AWS Data Pipeline n'est plus disponible pour les nouveaux clients. Les clients existants de AWS Data Pipeline peuvent continuer à utiliser le service normalement. [En savoir plus](https://aws.amazon.com/blogs/big-data/migrate-workloads-from-aws-data-pipeline/) Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Identity and Access Management pour AWS Data Pipeline Vos informations d'identification de sécurité vous identifient auprès des services dans AWS et vous accordent l'autorisation d'utiliser les ressources AWS, telles que vos pipelines. Vous pouvez utiliser les fonctionnalités de AWS Data Pipeline et Gestion des identités et des accès AWS (IAM) pour permettre AWS Data Pipeline aux autres utilisateurs d'accéder à vos AWS Data Pipeline ressources sans partager vos informations de sécurité. Les organisations peuvent partager l'accès aux pipelines afin de permettre aux personnes d'une organisation de développer et gérer ceux-ci de manière collaborative. Cependant, par exemple, il peut s'avérer nécessaire d'effectuer les actions suivantes : + Contrôlez quels utilisateurs peuvent accéder à des pipelines spécifiques + Protéger un pipeline de production afin d'éviter qu'il soit modifié par erreur + Autoriser un auditeur à avoir un accès en lecture seule aux pipelines, mais l'empêcher d'effectuer des modifications AWS Data Pipeline est intégré à Gestion des identités et des accès AWS (IAM), qui offre un large éventail de fonctionnalités : + Créez des utilisateurs et des groupes dans votre Compte AWS. + Partagez facilement vos AWS ressources entre les utilisateurs de votre Compte AWS. + Attribuez des informations de sécurité uniques à chaque utilisateur. + Contrôlez l'accès de chaque utilisateur aux services et aux ressources. + Obtenez une facture unique pour tous les utilisateurs de votre Compte AWS. En utilisant IAM avec AWS Data Pipeline, vous pouvez contrôler si les utilisateurs de votre organisation peuvent effectuer une tâche à l'aide d'actions d'API spécifiques et s'ils peuvent utiliser des ressources AWS spécifiques. Vous pouvez utiliser des politiques IAM basées sur des balises de pipeline et des groupes de travail pour partager vos pipelines avec d'autres utilisateurs et contrôler le niveau d'accès dont ils disposent. **Topics** + [Politiques IAM pour AWS Data Pipeline](dp-iam-resourcebased-access.md) + [Exemples de politiques pour AWS Data Pipeline](dp-example-tag-policies.md) + [Rôles IAM pour AWS Data Pipeline](dp-iam-roles.md) # Politiques IAM pour AWS Data Pipeline Par défaut, les entités IAM ne sont pas autorisées à créer ou à modifier des ressources AWS. Pour permettre aux entités IAM de créer ou de modifier des ressources et d'effectuer des tâches, vous devez créer des politiques IAM qui accordent aux entités IAM l'autorisation d'utiliser les ressources et les actions d'API spécifiques dont elles auront besoin, puis associer ces politiques aux entités IAM qui nécessitent ces autorisations. Quand vous attachez une politique à un utilisateur ou à un groupe d'utilisateurs, elle accorde ou refuse aux utilisateurs l'autorisation d'exécuter les tâches spécifiées sur les ressources spécifiées. Pour obtenir des informations générales sur les politiques IAM, consultez la section [Permissions et politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/PermissionsAndPolicies.html) du *guide de l'utilisateur IAM*. Pour plus d'informations sur la gestion et la création de stratégies IAM personnalisées, consultez [Gestion des stratégies IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html). **Topics** + [Syntaxe d'une stratégie](#dp-policy-syntax) + [Contrôle de l'accès aux pipelines à l'aide de balises](#dp-control-access-tags) + [Contrôle de l'accès aux pipelines à l'aide de groupes de travail](#dp-control-access-workergroup) ## Syntaxe d'une stratégie