Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion de AWS CloudShell l'accès et de l'utilisation à l'aide IAM de politiques

Grâce aux ressources de gestion des accès qui peuvent être fournies par AWS Identity and Access Management, les administrateurs peuvent accorder des autorisations aux IAM utilisateurs. Ces utilisateurs peuvent ainsi accéder aux fonctionnalités de l'environnement AWS CloudShell et les utiliser. Les administrateurs peuvent également créer des politiques qui spécifient à un niveau granulaire les actions que ces utilisateurs peuvent effectuer dans l'environnement shell.

Le moyen le plus rapide pour un administrateur d'accorder l'accès aux utilisateurs est d'utiliser une politique AWS gérée. Une politique AWS gérée est une politique autonome créée et administrée par AWS. La politique AWS gérée suivante pour AWS CloudShell peut être attachée aux IAM identités :

La AWS CloudShellFullAccesspolitique utilise le caractère générique (*) pour donner à l'IAMidentité (utilisateur, rôle ou groupe) un accès complet aux fonctionnalités CloudShell et aux fonctionnalités. Pour plus d'informations sur cette politique, consultez le Guide AWS CloudShellFullAccessde l'utilisateur de AWS Managed Policy.

Gestion des actions autorisées à AWS CloudShell l'aide de politiques personnalisées

Pour gérer les actions qu'un IAM utilisateur peut effectuer CloudShell, créez une politique personnalisée qui utilise la stratégie CloudShellPolicy gérée comme modèle. Vous pouvez également modifier une politique intégrée intégrée à l'IAMidentité appropriée (utilisateur, groupe ou rôle).

Par exemple, vous pouvez autoriser IAM les utilisateurs à accéder CloudShell, mais les empêcher de transmettre les informations d'identification de CloudShell l'environnement utilisées pour se connecter AWS Management Console.

Exemples de IAM politiques pour CloudShell

Les exemples suivants montrent comment des politiques peuvent être créées pour restreindre les personnes autorisées à y accéder CloudShell. Les exemples montrent également les actions qui peuvent être effectuées dans l'environnement shell.

La politique suivante impose un déni complet de l'accès à CloudShell ses fonctionnalités.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "DenyCloudShell",
        "Effect": "Deny",
        "Action": [
            "cloudshell:*"
        ],
        "Resource": "*"
    }]
}

La politique suivante autorise IAM les utilisateurs à y accéder CloudShell mais les empêche de générer des documents pré-signés URLs pour le chargement et le téléchargement de fichiers. Les utilisateurs peuvent toujours transférer des fichiers vers et depuis l'environnement, en utilisant des clients par wget exemple.

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Sid": "AllowUsingCloudshell",
        "Effect": "Allow",
        "Action": [
            "cloudshell:*"
        ],
        "Resource": "*"
    },
    {
        "Sid": "DenyUploadDownload",
        "Effect": "Deny",
        "Action": [
            "cloudshell:GetFileDownloadUrls",
            "cloudshell:GetFileUploadUrls"
        ],
        "Resource": "*"
    }]
}

La politique suivante autorise IAM les utilisateurs à y accéder CloudShell. Toutefois, la politique empêche le transfert vers l' CloudShell environnement des informations d'identification que vous avez utilisées pour vous connecter. AWS Management Console IAMles utilisateurs soumis à cette politique doivent configurer manuellement leurs informations d'identification dans cette politique CloudShell.

