Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Identity-based exemples de politiques pour Deadline Cloud
Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources Deadline Cloud. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM.
Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques IAM (console) dans le Guide de l’utilisateur IAM.
Pour plus de détails sur les actions et les types de ressources définis par Deadline Cloud, y compris le format des ARN pour chacun des types de ressources, consultez la section Actions, ressources et clés de condition pour AWS Deadline Cloud dans le Service Authorization Reference.
Rubriques
Bonnes pratiques en matière de politiques
Identity-based les politiques déterminent si quelqu'un peut créer des ressources Deadline Cloud sur votre compte, y accéder ou les supprimer. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :
-
Commencez AWS par les politiques gérées et passez aux autorisations avec le moindre privilège — Pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par le AWS client qui sont spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.
-
Accordez les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.
-
Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un outil spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.
-
Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politiques avec IAM Access Analyzer dans le Guide de l’utilisateur IAM.
-
Exiger une authentification multifacteur (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root Compte AWS, activez l'authentification multifacteur pour renforcer la sécurité. Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Sécurisation de l’accès aux API avec MFA dans le Guide de l’utilisateur IAM.
Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.
Utilisation de la console Deadline Cloud
Pour accéder à la console AWS Deadline Cloud, vous devez disposer d'un ensemble minimum d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les détails des ressources Deadline Cloud dans votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.
Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.
Pour accorder un accès complet à la console Deadline Cloud, joignez la politique dansPolitique d'accès à la console. Pour accorder aux utilisateurs l'accès aux données de la ferme, de la flotte, de la file d'attente et des tâches en fonction de leur appartenance à la ferme et de leurs niveaux d'accès, joignez les politiques AWS gérées décrites dansAWS politiques gérées pour Deadline Cloud. Pour plus d'informations sur les politiques d'attachement, consultez la section Ajouter des autorisations à un utilisateur dans le Guide de l'utilisateur IAM.
Politique d'accès à la console
Pour accorder l'accès à toutes les fonctionnalités de la console Deadline Cloud, associez cette politique d'identité à un utilisateur ou à un rôle auquel vous souhaitez bénéficier d'un accès complet.
Politique de soumission des tâches à une file d'attente
Dans cet exemple, vous créez une politique restreinte qui autorise à soumettre des tâches à une file d'attente spécifique dans une batterie de serveurs spécifique.
Politique autorisant la création d'un point de terminaison de licence
Dans cet exemple, vous créez une politique restreinte qui accorde les autorisations requises pour créer et gérer des points de terminaison de licence. Utilisez cette politique pour créer le point de terminaison de licence pour le VPC associé à votre parc de serveurs.
Politique permettant de surveiller une file d'attente de ferme spécifique
Dans cet exemple, vous créez une politique restreinte qui accorde l'autorisation de surveiller les tâches dans une file d'attente spécifique pour une batterie de serveurs spécifique.
Politique de gestion des associations entre les files d'attente et les flottes pour une flotte spécifique
Les associations file d'attente et flotte d'une flotte déterminent quelles tâches peuvent être planifiées pour les travailleurs de la flotte. Si vous réservez une flotte pour du contenu sensible, contrôlez les associations afin que personne ne puisse associer la flotte à une file d'attente non approuvée.
Dans cet exemple, vous créez une politique restreinte qui autorise la gestion des associations entre les files d'attente et les flottes uniquement entre une flotte spécifique et une file d'attente spécifique. L'CreateQueueFleetAssociationopération autorise les ressources de la ferme, de la file d'attente et de la flotte, de sorte qu'un principal appliquant cette politique ne peut associer la flotte à aucune autre file d'attente. Dans l'exemple suivant, remplacez chacune par placeholder des informations spécifiques à vos ressources.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "deadline:CreateQueueFleetAssociation", "deadline:UpdateQueueFleetAssociation", "deadline:DeleteQueueFleetAssociation", "deadline:GetQueueFleetAssociation", "deadline:ListQueueFleetAssociations" ], "Resource": [ "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID", "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID/queue/QUEUE_ID", "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID/fleet/FLEET_ID" ] } ] }
Le cadrage n'est efficace que si aucune autre politique n'autorise l'association à effectuer des opérations sur la flotte restreinte. Vérifiez les politiques appliquées aux administrateurs de votre ferme et, pour une meilleure garantie, ajoutez une Deny déclaration explicite concernant le nom de ressource Amazon (ARN) de la flotte restreinte aux mandants qui ne doivent pas modifier ses associations. Pour plus d'informations sur les limites de sécurité que cela protège, consultezIsolez les charges de travail avec les fermes, les flottes et les files d'attente.