Une politique IAM est un document JSON qui se compose d’une ou de plusieurs déclarations. Chaque déclaration est structurée comme suit : ``` { "Statement":[{ "Effect":"effect", "Action":"action", "Resource":"*", "Condition":{ "condition":{ "key":"value" } } } ] } ``` Les éléments suivants constituent une déclaration de stratégie : + **Effect :** *effect* peut avoir la valeur `Allow` ou `Deny`. Par défaut, les entités IAM ne sont pas autorisées à utiliser les ressources et les actions d'API. Toutes les demandes sont donc refusées. Une autorisation explicite remplace l’autorisation par défaut. Un refus explicite remplace toute autorisation. + **Action** : *action* désigne l’action d’API spécifique pour laquelle vous accordez ou refusez l’autorisation. Pour obtenir la liste des actions pour AWS Data Pipeline, consultez la section [Actions](https://docs.aws.amazon.com/datapipeline/latest/APIReference/API_Operations.html) dans la *référence de l'AWS Data Pipeline API*. + **Resource** : la ressource affectée par l’action. La seule valeur valide est `"*"`. + **Condition** : les conditions sont facultatives. Elles permettent de contrôler à quel moment votre stratégie sera effective. AWS Data Pipeline implémente les clés contextuelles à l'échelle d'AWS (voir [Clés disponibles pour les conditions), ainsi que les clés](https://docs.aws.amazon.com/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptions.html#AvailableKeys) spécifiques au service suivantes. + `datapipeline:PipelineCreator`— Pour accorder l'accès à l'utilisateur qui a créé le pipeline. Pour voir un exemple, consultez [Accorder l'autorisation d'accès complet au propriétaire du pipeline](dp-example-tag-policies.md#ex3). + `datapipeline:Tag`— Pour accorder l'accès en fonction du balisage du pipeline. Pour de plus amples informations, veuillez consulter [Contrôle de l'accès aux pipelines à l'aide de balises](#dp-control-access-tags). + `datapipeline:workerGroup`— Pour accorder l'accès en fonction du nom du groupe de travail. Pour de plus amples informations, veuillez consulter [Contrôle de l'accès aux pipelines à l'aide de groupes de travail](#dp-control-access-workergroup). ## Contrôle de l'accès aux pipelines à l'aide de balises Vous pouvez créer des politiques IAM qui font référence aux balises de votre pipeline. Cela vous permet d'utiliser les balises de pipeline pour effectuer les actions suivantes : + Accorder l'accès en lecture seule à un pipeline + Autoriser read/write l'accès à un pipeline + Bloquer l'accès à un pipeline Par exemple, supposons qu'un gestionnaire possède deux environnements de pipeline (un de production et un de développement), ainsi qu'un groupe IAM pour chaque environnement. Pour les pipelines de l'environnement de production, le responsable accorde l' read/write accès aux utilisateurs du groupe IAM de production, mais accorde un accès en lecture seule aux utilisateurs du groupe IAM des développeurs. Pour les pipelines dans l'environnement de développement, le responsable accorde read/write l'accès aux groupes IAM de production et de développement. Pour réaliser ce scénario, le responsable étiquette les pipelines de production avec la balise « environment=production » et attache la politique suivante au groupe IAM de développeurs. La première instruction accorde un accès en lecture seule à tous les pipelines. La deuxième déclaration donne read/write accès aux pipelines qui ne possèdent pas de balise « environment=production ». ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "datapipeline:Describe*", "datapipeline:ListPipelines", "datapipeline:GetPipelineDefinition", "datapipeline:QueryObjects" ], "Resource": "*" }, { "Effect": "Allow", "Action": "datapipeline:*", "Resource": "*", "Condition": { "StringNotEquals": {"datapipeline:Tag/environment": "production"} } } ] } ``` ------ En outre, le responsable attache la politique suivante au groupe IAM de production. Cette instruction accorde l'accès complet à tous les pipelines. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "datapipeline:*", "Resource": "*" } ] } ``` ------ Pour voir d'autres exemples, consultez [Accorder aux utilisateurs un accès en lecture seule en fonction d'une balise](dp-example-tag-policies.md#ex1) et [Accorder aux utilisateurs l'accès complet en fonction d'une balise](dp-example-tag-policies.md#ex2). ## Contrôle de l'accès aux pipelines à l'aide de groupes de travail Vous pouvez créer des politiques IAM qui font référence à des noms de groupes de travailleurs. Par exemple, supposons qu'un gestionnaire possède deux environnements de pipeline (un de production et un de développement), ainsi qu'un groupe IAM pour chaque environnement. Le gestionnaire possède trois serveurs de base de données sur lesquels les exécuteurs de tâches sont respectivement configurés pour les environnements de production, de pré-production et de développement. Le responsable souhaite s'assurer que les utilisateurs du groupe IAM de production peuvent créer des pipelines qui redirigent les tâches vers les ressources de production, et que les utilisateurs du groupe IAM de développement peuvent créer des pipelines qui redirigent les tâches vers les ressources de pré-production et de développement. Pour réaliser ce scénario, le gestionnaire installe l'exécuteur de tâches sur les ressources de production avec des informations d'identification de production et affecte au paramètre `workerGroup` la valeur « prodresource ». En outre, le gestionnaire installe l'exécuteur de tâches sur les ressources de développement avec des informations d'identification de développement et affecte au paramètre `workerGroup` les valeurs « pre-production » et « development ». Le responsable attache la politique suivante au groupe IAM des développeurs afin de bloquer l'accès aux ressources « prodresource ». La première instruction accorde un accès en lecture seule à tous les pipelines. La deuxième instruction autorise l' read/write accès aux pipelines lorsque le nom du groupe de travail comporte un préfixe « dev » ou « pre-prod ». En outre, le responsable attache la politique suivante au groupe IAM de production pour accorder l'accès aux ressources « prodresource ». La première instruction accorde un accès en lecture seule à tous les pipelines. La deuxième instruction autorise l' read/write accès lorsque le nom du groupe de travail comporte le préfixe « prod ». # Exemples de politiques pour AWS Data Pipeline Les exemples suivants montrent comment accorder aux utilisateurs un accès complet ou limité aux pipelines. **Topics** + [Exemple 1 : Accorder aux utilisateurs un accès en lecture seule en fonction d'une balise](#ex1) + [Exemple 2 : Accorder aux utilisateurs un accès complet en fonction d'une balise](#ex2) + [Exemple 3 : Accorder un accès complet au propriétaire du pipeline](#ex3) + [Exemple 4 : accorder aux utilisateurs l'accès à la AWS Data Pipeline console](#example4-grant-users-access-to-console) ## Exemple 1 : Accorder aux utilisateurs un accès en lecture seule en fonction d'une balise La politique suivante permet aux utilisateurs d'utiliser les actions d' AWS Data Pipeline API en lecture seule, mais uniquement avec les pipelines dotés de la balise « environment=production ». L'action d' ListPipelines API ne prend pas en charge l'autorisation basée sur des balises. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "datapipeline:Describe*", "datapipeline:GetPipelineDefinition", "datapipeline:ValidatePipelineDefinition", "datapipeline:QueryObjects" ], "Resource": [ "*" ], "Condition": { "StringEquals": { "datapipeline:Tag/environment": "production" } } } ] } ``` ------ ## Exemple 2 : Accorder aux utilisateurs un accès complet en fonction d'une balise La politique suivante permet aux utilisateurs d'utiliser toutes les actions de l' AWS Data Pipeline API, à l'exception des pipelines dotés de la balise « environment=test » ListPipelines, mais uniquement avec celles-ci. