiste à utiliser le AWS Cloud9 SDK pour ajouter un autre utilisateur IAM doté de privilèges de lecture et d'écriture à l'aide de l'`CreateEnvironmentMembership`action et du `EnvironmentMember` type de données. Une fois que vous avez ajouté cet utilisateur IAM, vous pouvez copier les fichiers d'environnement dans de nouveaux AWS Cloud9 environnements et faire de ce propriétaire le propriétaire de l'ARN. Pour plus d'informations sur cette action, voir [CreateEnvironmentMembership](https://docs.aws.amazon.com/cloud9/latest/APIReference/API_CreateEnvironmentMembership.html), et pour plus d'informations sur ce type de données, voir [EnvironmentMember](https://docs.aws.amazon.com/cloud9/latest/APIReference/API_EnvironmentMember.html)le *Guide de référence des AWS Cloud9 API.*
### Gestion de l’accès aux ressources
Une politique d'autorisations décrit qui a accès à quelles ressources.
**Note**
Cette section décrit l'utilisation d'IAM dans AWS Cloud9. Elle ne fournit pas d’informations détaillées sur le service IAM. Pour une documentation complète sur IAM, consultez [Qu'est-ce qu'IAM ?](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) dans le *guide de l'utilisateur IAM*. Pour plus d'informations sur la syntaxe d'une politique IAM et les descriptions des politiques IAM, consultez [Référence des politiques JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html) dans le *guide de l'utilisateur IAM*.
Les politiques attachées à une identité IAM s'appellent des *politiques basées sur l'identité* (ou *politiques IAM*). Les politiques associées à une ressource sont appelées politiques *basées sur les ressources*. AWS Cloud9 prend en charge les politiques basées à la fois sur l'identité et sur les ressources.
Chacune des actions d'API suivantes nécessite uniquement qu'une politique IAM soit attachée à l'identité IAM qui souhaite appeler ces actions d'API.
+ `CreateEnvironmentEC2`
+ `DescribeEnvironments`
Les actions d'API suivantes nécessitent une politique basée sur les ressources. Une stratégie IAM n'est pas obligatoire, mais AWS Cloud9 utilise une stratégie IAM si elle est attachée à l'identité IAM qui souhaite appeler ces actions d'API. La politique basée sur les ressources doit être appliquée à la ressource souhaitée AWS Cloud9 :
+ `CreateEnvironmentMembership`
+ `DeleteEnvironment`
+ `DeleteEnvironmentMembership`
+ `DescribeEnvironmentMemberships`
+ `DescribeEnvironmentStatus`
+ `UpdateEnvironment`
+ `UpdateEnvironmentMembership`
Pour plus d'informations sur chacune de ces actions d'API, consultez la *référence d'API AWS Cloud9 *.
Vous ne pouvez pas associer une politique basée sur les ressources directement à une AWS Cloud9 ressource. AWS Cloud9 Attache plutôt les politiques appropriées basées sur les ressources aux AWS Cloud9 ressources lorsque vous ajoutez, modifiez, mettez à jour ou supprimez des membres de l'environnement.
Pour accorder à un utilisateur l'autorisation d'effectuer des actions sur les AWS Cloud9 ressources, vous devez associer une politique d'autorisation à un groupe IAM auquel appartient l'utilisateur. Nous vous recommandons de joindre une politique AWS gérée (prédéfinie) dans la AWS Cloud9 mesure du possible. AWS les politiques gérées contiennent des ensembles prédéfinis d'autorisations d'accès pour les scénarios d'utilisation courants et les types d'utilisateurs, tels que l'administration complète d'un environnement, les utilisateurs de l'environnement et les utilisateurs qui n'ont qu'un accès en lecture seule à un environnement. Pour obtenir la liste des politiques AWS gérées pour AWS Cloud9, voir[AWS politiques gérées pour AWS Cloud9](#auth-and-access-control-managed-policies).
Pour les autres scénarios d'utilisation et les types d'utilisateurs uniques, vous pouvez créer et attacher vos propres politiques gérées par le client. Consultez [Options de configuration supplémentaires pour AWS Cloud9](setup-teams.md) et [Création de politiques gérées par le client pour AWS Cloud9](#auth-and-access-control-customer-policies).
Pour associer une politique IAM (AWS gérée ou gérée par le client) à une identité IAM, voir [Attacher des politiques IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html#attach-managed-policy-console) dans le guide de l'utilisateur *IAM*.
### Autorisations de session pour les opérations d'API
Lorsque vous utilisez l' AWS API AWS CLI or pour créer par programmation une session temporaire pour un rôle ou un utilisateur fédéré, vous pouvez transmettre des politiques de session en tant que paramètre afin d'étendre la portée de la session de rôle. Cela implique que les autorisations effectives de la séance sont une combinaison des [politiques basées sur une identité du rôle et des politiques de séance](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session).
Lorsqu'une demande est faite pour accéder à une ressource au cours d'une séance, s'il n'existe aucune instruction `Deny` ni aucune instruction `Allow` applicable dans la politique de séance, le résultat de l'évaluation de la politique est un [ refus implicite](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#AccessPolicyLanguage_Interplay). (Pour plus d'informations, consultez [Déterminer si une demande est autorisée ou refusée dans un compte](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#policy-eval-denyallow) dans le *guide de l'utilisateur d'IAM*.)
Toutefois, pour les opérations d' AWS Cloud9 API qui nécessitent une politique basée sur les ressources (voir ci-dessus), des autorisations sont accordées à l'entité IAM qui appelle si elle est spécifiée `Principal` dans la politique de ressources. Cette autorisation explicite a priorité sur le refus implicite de la politique de session, permettant ainsi à la session d'appeler l'opération AWS Cloud9 API avec succès.
## AWS politiques gérées pour AWS Cloud9
Une politique AWS gérée est une politique autonome créée et administrée par AWS. AWS les politiques gérées sont conçues pour fournir des autorisations pour de nombreux cas d'utilisation courants afin que vous puissiez commencer à attribuer des autorisations aux utilisateurs, aux groupes et aux rôles.
N'oubliez pas que les politiques AWS gérées peuvent ne pas accorder d'autorisations de moindre privilège pour vos cas d'utilisation spécifiques, car elles sont accessibles à tous les AWS clients. Nous vous recommandons de réduire encore les autorisations en définissant des [politiques gérées par le client](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) qui sont propres à vos cas d’utilisation.
