Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l'identité pour Amazon Comprehend

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources Amazon Comprehend. Ils ne peuvent pas non plus effectuer de tâches en utilisant le AWS Management Console, AWS Command Line Interface (AWS CLI) ou AWS API. Pour autoriser les utilisateurs à effectuer des actions sur les ressources dont ils ont besoin, un IAM administrateur peut créer des IAM politiques. L'administrateur peut ensuite ajouter les IAM politiques aux rôles, et les utilisateurs peuvent assumer les rôles.

Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, voir Créer des IAM politiques (console) dans le guide de l'IAMutilisateur.

Pour plus de détails sur les actions et les types de ressources définis par Amazon Comprehend, y compris le format de chaque type de ressource, consultez la section Actions, ressources et clés de condition pour Amazon Comprehend dans le Service Authorization Reference. ARNs

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Comprehend dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

Utilisation de la console Amazon Comprehend

Pour accéder à la console Amazon Comprehend, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les informations relatives aux ressources Amazon Comprehend présentes dans votre. Compte AWS Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui passent des appels uniquement vers le AWS CLI ou le AWS API. Au lieu de cela, autorisez uniquement l'accès aux actions correspondant à l'APIopération qu'ils tentent d'effectuer.

Pour obtenir des autorisations minimales sur la console Amazon Comprehend, vous pouvez associer la politique ComprehendReadOnly AWS gérée aux entités. Pour plus d'informations, consultez la section Ajouter des autorisations à un utilisateur dans le Guide de IAM l'utilisateur.

Pour utiliser la console Amazon Comprehend, vous devez également disposer d'autorisations pour effectuer les actions décrites dans la politique suivante :

{
  "Version": "2012-10-17",
  "Statement": [
  {
      "Action": [
          "iam:ListRoles",
          "iam:GetRole",
          "s3:ListAllMyBuckets",
          "s3:ListBucket",
          "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": "*"
  }
  ]
  }

La console Amazon Comprehend a besoin de ces autorisations supplémentaires pour les raisons suivantes :

Lorsque vous créez une tâche par lots asynchrone ou une tâche de modélisation de rubriques à l'aide de la console, vous pouvez demander à la console de créer un IAM rôle pour votre tâche. Pour créer un IAM rôle, les utilisateurs doivent disposer des autorisations supplémentaires suivantes pour créer des IAM rôles et des politiques, et pour associer des politiques aux rôles :

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Action":
          [
          "iam:CreateRole",
          "iam:CreatePolicy",
          "iam:AttachRolePolicy"
          ],
        "Effect": "Allow",
        "Resource": "*"
      },
      {
        "Action":
          [
          "iam:PassRole"
          ],
        "Effect": "Allow",
        "Resource": "arn:aws:iam::*:role/*Comprehend*"
      }
    ]
  }

La console Amazon Comprehend a besoin de ces autorisations supplémentaires pour les raisons suivantes :

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux IAM utilisateurs de consulter les politiques intégrées et gérées associées à leur identité d'utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide du AWS CLI ou. AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Autorisations requises pour effectuer des actions d'analyse de documents

L'exemple de politique suivant accorde des autorisations pour utiliser les actions d'analyse de documents Amazon Comprehend :

{
 "Version": "2012-10-17",
 "Statement": [{
    "Sid": "AllowDetectActions",
    "Effect": "Allow",
    "Action": [
              "comprehend:DetectEntities",
              "comprehend:DetectKeyPhrases",
              "comprehend:DetectDominantLanguage",
              "comprehend:DetectSentiment",
              "comprehend:DetectTargetedSentiment",
              "comprehend:DetectSyntax",
              "textract:DetectDocumentText",
              "textract:AnalyzeDocument"
           ],
    "Resource": "*"
    }
 ]
}
    

La politique comporte une déclaration qui autorise l'utilisation des DetectSyntax actions DetectEntitiesDetectKeyPhrases, DetectDominantLanguageDetectTargetedSentiment,DetectSentiment,, et. La déclaration de politique accorde également l'autorisation d'utiliser deux méthodes Amazon Textract. API Amazon Comprehend fait appel à ces méthodes pour extraire du texte à partir de fichiers image et de documents numérisésPDF. Vous pouvez supprimer ces autorisations pour les utilisateurs qui n'exécutent jamais d'inférence personnalisée pour ces types de fichiers d'entrée.

Un utilisateur appliquant cette politique ne serait pas en mesure d'effectuer des actions par lots ou des actions asynchrones dans votre compte.