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "datapipeline:*" ], "Resource": [ "*" ], "Condition": { "StringEquals": { "datapipeline:Tag/environment": "test" } } } ] } ``` ------ ## Exemple 3 : Accorder un accès complet au propriétaire du pipeline La politique suivante permet aux utilisateurs d'utiliser toutes les actions de l' AWS Data Pipeline API, mais uniquement avec leurs propres pipelines. ## Exemple 4 : accorder aux utilisateurs l'accès à la AWS Data Pipeline console La stratégie suivante permet aux utilisateurs de créer et de gérer un pipeline à l'aide de la console AWS Data Pipeline . Cette politique inclut l'action visant à obtenir des `PassRole` autorisations pour des ressources spécifiques liées à `roleARN` ces AWS Data Pipeline besoins. Pour plus d'informations sur l'`PassRole`autorisation basée sur l'identité (IAM), consultez le billet de blog [Octroyer l'autorisation de lancer des instances EC2 avec des rôles IAM](https://aws.amazon.com/blogs/security/granting-permission-to-launch-ec2-instances-with-iam-roles-passrole-permission/) (autorisation). PassRole ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Action": [ "cloudwatch:*", "datapipeline:*", "dynamodb:DescribeTable", "elasticmapreduce:AddJobFlowSteps", "elasticmapreduce:ListInstance*", "iam:AddRoleToInstanceProfile", "iam:CreateInstanceProfile", "iam:GetInstanceProfile", "iam:GetRole", "iam:GetRolePolicy", "iam:ListInstanceProfiles", "iam:ListInstanceProfilesForRole", "iam:ListRoles", "rds:DescribeDBInstances", "rds:DescribeDBSecurityGroups", "redshift:DescribeClusters", "redshift:DescribeClusterSecurityGroups", "s3:List*", "sns:ListTopics" ], "Effect": "Allow", "Resource": [ "*" ] }, { "Action": "iam:PassRole", "Effect": "Allow", "Resource": [ "arn:aws:iam::*:role/DataPipelineDefaultResourceRole", "arn:aws:iam::*:role/DataPipelineDefaultRole" ] } ] } ``` ------ # Rôles IAM pour AWS Data Pipeline AWS Data Pipeline utilise Gestion des identités et des accès AWS des rôles. Les politiques d'autorisation associées aux rôles IAM déterminent les actions AWS Data Pipeline que vos applications peuvent effectuer, ainsi que les AWS ressources auxquelles elles peuvent accéder. Pour plus d’informations, consultez [Rôles IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) dans le *Guide de l’utilisateur IAM*. AWS Data Pipeline nécessite deux rôles IAM : + **Le rôle de pipeline** contrôle AWS Data Pipeline l'accès à vos ressources AWS. Dans les définitions d'objets de pipeline, le `role` champ indique ce rôle. + **Le rôle d'instance EC2** contrôle l'accès des applications exécutées sur des instances EC2, y compris les instances EC2 des clusters Amazon EMR, aux ressources. AWS Dans les définitions d'objets de pipeline, le `resourceRole` champ indique ce rôle. **Important** Si vous avez créé un pipeline avant le 3 octobre 2022 à l'aide de la AWS Data Pipeline console avec les rôles par défaut, vous l'avez AWS Data Pipeline créé `DataPipelineDefaultRole` pour vous et avez associé la politique `AWSDataPipelineRole` gérée au rôle. Depuis le 3 octobre 2022, la politique `AWSDataPipelineRole` gérée est obsolète et le rôle de pipeline doit être spécifié pour un pipeline lors de l'utilisation de la console. Nous vous recommandons de passer en revue les pipelines existants et de `DataPipelineDefaultRole` déterminer s'ils sont associés au pipeline et s'ils sont attachés à ce rôle. `AWSDataPipelineRole` Si tel est le cas, vérifiez l'accès autorisé par cette politique afin de vous assurer qu'il est adapté à vos exigences de sécurité. Ajoutez, mettez