Vous ne pouvez pas modifier les autorisations définies dans les politiques AWS gérées. Si les autorisations définies dans une politique AWS gérée sont AWS mises à jour, la mise à jour affecte toutes les identités principales (utilisateurs, groupes et rôles) auxquelles la politique est attachée. AWS est le plus susceptible de mettre à jour une politique AWS gérée lorsqu'une nouvelle politique Service AWS est lancée ou lorsque de nouvelles opérations d'API sont disponibles pour les services existants.
Pour plus d’informations, consultez [Politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) dans le *Guide de l’utilisateur IAM*.
### AWS politique gérée : AWSCloud9 Administrateur
Vous pouvez associer la politique `AWSCloud9Administrator` à vos identités IAM.
Cette politique accorde des *administrative* autorisations qui fournissent un accès administrateur à AWS Cloud9.
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes.
+ AWS Cloud9 — Toutes les AWS Cloud9 actions dans leur intégralité Compte AWS.
+ Amazon EC2 — Obtenez des informations sur plusieurs ressources Amazon VPC et sous-réseau dans leur. Compte AWS
+ IAM — Obtenez des informations sur les utilisateurs IAM dans leur Compte AWS fichier et créez le rôle AWS Cloud9 lié à un service dans leur compte si nécessaire. Compte AWS
+ Systems Manager : autorise l'utilisateur à appeler pour établir une connexion StartSession à une instance dans le cadre d'une session de gestionnaire de session. Cette autorisation est requise pour les utilisateurs qui ouvrent un environnement qui communique avec son instance EC2 via Systems Manager. Pour de plus amples informations, veuillez consulter [Accès aux instances EC2 sans entrée avec AWS Systems Manager](ec2-ssm.md).
Pour consulter les autorisations associées à cette politique, consultez la section [AWSCloud9Administrateur](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9Administrator.html) dans le manuel *AWS Managed Policy Reference*.
### AWS politique gérée : AWSCloud9 utilisateur
Vous pouvez associer la politique `AWSCloud9User` à vos identités IAM.
Cette politique accorde des *user* autorisations pour créer des environnements de AWS Cloud9 développement et pour gérer des environnements propres.
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes.
+ AWS Cloud9 — Créez et obtenez des informations sur leurs environnements, et obtenez et modifiez les paramètres utilisateur de leurs environnements.
+ Amazon EC2 — Obtenez des informations sur plusieurs ressources Amazon VPC et sous-réseau dans leur. Compte AWS
+ IAM — Obtenez des informations sur les utilisateurs IAM dans leur Compte AWS fichier et créez le rôle AWS Cloud9 lié à un service dans leur compte si nécessaire. Compte AWS
+ Systems Manager : autorise l'utilisateur à appeler pour établir une connexion StartSession à une instance dans le cadre d'une session de gestionnaire de session. Cette autorisation est requise pour les utilisateurs qui ouvrent un environnement qui communique avec son instance EC2 via Systems Manager. Pour de plus amples informations, veuillez consulter [Accès aux instances EC2 sans entrée avec AWS Systems Manager](ec2-ssm.md).
Pour consulter les autorisations associées à cette politique, consultez la section [AWSCloud9Utilisateur](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9User.html) dans la *référence des politiques AWS gérées*.
### AWS politique gérée : AWSCloud9 EnvironmentMember
Vous pouvez associer la politique `AWSCloud9EnvironmentMember` à vos identités IAM.
Cette politique accorde *membership* des autorisations qui permettent de rejoindre un environnement AWS Cloud9 partagé.
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes :
+ AWS Cloud9 — Obtenez des informations sur leurs environnements, et obtenez et modifiez les paramètres utilisateur de leurs environnements.
+ IAM — Obtenez des informations sur les utilisateurs IAM dans leur Compte AWS fichier et créez le rôle AWS Cloud9 lié à un service dans leur compte si nécessaire. Compte AWS
+ Systems Manager : autorise l'utilisateur à appeler pour établir une connexion StartSession à une instance dans le cadre d'une session de gestionnaire de session. Cette autorisation est requise pour les utilisateurs qui ouvrent un environnement qui communique avec son instance EC2 via Systems Manager. Pour de plus amples informations, veuillez consulter [Accès aux instances EC2 sans entrée avec AWS Systems Manager](ec2-ssm.md).
Pour voir les autorisations de cette stratégie, consultez [AWSCloud9EnvironmentMember](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9EnvironmentMember.html) dans le *AWS Guide de référence des stratégies gérées par*.
### AWS politique gérée : `AWSCloud9ServiceRolePolicy`
Le rôle lié au service **AWSServiceRoleForAWSCloud9**utilise cette politique pour permettre à l' AWS Cloud9 environnement d'interagir avec Amazon CloudFormation EC2 et les ressources.
**Détails de l’autorisation**
Il **AWSCloud9ServiceRolePolicy**accorde AWSService RoleFor AWSCloud9 les autorisations nécessaires pour AWS Cloud9 permettre d'interagir avec les Services AWS (Amazon EC2 et CloudFormation) nécessaires à la création et à l'exécution d'environnements de développement.
AWS Cloud9 définit les autorisations associées à ses rôles liés aux services et ne AWS Cloud9 peut assumer que ses rôles. Les autorisations définies comprennent la politique de confiance et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.
Pour plus d'informations sur l' AWS Cloud9 utilisation des rôles liés à un service, consultez. [Utilisation de rôles liés à un service pour AWS Cloud9](using-service-linked-roles.md)
Pour voir les autorisations de cette stratégie, consultez [AWSCloud9ServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9ServiceRolePolicy.html) dans le *AWS Guide de référence des stratégies gérées par*.