La stratégie ne spécifie pas l'élément Principal, car vous ne spécifiez pas le mandataire qui obtient l'autorisation dans une stratégie basée sur une identité. Quand vous attachez une stratégie à un utilisateur, l'utilisateur est le mandataire implicite. Lorsque vous associez une politique d'autorisation à un IAM rôle, le principal identifié dans la politique de confiance du rôle obtient les autorisations.

Pour consulter un tableau présentant toutes les API actions Amazon Comprehend et les ressources auxquelles elles s'appliquent, consultez la section Actions, ressources et clés de condition pour Amazon Comprehend dans le Service Authorization Reference.

Autorisations requises pour utiliser KMS le chiffrement

Pour utiliser pleinement Amazon Key Management Service (KMS) pour le chiffrement des données et des tâches dans le cadre d'une tâche asynchrone, vous devez accorder des autorisations pour les actions décrites dans la politique suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Action": [
            "kms:CreateGrant"
        ],
        "Effect": "Allow",
        "Resource": "*"
    },
    {
        "Action": [
            "kms:Decrypt",
            "kms:GenerateDatakey"
        ],
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "kms:ViaService": [
                    "s3.region.amazonaws.com"
                ]
            }
        }
    }
  ]
}       

Lorsque vous créez une tâche asynchrone avec Amazon Comprehend, vous utilisez des données d'entrée stockées sur Amazon S3. Avec S3, vous avez la possibilité de chiffrer vos données stockées, qui sont chiffrées par S3, et non par Amazon Comprehend. Nous pouvons déchiffrer et lire ces données d'entrée cryptées si vous kms:Decrypt autorisez la clé avec laquelle les données d'entrée d'origine ont été cryptées au rôle d'accès aux données utilisé par la tâche Amazon Comprehend.

Vous avez également la possibilité d'utiliser des clés KMS gérées par le client (CMK) pour chiffrer les résultats de sortie sur S3, ainsi que le volume de stockage utilisé pendant le traitement des tâches. Dans ce cas, vous pouvez utiliser la même KMS clé pour les deux types de chiffrement, mais cela n'est pas nécessaire. Des champs distincts sont disponibles lors de la création de la tâche pour spécifier les clés de chiffrement de sortie et de chiffrement de volume. Vous pouvez même utiliser une KMS clé provenant d'un autre compte.

Lors de l'utilisation du KMS chiffrement, une kms:CreateGrant autorisation est requise pour le chiffrement des volumes et une kms:GenerateDataKey autorisation est requise pour le chiffrement des données de sortie. Pour lire une entrée cryptée (comme lorsque les données d'entrée sont déjà chiffrées par Amazon S3), une kms:Decrypt autorisation est requise. Le IAM rôle doit accorder ces autorisations selon les besoins. Toutefois, si la clé provient d'un compte différent de celui actuellement utilisé, la politique KMS clé pour cette clé KMS doit également accorder ces autorisations au rôle d'accès aux données pour la tâche.

AWS politiques gérées (prédéfinies) pour Amazon Comprehend

AWS répond à de nombreux cas d'utilisation courants en fournissant des IAM politiques autonomes créées et administrées par AWS. Ces politiques AWS gérées accordent les autorisations nécessaires pour les cas d'utilisation courants afin que vous puissiez éviter d'avoir à rechercher les autorisations nécessaires. Pour plus d'informations, consultez la section Politiques AWS gérées dans le Guide de IAM l'utilisateur.

Les politiques AWS gérées suivantes, que vous pouvez associer aux utilisateurs de votre compte, sont spécifiques à Amazon Comprehend :

Vous devez appliquer la politique supplémentaire suivante à tout utilisateur qui utilisera Amazon Comprehend :

{
    "Version": "2012-10-17",
    "Statement":
      [
        {
          "Action":
            [
              "iam:PassRole"
            ],
          "Effect": "Allow",
          "Resource": "arn:aws:iam::*:role/*Comprehend*"
        }
      ]
  }

Vous pouvez consulter les politiques d'autorisations gérées en vous connectant à la IAM console et en y recherchant des politiques spécifiques.

Ces politiques fonctionnent lorsque vous utilisez AWS SDKs ou le AWS CLI.

Vous pouvez également créer vos propres IAM politiques personnalisées pour autoriser les actions et les ressources Amazon Comprehend. Vous pouvez associer ces politiques personnalisées aux utilisateurs, groupes ou rôles qui nécessitent ces autorisations.