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Sid": "AllowUsingCloudshell",
        "Effect": "Allow",
        "Action": [
            "cloudshell:*"
        ],
        "Resource": "*"
    },
    {
        "Sid": "DenyCredentialForwarding",
        "Effect": "Deny",
        "Action": [
            "cloudshell:PutCredentials"
        ],
        "Resource": "*"
    }]
}

La politique suivante permet aux IAM utilisateurs de créer AWS CloudShell des environnements.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "CloudShellUser",
        "Effect": "Allow",
        "Action": [ 
            "cloudshell:CreateEnvironment",
            "cloudshell:CreateSession",
            "cloudshell:GetEnvironmentStatus",
            "cloudshell:StartEnvironment"
        ],
        "Resource": "*"
     }]
}

IAMAutorisations requises pour créer et utiliser CloudShell VPC des environnements

Pour créer et utiliser CloudShell VPC des environnements, l'IAMadministrateur doit autoriser l'accès à VPC des EC2 autorisations Amazon spécifiques. Cette section répertorie les EC2 autorisations Amazon nécessaires pour créer et utiliser VPC des environnements.

Pour créer VPC des environnements, la IAM politique attribuée à votre rôle doit inclure les EC2 autorisations Amazon suivantes :

Nous vous recommandons également d'inclure :

IAMpolitique accordant un CloudShell accès complet, y compris l'accès à VPC

L'exemple suivant montre comment activer les autorisations complètes, y compris l'accès àVPC, pour CloudShell :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCloudShellOperations",
      "Effect": "Allow",
      "Action": [
        "cloudshell:*"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowDescribeVPC",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeVpcs"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowCreateTagWithCloudShellKey",
      "Effect": "Allow",
      "Action": [
        "ec2:CreateTags"
      ],
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:CreateAction": "CreateNetworkInterface"
        },
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": "ManagedByCloudShell"
        }
      }
    },
    {
      "Sid": "AllowCreateNetworkInterfaceWithSubnetsAndSG",
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "AllowCreateNetworkInterfaceWithCloudShellTag",
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface"
      ],
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": "ManagedByCloudShell"
        }
      }
    },
    {
      "Sid": "AllowCreateNetworkInterfacePermissionWithCloudShellTag",
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterfacePermission"
      ],
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ManagedByCloudShell": ""
        }
      }
    },
    {
      "Sid": "AllowDeleteNetworkInterfaceWithCloudShellTag",
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteNetworkInterface"
      ],
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ManagedByCloudShell": ""
        }
      }
    }
  ]
}

Utilisation de clés de IAM condition pour les VPC environnements

Vous pouvez utiliser des clés de condition CloudShell spécifiques pour les VPC paramètres afin de fournir des contrôles d'autorisation supplémentaires pour vos VPC environnements. Vous pouvez également spécifier les sous-réseaux et les groupes de sécurité que l'VPCenvironnement peut ou ne peut pas utiliser.

CloudShell prend en charge les clés de condition suivantes dans IAM les politiques :

Exemples de politiques avec clés de condition pour les VPC paramètres

Les exemples suivants montrent comment utiliser les clés de condition pour VPC les paramètres. Après avoir créé une instruction de politique avec les restrictions souhaitées, ajoutez l’instruction de politique pour l’utilisateur ou le rôle cible.

Assurez-vous que les utilisateurs créent uniquement VPC des environnements et interdisent la création d'environnements publics

Pour garantir que les utilisateurs ne peuvent créer que VPC des environnements, utilisez l'autorisation de refus, comme indiqué dans l'exemple suivant :

{
  "Statement": [
    {
      "Sid": "DenyCloudShellNonVpcEnvironments",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "Null": {
          "cloudshell:VpcIds": "true"
        }
      }
    }
  ]
}

Refuser aux utilisateurs l'accès à VPCs des sous-réseaux ou à des groupes de sécurité spécifiques

Pour refuser aux utilisateurs l'accès à une condition spécifiqueVPCs, utilisez cette option StringEquals pour vérifier la valeur de la cloudshell:VpcIds condition. L'exemple suivant refuse aux utilisateurs l'accès à vpc-1 et vpc-2 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceOutOfVpc",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloudshell:VpcIds": [
            "vpc-1",
            "vpc-2"
          ]
        }
      }
    }
  ]
}