### AWS Cloud9 mises à jour des politiques AWS gérées
Consultez les détails des mises à jour des politiques AWS gérées AWS Cloud9 depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS sur la page Historique du AWS Cloud9 document.
| Modifier | Description | Date |
| --- | --- | --- |
| Une nouvelle action a été ajoutée à la politique de **AWSCloud9l'administrateur**. | L'`ssm:OpenDataChannel`action a été ajoutée à la politique de **AWSCloud9l'administrateur**. Cette action accordera aux utilisateurs l'autorisation d'ouvrir un canal de données pour les sessions SSM. | 25 septembre 2025 |
| Une nouvelle action a été ajoutée à la politique **AWSCloud9utilisateur**. | L'`ssm:OpenDataChannel`action a été ajoutée à la politique **AWSCloud9utilisateur**. Cette action accordera aux utilisateurs l'autorisation d'ouvrir un canal de données pour les sessions SSM. | 25 septembre 2025 |
| Une nouvelle action a été ajoutée à la **AWSCloud9EnvironmentMember**politique. | L'`ssm:OpenDataChannel`action a été ajoutée à la **AWSCloud9EnvironmentMember**politique. Cette action accordera aux utilisateurs l'autorisation d'ouvrir un canal de données pour les sessions SSM. | 25 septembre 2025 |
| Une nouvelle action a été ajoutée à **AWSCloud9Utilisateur**, **AWSCloud9Administrateur** et **AWSCloud9EnvironmentMember**politiques. | L'`ssm:GetConnectionStatus`action a été ajoutée à **AWSCloud9l'**AWSCloud9administrateur** des utilisateurs** et aux **AWSCloud9EnvironmentMember**politiques. Cette action accordera aux utilisateurs les autorisations nécessaires pour vérifier l'état de la connexion SSM. L'`cloud9:ValidateEnvironmentName`API a été supprimée de la politique **AWSCloud9utilisateur** car elle est obsolète. | 12 octobre 2023 |
| Des API ont été ajoutées aux politiques des **AWSCloud9utilisateurs** et des **AWSCloud9administrateurs**. | Deux nouvelles API ont été ajoutées aux politiques **AWSCloud9utilisateur** et **AWSCloud9administrateur**, ces API sont `ec2:DescribeInstanceTypeOfferings` et`ec2:DescribeRouteTables`. Le but de ces API est de AWS Cloud9 permettre de valider que le sous-réseau par défaut prend en charge le type d'instance choisi par le client lors de la création d'un AWS Cloud9 environnement. | 2 août 2023 |
| Mises à jour vers la version [** AWSCloud9ServiceRolePolicy**](#security-iam-awsmanpol-AWSCloud9SLR) | [** AWSCloud9ServiceRolePolicy**](#security-iam-awsmanpol-AWSCloud9SLR)a été mis à jour AWS Cloud9 pour permettre de démarrer et d'arrêter les instances Amazon EC2 gérées par les configurations de licence de License Manager. | 12 janvier 2022 |
| AWS Cloud9 a commencé à suivre les modifications | AWS Cloud9 a commencé à suivre les modifications apportées AWS à ses politiques gérées. | 15 mars 2021 |
## Création de politiques gérées par le client pour AWS Cloud9
Si aucune des politiques AWS gérées ne répond à vos exigences en matière de contrôle d'accès, vous pouvez créer et associer vos propres politiques gérées par le client.
Pour créer une politiqu gérée par le client, consultez [Création d'une politique IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-start) dans le *guide de l'utilisateur IAM*.
**Topics**
+ [Spécification des éléments d'une politique : effets, principaux, actions et ressources](#auth-and-access-control-customer-policies-specifying-policy-elements)
+ [Exemples de politiques gérées par le client](#auth-and-access-control-customer-policies-examples)
### Spécification des éléments d'une politique : effets, principaux, actions et ressources
Pour chaque AWS Cloud9 ressource, le service définit un ensemble d'opérations d'API. Pour accorder des autorisations pour ces opérations d'API AWS Cloud9 , définissez un ensemble d'actions que vous pouvez spécifier dans une politique.
Les éléments de base d'une politique sont les suivants :
+ `Effect` – Vous spécifiez l'effet, une autorisation ou un refus, lorsque l'utilisateur demande l'action. Si vous n’accordez pas explicitement l’accès pour (autoriser) une ressource, l’accès est implicitement refusé. Vous pouvez également explicitement refuser l'accès à une ressource. Vous pouvez le faire afin de vous assurer qu'un utilisateur n'a pas accès à une ressource, même si une politique différente accorde cet accès.
+ `Principal` – Dans les politiques basées sur l'identité (politiques IAM), l'utilisateur auquel la politique est liée est le mandataire implicite. Pour les politiques basées sur une ressource, vous spécifiez l'utilisateur, le compte, le service ou une autre entité qui doit recevoir les autorisations.
+ `Resource` : utilisez un nom Amazon Resource Name (ARN) pour identifier la ressource à laquelle s'applique la politique.
+ `Action` – Utilisez des mots clés d'action pour identifier les opérations de ressource que vous voulez accorder ou refuser. Par exemple, l'autorisation `cloud9:CreateEnvironmentEC2` autorise l'utilisateur à effectuer l'opération `CreateEnvironmentEC2`.
Pour en savoir plus sur la syntaxe et la description des politiques IAM, consultez [Référence des politiques IAM JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html) dans le *guide de l'utilisateur IAM*.
Pour consulter un tableau présentant toutes les actions d' AWS Cloud9 API et les ressources auxquelles elles s'appliquent, consultez le[AWS Cloud9 référence aux autorisations](#auth-and-access-control-ref).
### Exemples de politiques gérées par le client
Dans cette section, vous trouverez des exemples de politiques qui accordent des autorisations pour les actions AWS Cloud9 . Vous pouvez adapter l'exemple suivant de politiques IAM pour accorder ou refuser explicitement l'accès à AWS Cloud9 pour vos identités IAM.
Pour créer ou attacher une politique gérée par le client à une identité IAM, consultez [Création d'une politique IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-start) et [Attachement de politiques IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html#attach-managed-policy-console) dans le *guide de l'utilisateur IAM*.
