Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôlez l'accès aux API grâce à des politiques IAM

Mettre à niveau les politiques IAM vers IPv6

AWS CloudHSM les clients utilisent des politiques IAM pour contrôler l'accès aux AWS CloudHSM API et empêcher toute adresse IP en dehors de la plage configurée d'accéder aux AWS CloudHSM API.

Le cloudhsmv2. <region>Le point de terminaison à double pile .api.aws où les AWS CloudHSM API sont hébergées prend en charge IPv6 en plus de l'IPv4.

Les clients qui doivent prendre en charge à la fois IPv4 et IPv6 doivent mettre à jour leurs politiques de filtrage des adresses IP pour gérer les adresses IPv6, sinon cela aura un impact sur leur capacité à se connecter AWS CloudHSM via IPv6.

Qui devrait effectuer la mise à niveau ?

Les clients qui utilisent le double adressage avec des politiques contenant AWS:SourceIP sont concernés par cette mise à niveau. Le double adressage signifie que le réseau prend en charge à la fois IPv4 et IPv6.

Si vous utilisez le double adressage, vous devez mettre à jour vos politiques IAM actuellement configurées avec des adresses au format IPv4 afin d'inclure les adresses au format IPv6.

Pour obtenir de l’aide en cas de problèmes d’accès, contactez Support.

Qu’est-ce qu’IPv6 ?

IPv6 est la norme IP de nouvelle génération destinée à remplacer à terme IPv4. La version précédente, IPv4, utilise un schéma d'adressage 32 bits pour prendre en charge 4,3 milliards d'appareils. IPv6 utilise plutôt un adressage 128 bits pour prendre en charge environ 340 billions de billions de billions de milliards de milliards (soit 2 à la 128e puissance) d'appareils.

Pour plus de détails, consultez la page Web IPv6 du VPC.

2001:cdba:0000:0000:0000:0000:3257:9652
2001:cdba:0:0:0:0:3257:9652
2001:cdba::3257:965

Mettre à jour une politique IAM pour IPv6

Les politiques IAM sont actuellement utilisées pour définir une plage d'adresses IP autorisée à l'aide du aws:SourceIp filtre.

Le double adressage prend en charge le trafic IPv4 et IPv6. Si votre réseau utilise le double adressage, vous devez mettre à jour toutes les politiques IAM utilisées pour le filtrage des adresses IP afin d'inclure les plages d'adresses IPv6.

Par exemple, la politique ci-dessous identifie les plages 192.0.2.0.* d'adresses IPv4 autorisées 203.0.113.0.* dans l'Conditionélément.

# https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_aws_deny-ip.html
{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Deny",
        "Action": "*",
        "Resource": "*",
        "Condition": {
            "NotIpAddress": {
                "*aws:SourceIp*": [
                    "*192.0.2.0/24*",
                    "*203.0.113.0/24*"
                ]
            },
            "Bool": {
                "aws:ViaAWSService": "false"
            }
        }
    }
}

Pour mettre à jour cette politique, modifiez l'Conditionélément afin d'inclure les plages d'adresses IPv6 2001:DB8:1234:5678::/64 et2001:cdba:3257:8593::/64.

"Condition": {
                "NotIpAddress": {
                    "*aws:SourceIp*": [
                        "*192.0.2.0/24*", <<DO NOT REMOVE existing IPv4 address>>
                        "*203.0.113.0/24*", <<DO NOT REMOVE existing IPv4 address>>
                        "*2001:DB8:1234:5678::/64*", <<New IPv6 IP address>>
                        "*2001:cdba:3257:8593::/64*" <<New IPv6 IP address>>
                    ]
                },
                "Bool": {
                    "aws:ViaAWSService": "false"
                }
            }

Vérifiez que votre client prend en charge IPv6

Clients utilisant le cloudhsmv2. Il est conseillé aux points de terminaison {region} .api.aws de vérifier s'ils sont en mesure de s'y connecter. Les étapes suivantes décrivent comment effectuer la vérification.

Cet exemple utilise Linux et curl version 8.6.0 et utilise les points de terminaison de AWS CloudHSM service dont les points de terminaison compatibles IPv6 sont situés sur le point de terminaison api.aws.

Si une adresse IP distante a été identifiée mais que le code de réponse ne l'est pas0, une connexion réseau a été établie avec succès avec le terminal via IPv6. L'adresse IP distante doit être une adresse IPv6 car le système d'exploitation doit sélectionner le protocole valide pour le client. Si l'adresse IP distante n'est pas une adresse IPv6, utilisez la commande suivante pour curl forcer l'utilisation d'IPv4.

curl --ipv4 -o /dev/null --silent -w "\nremote ip: %{remote_ip}\nresponse code: %{response_code}\n" https://cloudhsmv2.us-east-1.api.aws

remote ip: 3.123.154.250
response code: 404

Si l'adresse IP distante est vide ou si le code de réponse l'est0, le réseau client ou le chemin réseau vers le point de terminaison l'est IPv4-only. Vous pouvez vérifier cette configuration à l'aide de la curl commande suivante.

curl -o /dev/null --silent -w "\nremote ip: %{remote_ip}\nresponse code: %{response_code}\n" https://cloudhsmv2.us-east-1.api.aws

remote ip: 3.123.154.250
response code: 404