Pour refuser aux utilisateurs l'accès à une condition spécifiqueVPCs, utilisez cette option StringEquals pour vérifier la valeur de la cloudshell:SubnetIds condition. L'exemple suivant refuse aux utilisateurs l'accès à subnet-1 et subnet-2 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceOutOfVpc",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloudshell:VpcIds": [
            "vpc-1",
            "vpc-2"
          ]
        }
      }
    }
  ]
}

Pour refuser aux utilisateurs l'accès à une condition spécifiqueVPCs, utilisez cette option StringEquals pour vérifier la valeur de la cloudshell:SecurityGroupIds condition. L'exemple suivant refuse aux utilisateurs l'accès à sg-1 et sg-2 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceOutOfSecurityGroups",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "cloudshell:SecurityGroupIds": [
            "sg-1",
            "sg-2"
          ]
        }
      }
    }
  ]
}

Permettre aux utilisateurs de créer des environnements avec des VPC configurations spécifiques

Pour autoriser les utilisateurs à accéder à une condition spécifiqueVPCs, utilisez cette option StringEquals pour vérifier la valeur de la cloudshell:VpcIds condition. L'exemple suivant permet aux utilisateurs d'accéder à vpc-1 et vpc-2 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceStayInSpecificVpc",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloudshell:VpcIds": [
            "vpc-1",
            "vpc-2"
          ]
        }
      }
    }
  ]
}

Pour autoriser les utilisateurs à accéder à une condition spécifiqueVPCs, utilisez cette option StringEquals pour vérifier la valeur de la cloudshell:SubnetIds condition. L'exemple suivant permet aux utilisateurs d'accéder à subnet-1 et subnet-2 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceStayInSpecificSubnets",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "cloudshell:SubnetIds": [
            "subnet-1",
            "subnet-2"
          ]
        }
      }
    }
  ]
}

Pour autoriser les utilisateurs à accéder à une condition spécifiqueVPCs, utilisez cette option StringEquals pour vérifier la valeur de la cloudshell:SecurityGroupIds condition. L'exemple suivant permet aux utilisateurs d'accéder à sg-1 et sg-2 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceStayInSpecificSecurityGroup",
      "Action": [
        "cloudshell:CreateEnvironment"
      ],
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "cloudshell:SecurityGroupIds": [
            "sg-1",
            "sg-2"
          ]
        }
      }
    }
  ]
}

Autorisations d'accès Services AWS

CloudShell utilise les IAM informations d'identification que vous avez utilisées pour vous connecter au AWS Management Console.

Cette fonctionnalité de pré-authentification CloudShell facilite son utilisation AWS CLI. Cependant, un IAM utilisateur a toujours besoin d'autorisations explicites pour Services AWS les appels effectués depuis la ligne de commande.

Supposons, par exemple, que IAM les utilisateurs soient tenus de créer des compartiments Amazon S3 et d'y charger des fichiers sous forme d'objets. Vous pouvez créer une politique qui autorise explicitement ces actions. La IAM console fournit un éditeur visuel interactif qui guide le processus de création d'un document de politique JSON formaté. Une fois la politique créée, vous pouvez l'associer à IAM l'identité appropriée (utilisateur, groupe ou rôle).

Pour plus d'informations sur l'attachement de politiques gérées, consultez la section Ajout IAM d'autorisations d'identité (console) dans le guide de IAM l'utilisateur.

Autorisations d'accès aux CLI fonctionnalités d'Amazon Q dans CloudShell

Pour utiliser les CLI fonctionnalités d'Amazon Q CloudShell, telles que les suggestions intégrées, le chat et la traduction, assurez-vous de disposer des IAM autorisations requises. Si vous ne parvenez pas à accéder aux CLI fonctionnalités d'Amazon Q dans CloudShell, contactez votre administrateur pour qu'il vous donne les IAM autorisations nécessaires. Pour plus d'informations, consultez les exemples de politiques basées sur l'identité pour Amazon Q Developer dans le manuel Amazon Q Developer User Guide.