**Note**
Les exemples suivants utilisent la région USA Est (Ohio) (`us-east-2`), un Compte AWS identifiant fictif (`123456789012`) et un identifiant d'environnement de AWS Cloud9 développement fictif (). `81e900317347585a0601e04c8d52eaEX`
**Topics**
+ [Obtention d'informations sur les environnements](#auth-and-access-control-customer-policies-examples-describe-environments)
+ [Création d'environnements EC2](#auth-and-access-control-customer-policies-examples-create-environment-ec2)
+ [Création d'environnements EC2 avec des types d'instances Amazon EC2 spécifiques](#auth-and-access-control-customer-policies-examples-ec2-instance-types)
+ [Création d'environnements EC2 dans des sous-réseaux Amazon VPC spécifiques](#auth-and-access-control-customer-policies-examples-ec2-subnets)
+ [Création d'un environnement EC2 avec un nom d'environnement spécifique](#auth-and-access-control-customer-policies-examples-ec2-name)
+ [Création d'environnements SSH uniquement](#auth-and-access-control-customer-policies-examples-no-ec2)
+ [Mise à jour des environnements ou empêchement de la mise à jour d'un environnement](#auth-and-access-control-customer-policies-examples-update-environment)
+ [Obtention des membres d'un environnement](#auth-and-access-control-customer-policies-examples-describe-environment-memberships)
+ [Partage d'environnements uniquement avec un utilisateur spécifique](#auth-and-access-control-customer-policies-examples-restrict-collaboration)
+ [Blocage du partage des environnements](#auth-and-access-control-customer-policies-examples-no-collaboration)
+ [Modification ou blocage de la modification des paramètres des membres d'un environnement](#auth-and-access-control-customer-policies-examples-update-environment-membership)
+ [Suppression ou blocage de la suppression des membres d'un environnement](#auth-and-access-control-customer-policies-examples-delete-environment-membership)
+ [Suppression ou blocage de la suppression d'un environnement](#auth-and-access-control-customer-policies-examples-delete-environment)
+ [Politique IAM personnalisée pour la création d'un environnement SSM](#custom-policy-ssm-environment)
#### Obtention d'informations sur les environnements
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, autorise cette entité à obtenir des informations sur n'importe quel environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DescribeEnvironments",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans les politiques AWS gérées `AWSCloud9Administrator` et`AWSCloud9User`.
#### Création d'environnements EC2
L'exemple suivant de déclaration de politique IAM, attachée à une entité IAM, permet à cette entité de créer des environnements de développement AWS Cloud9 EC2 dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans les politiques AWS gérées `AWSCloud9Administrator` et`AWSCloud9User`.
#### Création d'environnements EC2 avec des types d'instances Amazon EC2 spécifiques
L'exemple suivant de déclaration de politique IAM, attachée à une entité IAM, permet à cette entité de créer des environnements de développement AWS Cloud9 EC2 dans son compte. Cependant, les environnement EC2 peuvent utiliser uniquement la classe spécifiée des types d'instances Amazon EC2.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*",
"Condition": {
"StringLike": {
"cloud9:InstanceType": "t3.*"
}
}
}
]
}
```
------
**Note**
Si la stratégie AWS `AWSCloud9Administrator` gérée `AWSCloud9User` est déjà attachée à l'entité IAM, cette politique AWS gérée remplace le comportement de la déclaration de politique IAM précédente. Cela est dû au fait que ces politiques AWS gérées sont plus permissives.
#### Création d'environnements EC2 dans des sous-réseaux Amazon VPC spécifiques
L'exemple suivant de déclaration de politique IAM, attachée à une entité IAM, permet à cette entité de créer des environnements de développement AWS Cloud9 EC2 dans son compte. Cependant, les environnements EC2 peuvent utiliser uniquement les sous-réseaux de VPC Amazon spécifiés.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*",
"Condition": {
"StringLike": {
"cloud9:SubnetId": [
"subnet-12345678",
"subnet-23456789"
]
}
}
}
]
}
```
------
**Note**
Si la stratégie AWS `AWSCloud9Administrator` gérée `AWSCloud9User` est déjà attachée à l'entité IAM, cette politique AWS gérée remplace le comportement de la déclaration de politique IAM précédente. Cela est dû au fait que ces politiques AWS gérées sont plus permissives.
#### Création d'un environnement EC2 avec un nom d'environnement spécifique
L'exemple suivant de déclaration de politique IAM, attachée à une entité IAM, permet à cette entité de créer un environnement de développement AWS Cloud9 EC2 dans son compte. Toutefois, l'environnement EC2 peut utiliser uniquement le nom spécifié.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*",
"Condition": {
"StringEquals": {
"cloud9:EnvironmentName": "my-demo-environment"
}
}
}
]
}
```
------
**Note**
Si la stratégie AWS `AWSCloud9Administrator` gérée `AWSCloud9User` est déjà attachée à l'entité IAM, cette politique AWS gérée remplace le comportement de la déclaration de politique IAM précédente. Cela est dû au fait que ces politiques AWS gérées sont plus permissives.
#### Création d'environnements SSH uniquement
L'exemple suivant de déclaration de politique IAM, attachée à une entité IAM, permet à cette entité de créer des environnements de développement AWS Cloud9 SSH dans son compte. Toutefois, l'entité ne peut pas créer d'environnements de développement AWS Cloud9 EC2.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentSSH",
"Resource": "*"
},
{
"Effect": "Deny",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*"
}
]
}
```
------
#### Mise à jour des environnements ou empêchement de la mise à jour d'un environnement
L'exemple suivant de déclaration de politique IAM, attachée à une entité IAM, permet à cette entité de modifier les informations relatives à n'importe quel environnement de AWS Cloud9 développement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:UpdateEnvironment",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans la politique AWS gérée`AWSCloud9Administrator`.
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, empêche explicitement cette entité de modifier les informations sur l'environnement avec l'Amazon Resource Name (ARN) spécifié.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:UpdateEnvironment",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Obtention des membres d'un environnement
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, autorise cette entité à obtenir la liste des membres de n'importe quel environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DescribeEnvironmentMemberships",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans la politique AWS gérée`AWSCloud9Administrator`. En outre, l'autorisation d'accès précédente est plus permissive que l'autorisation d'accès équivalente dans la politique AWS gérée. `AWSCloud9User`
#### Partage d'environnements uniquement avec un utilisateur spécifique
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, autorise cette entité à partager un environnement dans son compte avec l'utilisateur spécifié uniquement.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloud9:CreateEnvironmentMembership"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"cloud9:UserArn": "arn:aws:iam::123456789012:user/MyDemoUser"
}
}
}
]
}
```
------
**Note**
Si la stratégie AWS `AWSCloud9Administrator` gérée `AWSCloud9User` est déjà attachée à l'entité IAM, ces politiques AWS gérées remplacent le comportement de la déclaration de politique IAM précédente. Cela est dû au fait que ces politiques AWS gérées sont plus permissives.