à jour ou remplacez les politiques et les déclarations de politique associées à ce rôle si nécessaire. Vous pouvez également mettre à jour un pipeline pour utiliser un rôle que vous créez avec différentes politiques d'autorisation. ## Exemples de politiques d'autorisation pour les AWS Data Pipeline rôles Chaque rôle est associé à une ou plusieurs politiques d'autorisation qui déterminent les AWS ressources auxquelles le rôle peut accéder et les actions qu'il peut effectuer. Cette rubrique fournit un exemple de politique d'autorisation pour le rôle de pipeline. Il fournit également le contenu de`AmazonEC2RoleforDataPipelineRole`, qui est la politique gérée pour le rôle d'instance EC2 par défaut,`DataPipelineDefaultResourceRole`. ### Exemple de politique d'autorisation des rôles dans le pipeline L'exemple de politique ci-dessous est conçu pour autoriser les fonctions essentielles qui AWS Data Pipeline nécessitent l'exécution d'un pipeline avec des ressources Amazon EC2 et Amazon EMR. Il fournit également des autorisations pour accéder à d'autres AWS ressources, telles qu'Amazon Simple Storage Service et Amazon Simple Notification Service, requises par de nombreux pipelines. Si les objets définis dans un pipeline ne nécessitent pas les ressources d'un AWS service, nous vous recommandons vivement de supprimer les autorisations d'accès à ce service. Par exemple, si votre pipeline ne définit pas d'action [Nœud Dynamo DBData](dp-object-dynamodbdatanode.md) ou n'utilise pas cette [SnsAlarm](dp-object-snsalarm.md) action, nous vous recommandons de supprimer les instructions d'autorisation associées à ces actions. + `111122223333`Remplacez-le par votre identifiant de AWS compte. + Remplacez `NameOfDataPipelineRole` par le nom du rôle de pipeline (le rôle auquel cette politique est attachée). + Remplacez `NameOfDataPipelineResourceRole` par le nom du rôle d'instance EC2. + Remplacez `us-west-1` par la région appropriée pour votre application. ### Politique gérée par défaut pour le rôle d'instance EC2 Le contenu du `AmazonEC2RoleforDataPipelineRole` est indiqué ci-dessous. Il s'agit de la politique gérée attachée au rôle de ressource par défaut pour AWS Data Pipeline,`DataPipelineDefaultResourceRole`. Lorsque vous définissez un rôle de ressource pour votre pipeline, nous vous recommandons de commencer par cette politique d'autorisations, puis de supprimer les autorisations pour les actions de AWS service qui ne sont pas requises. La version 3 de la politique est affichée, qui est la version la plus récente au moment de la rédaction de cet article. Consultez la version la plus récente de la politique à l'aide de la console IAM. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "cloudwatch:*", "datapipeline:*", "dynamodb:*", "ec2:Describe*", "elasticmapreduce:AddJobFlowSteps", "elasticmapreduce:Describe*", "elasticmapreduce:ListInstance*", "elasticmapreduce:ModifyInstanceGroups", "rds:Describe*", "redshift:DescribeClusters", "redshift:DescribeClusterSecurityGroups", "s3:*", "sdb:*", "sns:*", "sqs:*" ], "Resource": ["*"] }] } ``` ------ ## Création de rôles IAM pour AWS Data Pipeline et modification des autorisations de rôle Utilisez les procédures suivantes pour créer des rôles pour AWS Data Pipeline utiliser la console IAM. Le processus comprend deux étapes. Vous devez d'abord créer une politique d'autorisation à associer au rôle. Ensuite, vous créez le rôle et associez la politique. Après avoir créé un rôle, vous pouvez modifier les autorisations du rôle en joignant et en détachant les politiques d'autorisation. **Note** Lorsque vous créez des rôles pour AWS Data Pipeline utiliser la console, comme décrit ci-dessous, IAM crée et attache les politiques de confiance appropriées requises par le rôle. **Pour créer une politique d'autorisation à utiliser avec un rôle pour AWS Data Pipeline** 1. Ouvrez la console IAM à l’adresse [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. Dans le volet de navigation, sélectionnez **Politiques**, puis **Créer une politique**. 