Autorisations basées sur les rôles requises pour les opérations asynchrones

Pour utiliser les opérations asynchrones d'Amazon Comprehend, vous devez autoriser Amazon Comprehend à accéder au compartiment Amazon S3 qui contient votre collection de documents. Pour ce faire, vous devez créer un rôle d'accès aux données dans votre compte avec une politique de confiance visant à faire confiance au principal du service Amazon Comprehend. Pour plus d'informations sur la création d'un rôle, consultez la section Création d'un rôle pour déléguer des autorisations à un AWS service dans le guide de l'utilisateur d'AWS Identity and Access Management.

Vous trouverez ci-dessous un exemple de politique de confiance pour le rôle que vous créez. Pour éviter toute confusion chez les adjoints, vous limitez la portée de l'autorisation en utilisant une ou plusieurs clés contextuelles de conditions globales. Définissez la valeur aws:SourceAccount sur l'ID de votre compte. Si vous utilisez la ArnEquals condition, définissez la aws:SourceArn valeur sur ARN la tâche. Utilisez un caractère générique pour le numéro de travail dans leARN, car Amazon Comprehend génère ce numéro dans le cadre de la création d'emploi.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "comprehend.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          },
          "ArnEquals": {
            "aws:SourceArn": "arn:aws:comprehend:us-west-2:111122223333:pii-entities-detection-job/*"
          }
        }
      }
    ]
 }

Après avoir créé le rôle, créez une politique d'accès pour ce rôle. Cela devrait accorder à Amazon S3 GetObject et ListBucket des autorisations au compartiment Amazon S3 qui contient vos données d'entrée, ainsi que l'PutObjectautorisation Amazon S3 à votre compartiment de données de sortie Amazon S3.

Autorisations permettant d'autoriser toutes les actions Amazon Comprehend

Une fois inscrit AWS, vous créez un utilisateur administrateur chargé de gérer votre compte, notamment de créer des utilisateurs et de gérer leurs autorisations.

Vous pouvez choisir de créer un utilisateur autorisé à effectuer toutes les actions Amazon Comprehend (considérez cet utilisateur comme un administrateur spécifique à un service) pour travailler avec Amazon Comprehend. Vous pouvez alors lier la stratégie d'autorisations suivante à cet utilisateur.

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Sid": "AllowAllComprehendActions",
        "Effect": "Allow",
        "Action":
        [
            "comprehend:*",
            "iam:ListRoles",
            "iam:GetRole",
            "s3:ListAllMyBuckets",
            "s3:ListBucket",
            "s3:GetBucketLocation",
            "iam:CreateRole",
            "iam:CreatePolicy",
            "iam:AttachRolePolicy",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:GenerateDatakey"
      ],
      "Resource": "*"
    },
    {
      "Action":
        [
          "iam:PassRole"
        ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/*Comprehend*"
    }
  ]
}

Ces autorisations peuvent être modifiées en ce qui concerne le chiffrement de la manière suivante :

Autorisations permettant d'autoriser les actions de modélisation de sujets

La politique d'autorisation suivante accorde aux utilisateurs les autorisations nécessaires pour effectuer les opérations de modélisation des rubriques Amazon Comprehend.

{
  "Version": "2012-10-17",
  "Statement": [{
  "Sid": "AllowTopicModelingActions",
  "Effect": "Allow",
  "Action": [
            "comprehend:DescribeTopicsDetectionJob",
            "comprehend:ListTopicsDetectionJobs",
            "comprehend:StartTopicsDetectionJob",
         ],
        "Resource": "*"
        ]
    }
  ]
  }

Autorisations requises pour une tâche d'analyse asynchrone personnalisée

Si vous utilisez le StartDocumentClassificationJob et StartEntitiesDetectionJobAPIs, vous devez mettre à jour votre IAM politique, sauf si vous utilisez actuellement des caractères génériques comme ressources. Si vous StartEntitiesDetectionJobutilisez un modèle préentraîné, cela ne vous concerne pas et vous n'avez aucune modification à apporter.

L'exemple de politique suivant contient une référence obsolète.

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer"
    ],
    "Effect": "Allow"
}

Il s'agit de la politique mise à jour que vous devez utiliser pour exécuter StartDocumentClassificationJob correctement et. StartEntitiesDetectionJob

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:document-classification-job/*",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer",
        "arn:aws:comprehend:us-east-1:123456789012:entities-detection-job/*"
    ],
    "Effect": "Allow"
}