#### Blocage du partage des environnements
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, empêche cette entité de partager un environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"cloud9:CreateEnvironmentMembership",
"cloud9:UpdateEnvironmentMembership"
],
"Resource": "*"
}
]
}
```
------
#### Modification ou blocage de la modification des paramètres des membres d'un environnement
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, autorise cette entité à modifier les paramètres des membres d'un environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:UpdateEnvironmentMembership",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans la politique AWS gérée`AWSCloud9Administrator`.
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, empêche explicitement cette entité de modifier les paramètres des membres de l'environnement avec l'Amazon Resource Name (ARN) spécifié.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:UpdateEnvironmentMembership",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Suppression ou blocage de la suppression des membres d'un environnement
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, autorise cette entité à supprimer un membre d'un environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DeleteEnvironmentMembership",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans la politique AWS gérée`AWSCloud9Administrator`.
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, empêche explicitement cette entité de supprimer un membre d'un environnement avec l'Amazon Resource Name (ARN) spécifié.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:DeleteEnvironmentMembership",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Suppression ou blocage de la suppression d'un environnement
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, autorise cette entité à supprimer un environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DeleteEnvironment",
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans la politique AWS gérée`AWSCloud9Administrator`.
L'exemple d'instruction de politique IAM suivant, attachée à une entité IAM, empêche explicitement cette entité de supprimer l'environnement avec l'Amazon Resource Name (ARN) spécifié.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:DeleteEnvironment",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Politique IAM personnalisée pour la création d'un environnement SSM
Un problème d'autorisation se produit actuellement lors de la création d'un environnement SSM auquel sont associées les `AWSCloud9User` politiques `AWSCloud9Administrator` OR. L'exemple de déclaration de politique IAM suivant, lorsqu'il est attaché à une entité IAM, permet aux utilisateurs d'attacher et d'utiliser soit la stratégie AWS `AWSCloud9Administrator` gérée, soit. `AWSCloud9User`
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloud9:UpdateUserSettings",
"cloud9:GetUserSettings",
"iam:GetUser",
"iam:ListUsers",
"iam:ListRoles",
"ec2:DescribeVpcs",
"ec2:DescribeSubnets",
"ec2:DescribeRouteTables"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"cloud9:CreateEnvironmentEC2",
"cloud9:CreateEnvironmentSSH"
],
"Resource": "*",
"Condition": {
"Null": {
"cloud9:OwnerArn": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"cloud9:GetUserPublicKey"
],
"Resource": "*",
"Condition": {
"Null": {
"cloud9:UserArn": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"cloud9:DescribeEnvironmentMemberships"
],
"Resource": [
"*"
],
"Condition": {
"Null": {
"cloud9:UserArn": "true",
"cloud9:EnvironmentId": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": "*",
"Condition": {
"StringLike": {
"iam:AWSServiceName": "cloud9.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": "ssm:StartSession",
"Resource": "arn:aws:ec2:*:*:instance/*",
"Condition": {
"StringLike": {
"ssm:resourceTag/aws:cloud9:environment": "*"
},
"StringEquals": {
"aws:CalledViaFirst": "cloud9.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": [
"ssm:StartSession"
],
"Resource": [
"arn:aws:ssm:*:*:document/*"
]
},
{
"Effect": "Allow",
"Action": ["iam:ListInstanceProfilesForRole", "iam:CreateRole"],
"Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"]
},
{
"Effect": "Allow",
"Action": ["iam:AttachRolePolicy"],
"Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"],
"Condition": {
"StringEquals": {
"iam:PolicyARN": "arn:aws:iam::aws:policy/AWSCloud9SSMInstanceProfile"
}
}
},
{
"Effect": "Allow",
"Action": "iam:PassRole",
"Resource": "arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole",
"Condition": {
"StringEquals": {
"iam:PassedToService": "ec2.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:CreateInstanceProfile",
"iam:AddRoleToInstanceProfile"
],
"Resource": [
"arn:aws:iam::*:instance-profile/cloud9/AWSCloud9SSMInstanceProfile"
]
}
]
}
```
------
## AWS Cloud9 référence aux autorisations
Vous pouvez utiliser des clés de condition AWS larges dans vos AWS Cloud9 polices pour exprimer des conditions. Pour obtenir la liste, consultez [Éléments de politique JSON IAM : Condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l'utilisateur IAM*.
Vous spécifiez les actions dans le champ `Action` de la politique. Pour indiquer une action, utilisez le préfixe `cloud9:` suivi du nom de l'opération d'API (par exemple, `"Action": "cloud9:DescribeEnvironments"`). Pour spécifier plusieurs actions dans une même instruction, séparez-les par une virgule (par exemple, `"Action": [ "cloud9:UpdateEnvironment", "cloud9:DeleteEnvironment" ]`).
### Utilisation de caractères génériques
Vous spécifiez un ARN, avec ou sans caractère générique (`*`), comme valeur de ressource dans le champ `Resource` de la politique. Vous pouvez utiliser un caractère générique pour spécifier plusieurs actions ou ressources. Par exemple, `cloud9:*` spécifie toutes les AWS Cloud9 actions et `cloud9:Describe*` indique toutes les AWS Cloud9 actions commençant par`Describe`.
L'exemple suivant autorise une entité IAM à obtenir des informations sur les environnements et l'appartenance à n'importe quel environnement dans son compte.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloud9:Describe*"
],
"Resource": "*"
}
]
}
```
------
**Note**
L'autorisation d'accès précédente est déjà incluse dans la politique AWS gérée`AWSCloud9Administrator`. De plus, l'autorisation d'accès précédente est plus permissive que l'autorisation d'accès équivalente dans la politique AWS gérée. `AWSCloud9User`
### AWS Cloud9 Opérations d'API et autorisations requises pour les actions
**Note**
Vous pouvez utiliser les tableaux ci-dessous comme référence lorsque vous configurez le contrôle d'accès et écrivez des politiques d'autorisations à attacher à une identité IAM (stratégies basées sur l'identité).
Le [Public API operations](#callable-api) tableau répertorie les opérations d'API qui peuvent être appelées par les clients à SDKs l'aide du AWS Command Line Interface.
[Permission-only API operations](#permissions-only-api) répertorie les opérations d'API qui ne sont pas directement appelables par un code client ou par la AWS Command Line Interface. Mais les utilisateurs IAM ont besoin d'autorisations pour ces opérations qui sont appelées lorsque des actions AWS Cloud9 sont exécutées à l'aide de la console.