1. Sélectionnez l'onglet **JSON**. 1. Si vous créez un rôle de pipeline, copiez-collez le contenu de l'exemple de politique dedans[Exemple de politique d'autorisation des rôles dans le pipeline](#dp-role-example-policy), en le modifiant en fonction de vos exigences de sécurité. Sinon, si vous créez un rôle d'instance EC2 personnalisé, procédez de même pour l'exemple dans[Politique gérée par défaut pour le rôle d'instance EC2](#dp-resource-role-example-policy). 1. Choisissez **Examiner une politique**. 1. Entrez un nom pour la politique, par exemple, `MyDataPipelineRolePolicy` et une **description** facultative, puis choisissez **Créer** une politique. 1. Notez le nom de la politique. Vous en avez besoin lorsque vous créez votre rôle. **Pour créer un rôle IAM pour AWS Data Pipeline** 1. Ouvrez la console IAM à l’adresse [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. Dans le volet de navigation, choisissez **Rôles**, puis **Create Role**. 1. Sous **Choisir un cas d'utilisation**, sélectionnez **Data Pipeline**. 1. Sous **Sélectionnez votre cas d'utilisation**, effectuez l'une des opérations suivantes : + Choisissez `Data Pipeline` de créer un rôle de pipeline. + Choisissez `EC2 Role for Data Pipeline` de créer un rôle de ressource. 1. Choisissez **Suivant : Autorisations**. 1. Si la politique par défaut pour AWS Data Pipeline est répertoriée, procédez comme suit pour créer le rôle, puis modifiez-le conformément aux instructions de la procédure suivante. Sinon, entrez le nom de la politique que vous avez créée dans la procédure ci-dessus, puis sélectionnez-la dans la liste. 1. Choisissez **Next : Tags**, entrez les tags à ajouter au rôle, puis choisissez **Next : Review**. 1. **Entrez un nom pour le rôle, par exemple, `MyDataPipelineRole` et une **description** facultative, puis choisissez Créer un rôle.** **Pour associer ou détacher une politique d'autorisation pour un rôle IAM pour AWS Data Pipeline** 1. Ouvrez la console IAM à l’adresse [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. Dans le volet de navigation, sélectionnez **Rôles** 1. Dans la zone de recherche, commencez à saisir le nom du rôle que vous souhaitez modifier (par exemple, **DataPipelineDefaultRole**ou), puis **MyDataPipelineRole**choisissez le **nom du rôle dans** la liste. 1. Dans l'onglet **Autorisations**, procédez comme suit : + Pour détacher une politique d'autorisations, sous **Politiques d'autorisations**, cliquez sur le bouton de suppression situé à l'extrême droite de l'entrée de politique. Choisissez **Détacher** lorsque vous êtes invité à confirmer. + Pour joindre une politique que vous avez créée précédemment, choisissez **Joindre des politiques**. Dans la zone de recherche, commencez à taper le nom de la stratégie que vous souhaitez modifier, sélectionnez-la dans la liste, puis choisissez **Joindre une stratégie**. ## Modification des rôles pour un pipeline existant Si vous souhaitez attribuer un rôle de pipeline ou un rôle de ressource différent à un pipeline, vous pouvez utiliser l'éditeur d'architecture de la AWS Data Pipeline console. **Pour modifier les rôles assignés à un pipeline à l'aide de la console** 1. Ouvrez la AWS Data Pipeline console à l'adresse [https://console.aws.amazon.com/datapipeline/](https://console.aws.amazon.com/datapipeline/). 1. Sélectionnez le pipeline dans la liste, puis choisissez **Actions**, **Modifier**. 1. Dans le volet droit de l'éditeur d'architecture, sélectionnez **Autres**. 1. Dans les listes **Rôle de ressource** **et Rôle**, choisissez les rôles AWS Data Pipeline que vous souhaitez attribuer, puis cliquez **sur Enregistrer**.