**Opérations d'API publiques**
| AWS Cloud9 opération | Autorisation requise (Action d'API) | Ressource |
| --- | --- | --- |
| `CreateEnvironmentEC2` | `cloud9:CreateEnvironmentEC2` Nécessaire pour créer un environnement de développement AWS Cloud9 EC2. | `*` |
| `CreateEnvironmentMembership` | `cloud9:CreateEnvironmentMembership` Nécessaire pour ajouter un membre à un environnement. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DeleteEnvironment` | `cloud9:DeleteEnvironment` Nécessaire pour supprimer un environnement. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DeleteEnvironmentMembership` | `cloud9:DeleteEnvironmentMembership` Nécessaire pour supprimer un membre d'un environnement | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DescribeEnvironmentMemberships` | `cloud9:DescribeEnvironmentMemberships` Nécessaire pour obtenir la liste des membres dans un environnement | `*` |
| `DescribeEnvironments` | `cloud9:DescribeEnvironments` Nécessaire pour obtenir des informations sur un environnement | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DescribeEnvironmentStatus` | `cloud9:DescribeEnvironmentStatus` Nécessaire pour obtenir des informations sur le statut d'un environnement. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `UpdateEnvironment` | `cloud9:UpdateEnvironment` Nécessaire pour mettre à jour les paramètres d'un environnement | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `UpdateEnvironmentMembership` | `cloud9:UpdateEnvironmentMembership` Nécessaire pour mettre à jour les paramètres d'un membre d'un environnement | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
**Opérations d'API avec autorisation uniquement**
| AWS Cloud9 opération | Description | Documentation de la console |
| --- | --- | --- |
| `ActivateEC2Remote` | `cloud9:ActivateEC2Remote` Démarre l'instance Amazon EC2 à laquelle votre AWS Cloud9 IDE se connecte. | [Ouvrir un environnement dans AWS Cloud9](open-environment.md) |
| `CreateEnvironmentSSH` | `cloud9:CreateEnvironmentSSH` Crée un environnement de développement AWS Cloud9 SSH. | [Création d'un environnement SSH](create-environment-ssh.md) |
| `CreateEnvironmentToken` | `cloud9:CreateEnvironmentToken` Crée un jeton d'authentification qui permet une connexion entre l'environnement IDE AWS Cloud9 et l'environnement de l'utilisateur. | [Création d'un EC2 environnement](create-environment-main.md) |
| `DescribeEC2Remote` | `cloud9:DescribeEC2Remote` Obtient les détails sur la connexion à l'environnement de développement EC2, y compris l'hôte, l'utilisateur et le port. | [Création d'un EC2 environnement](create-environment-main.md) |
| `DescribeSSHRemote` | `cloud9:DescribeSSHRemote` Obtient les détails sur la connexion à l'environnement de développement SSH, y compris l'hôte, l'utilisateur et le port. | [Création d'un environnement SSH](create-environment-ssh.md) |
| `GetEnvironmentConfig` | `cloud9:GetEnvironmentConfig` Obtient les informations de configuration utilisées pour initialiser l'environnement IDE AWS Cloud9 . | [Travailler avec l' AWS Cloud9 IDE](ide.md) |
| `GetEnvironmentSettings` | `cloud9:GetEnvironmentSettings` Obtient les paramètres AWS Cloud9 IDE pour un environnement de développement spécifié. | [Travailler avec l' AWS Cloud9 IDE](ide.md) |
| `GetMembershipSettings` | `cloud9:GetMembershipSettings` Obtient les paramètres AWS Cloud9 IDE pour un membre de l'environnement spécifié. | [Travailler avec un environnement partagé dans AWS Cloud9](share-environment.md) |
| `GetUserPublicKey` | `cloud9:GetUserPublicKey` Obtient la clé SSH publique de l'utilisateur, qui est utilisée pour se connecter AWS Cloud9 aux environnements de développement SSH. | [Création d'un environnement SSH](create-environment-ssh.md) |
| `GetUserSettings` | `cloud9:GetUserSettings` Obtient les paramètres AWS Cloud9 IDE pour un utilisateur spécifié. | [Travailler avec l' AWS Cloud9 IDE](ide.md) |
| `ModifyTemporaryCredentialsOnEnvironmentEC2` | `cloud9:ModifyTemporaryCredentialsOnEnvironmentEC2` Définit les informations d'identification temporaires AWS gérées sur l'instance Amazon EC2 utilisée par l'environnement de développement AWS Cloud9 intégré (IDE). | [AWS informations d'identification temporaires gérées](#auth-and-access-control-temporary-managed-credentials) |
| `UpdateEnvironmentSettings` | `cloud9:UpdateEnvironmentSettings` Met à jour les paramètres AWS Cloud9 IDE pour un environnement de développement spécifié. | [Travailler avec l' AWS Cloud9 IDE](ide.md) |
| `UpdateMembershipSettings` | `cloud9:UpdateMembershipSettings` Met à jour les paramètres AWS Cloud9 IDE pour un membre de l'environnement spécifié. | [Travailler avec un environnement partagé dans AWS Cloud9](share-environment.md) |
| `UpdateSSHRemote` | `cloud9:UpdateSSHRemote` Met à jour les détails sur la connexion à l'environnement de développement SSH, y compris l'hôte, l'utilisateur et le port. | [Création d'un environnement SSH](create-environment-ssh.md) |
| `UpdateUserSettings` | `cloud9:UpdateUserSettings` Met à jour les paramètres AWS Cloud9 IDE pour un utilisateur spécifié. | [Travailler avec l' AWS Cloud9 IDE](ide.md) |
| `GetMigrationExperiences` | `cloud9:GetMigrationExperiences` Accorde à un AWS Cloud9 utilisateur l'autorisation de bénéficier de l'expérience de migration de AWS Cloud9 vers CodeCatalyst. |
## AWS informations d'identification temporaires gérées
****
| |
| --- |
| Si vous recherchez simplement la liste des actions prises en charge par la AWS gestion des informations d'identification temporaires, passez directement à[Actions prises en charge par des informations d'identification temporaires AWS gérées](#auth-and-access-control-temporary-managed-credentials-supported). |
Dans le cas d'un environnement de développement AWS Cloud9 EC2, AWS Cloud9 met des informations d' AWS accès temporaires à votre disposition dans l'environnement. Nous les appelons les *informations d'identification temporaires gérées par AWS *. Cela présente les avantages suivants :
+ Il n'est pas nécessaire de stocker les informations d' AWS accès permanentes d'une AWS entité (par exemple, un utilisateur IAM) n'importe où dans l'environnement. Aucun membre de l'environnement ne peut accéder à ces informations d'identification sans que vous en soyez informé et sans votre approbation préalable.
+ Vous n'avez pas besoin de configurer, gérer ou attacher manuellement un profil d'instance à l'instance Amazon EC2 qui se connecte à l'environnement. Un profil d'instance est une autre approche pour gérer les informations d'identification d' AWS accès temporaires.
+ AWS Cloud9 renouvelle continuellement ses informations d'identification temporaires, de sorte qu'un seul ensemble d'informations d'identification ne peut être utilisé que pendant une durée limitée. Il s'agit d'une AWS bonne pratique en matière de sécurité. Pour de plus amples informations, veuillez consulter [Création et mise à jour des informations d'identification temporaires AWS gérées](#auth-and-access-control-temporary-managed-credentials-create-update).
+ AWS Cloud9 impose des restrictions supplémentaires sur la manière dont ses informations d'identification temporaires peuvent être utilisées pour accéder aux AWS actions et aux ressources de l'environnement. Il s'agit également d'une bonne pratique en matière de AWS sécurité.
**Important**
Actuellement, si l'instance EC2 de votre environnement est lancée dans un **sous-réseau privé**, vous ne pouvez pas utiliser d'informations d'identification temporaires AWS gérées pour autoriser l'environnement EC2 à accéder à un AWS service au nom d'une AWS entité (par exemple, un utilisateur IAM).
Pour plus d'informations sur le moment où vous pouvez lancer une instance EC2 dans un sous-réseau privé, consultez [Créez un sous-réseau pour AWS Cloud9](vpc-settings.md#vpc-settings-create-subnet).
**Note**
Envisagez d'utiliser une politique AWS gérée plutôt qu'une politique intégrée lorsque vous utilisez des informations d'identification temporaires AWS gérées.
Voici comment fonctionnent les informations d'identification temporaires AWS gérées chaque fois qu'un environnement EC2 tente d'accéder à un pour Service AWS le compte d'une AWS entité (par exemple, un utilisateur IAM) :
1. AWS Cloud9 vérifie si l' AWS entité appelante (par exemple, l'utilisateur IAM) est autorisée à effectuer l'action demandée pour la ressource demandée dans AWS. Si cette autorisation n'existe pas ou est explicitement refusée, la demande échoue.
1. AWS Cloud9 vérifie les informations d'identification temporaires AWS gérées pour voir si ses autorisations autorisent l'action demandée pour la ressource demandée dans AWS. Si cette autorisation n'existe pas ou est explicitement refusée, la demande échoue. Pour obtenir la liste des autorisations qui AWS géraient la prise en charge des informations d'identification temporaires, consultez[Actions prises en charge par des informations d'identification temporaires AWS gérées](#auth-and-access-control-temporary-managed-credentials-supported).
+ Si l' AWS entité et les informations d'identification temporaires AWS gérées autorisent l'action demandée pour la ressource demandée, la demande aboutit.
+ Si l' AWS entité ou les informations d'identification temporaires AWS gérées refusent ou n'autorisent pas explicitement l'action demandée pour la ressource demandée, la demande échoue. Cela signifie que même si l' AWS entité appelante dispose des autorisations correctes, la demande échouera si elle AWS Cloud9 ne l'autorise pas explicitement. De même, si elle AWS Cloud9 autorise une action spécifique pour une ressource spécifique, la demande échoue si l' AWS entité ne l'autorise pas explicitement.
Le propriétaire d'un environnement EC2 peut activer ou désactiver les informations d'identification temporaires AWS gérées pour cet environnement à tout moment, comme suit :
1. Lorsque l'environnement est ouvert, dans l' AWS Cloud9 IDE, dans la barre de menu **AWS Cloud9, choisissez Préférences**.
1. Sur l'onglet **Préférences**, dans le panneau de navigation, choisissez **Paramètres AWS Informations d'identification**.
1. Utilisez l'option **Informations d'identification temporaires gérées AWS )** pour activer ou désactiver les informations d'identification temporaires gérées AWS .
**Note**
Vous pouvez également activer ou désactiver les informations d'identification temporaires AWS gérées en appelant l'opération AWS Cloud9 API [https://docs.aws.amazon.com/cloud9/latest/APIReference/API_UpdateEnvironment.html](https://docs.aws.amazon.com/cloud9/latest/APIReference/API_UpdateEnvironment.html)et en affectant une valeur au `managedCredentialsAction` paramètre. Vous pouvez demander cette opération d'API à l'aide AWS d'outils standard tels que AWS SDKs et le AWS CLI.
Si vous désactivez les informations d'identification temporaires AWS gérées, l'environnement ne peut y accéder Services AWS, quelle que soit l' AWS entité qui fait la demande. Supposons toutefois que vous ne puissiez ou ne souhaitiez pas activer les informations d'identification temporaires AWS gérées pour un environnement et que vous ayez toujours besoin de cet environnement pour y accéder Services AWS. Envisagez alors les autres possibilités suivantes :
+ Attachez un profil d'instance à l'instance Amazon EC2 qui se connecte à l'environnement. Pour connaître les instructions, consultez [Création et utilisation d'un profil d'instance pour gérer les informations d'identification temporaires](credentials.md#credentials-temporary).
+ Stockez vos informations d' AWS accès permanentes dans l'environnement, par exemple en définissant des variables d'environnement spéciales ou en exécutant la `aws configure` commande. Pour obtenir les instructions, consultez [Création et stockage des informations d'identification d'accès permanentes dans un environnement.](credentials.md#credentials-permanent-create).
Les solutions précédemment décrites remplacent toutes les autorisations accordées (ou refusées) par les informations d'identification temporaires gérées par AWS dans un environnement EC2.
### Actions prises en charge par des informations d'identification temporaires AWS gérées
Dans un environnement de développement AWS Cloud9 EC2, les informations d'identification temporaires AWS gérées autorisent toutes les AWS actions pour toutes les AWS ressources de l'appelant Compte AWS, avec les restrictions suivantes :
+ En AWS Cloud9 effet, seules les actions suivantes sont autorisées :
+ `cloud9:CreateEnvironmentEC2`
+ `cloud9:CreateEnvironmentSSH`
+ `cloud9:DescribeEnvironmentMemberships`
+ `cloud9:DescribeEnvironments`
+ `cloud9:DescribeEnvironmentStatus`
+ `cloud9:UpdateEnvironment`
+ Pour IAM, seules les actions suivantes sont autorisées :
+ `iam:AttachRolePolicy`
+ `iam:ChangePassword`
+ `iam:CreatePolicy`
+ `iam:CreatePolicyVersion`
+ `iam:CreateRole`
+ `iam:CreateServiceLinkedRole`
+ `iam:DeletePolicy`
+ `iam:DeletePolicyVersion`
+ `iam:DeleteRole`
+ `iam:DeleteRolePolicy`
+ `iam:DeleteSSHPublicKey`
+ `iam:DetachRolePolicy`
+ `iam:GetInstanceProfile`
+ `iam:GetPolicy`
+ `iam:GetPolicyVersion`
+ `iam:GetRole`
+ `iam:GetRolePolicy`
+ `iam:GetSSHPublicKey`
+ `iam:GetUser`
+ `iam:List*`
+ `iam:PassRole`
+ `iam:PutRolePolicy`
+ `iam:SetDefaultPolicyVersion`
+ `iam:UpdateAssumeRolePolicy`
+ `iam:UpdateRoleDescription`
+ `iam:UpdateSSHPublicKey`
+ `iam:UploadSSHPublicKey`
+ Toutes les actions IAM qui interagissent avec les rôles sont autorisées uniquement pour les noms de rôle commençant par `Cloud9-`. Toutefois, `iam:PassRole` fonctionne avec tous les noms de rôle.
+ Pour AWS Security Token Service (AWS STS), seules les actions suivantes sont autorisées :
+ `sts:GetCallerIdentity`
+ `sts:DecodeAuthorizationMessage`
+ Toutes les AWS actions prises en charge sont limitées à l'adresse IP de l'environnement. Il s'agit d'une AWS bonne pratique en matière de sécurité.
Si AWS Cloud9 cela ne prend pas en charge une action ou une ressource à laquelle vous devez accéder à un environnement EC2, ou si les informations d'identification temporaires AWS gérées sont désactivées pour un environnement EC2 et que vous ne pouvez pas les réactiver, envisagez les alternatives suivantes :
+ Attachez un profil d'instance à l'instance Amazon EC2 qui se connecte à l'environnement EC2. Pour des instructions, consultez [Créer et utiliser un profil d'instance pour gérer les informations d'identification temporaires](credentials.md#credentials-temporary).
+ Stockez vos informations d' AWS accès permanentes dans l'environnement EC2, par exemple en définissant des variables d'environnement spéciales ou en exécutant la `aws configure` commande. Pour obtenir les instructions, consultez [Création et stockage des informations d'identification d'accès permanentes dans un environnement.](credentials.md#credentials-permanent-create).
Les solutions précédemment décrites remplacent toutes les autorisations accordées (ou refusées) par les informations d'identification temporaires gérées par AWS dans un environnement EC2.
#### Création et mise à jour des informations d'identification temporaires AWS gérées
Pour un environnement de développement AWS Cloud9 EC2, les informations d'identification temporaires AWS gérées sont créées la première fois que vous ouvrez l'environnement.
AWS les informations d'identification temporaires gérées sont mises à jour dans l'une des conditions suivantes :
+ Chaque fois qu'une certaine période s'est écoulée. Actuellement, elles sont mises à jour toutes les cinq minutes.
+ Chaque fois que vous rechargez l'onglet du navigateur web qui affiche l'IDE de l'environnement.
+ Lorsque l'horodatage figurant dans le fichier `~/.aws/credentials` de l'environnement est atteint.
+ Chaque fois que vous réactivez le paramètre **Informations d'identification temporaires gérées par AWS **. (Pour afficher ou modifier ce paramètre, choisissez **AWS Cloud9, Préférences** dans la barre de menus de l'IDE. Sur l'onglet **Préférences**. dans le volet de navigation, choisissez **Paramètres AWS , informations d'identification**.)
+ Pour des raisons de sécurité, les informations d'identification temporaires AWS gérées expirent automatiquement au bout de 15 minutes. Pour que les informations d'identification soient actualisées, le propriétaire de l'environnement doit être connecté à l'environnement AWS Cloud9 par l'intermédiaire de l'IDE. Pour plus d'informations sur le rôle du propriétaire de l'environnement, consultez [Contrôle de l'accès aux informations d'identification temporaires AWS gérées](#temporary-managed-credentials-control).
#### Contrôle de l'accès aux informations d'identification temporaires AWS gérées
Un collaborateur dont les informations d'identification temporaires AWS sont gérées peut les utiliser AWS Cloud9 pour interagir avec d'autres Services AWS personnes. Pour que seuls les collaborateurs de confiance reçoivent des informations d'identification temporaires gérées par AWS , ces informations d'identificatio sont désactivées si un nouveau membre est ajouté par un d'autre utilisateur que le propriétaire de l'environnement. Les informations d'identification sont désactivées par la suppression de la propriété dans le fichier `~/.aws/credentials`.
**Important**
AWS les informations d'identification temporaires gérées expirent également automatiquement toutes les 15 minutes. Pour que les informations d'identification soient actualisées afin que les collaborateurs puissent continuer à les utiliser, le propriétaire de l'environnement doit être connecté à AWS Cloud9 l'environnement via l'IDE.
Seul le propriétaire de l'environnement peut réactiver les informations d'identification temporaires AWS gérées afin qu'elles puissent être partagées avec d'autres membres. Lorsque le propriétaire de l'environnement ouvre l'IDE, une boîte de dialogue confirme que les informations d'identification temporaires AWS gérées sont désactivées. Le propriétaire de l'environnement peut réactiver les informations d'identification de tous les membres ou les maintenir désactivées pour tous les membres.
**Avertissement**
Pour vous conformer aux bonnes pratiques de sécurité, maintenez désactivées les informations d'identification temporaires gérées si vous n'êtes pas certain de l'identité du dernier utilisateur ajouté à l'environnement. Vous pouvez consulter la liste des membres autorisés read/write dans la fenêtre [Collaborate](share-environment-members-list.md).