Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Vue d'ensemble de la gestion des autorisations d'accès à vos AWS Directory Service ressources

Chaque AWS ressource est détenue par un AWS compte. Par conséquent, les autorisations de création ou d'accès aux ressources sont régies par des politiques d'autorisation. Toutefois, un administrateur de compte, c'est-à-dire un utilisateur disposant d'autorisations d'administrateur, peut associer des autorisations aux ressources. Ils ont également la possibilité d'associer des politiques d'autorisations aux IAM identités, telles que les utilisateurs, les groupes et les rôles, et à certains services, tels que AWS Lambda la prise en charge de l'attachement de politiques d'autorisations aux ressources.

AWS Directory Service ressources et opérations

Dans AWS Directory Service, la ressource principale est un répertoire. Comme il AWS Directory Service prend en charge les ressources de capture instantanée d'annuaire, vous pouvez créer des instantanés uniquement dans le contexte d'un répertoire existant. Cet instantané est appelé sous-ressource.

Ces ressources sont associées à des noms de ressources Amazon (ARNs) uniques, comme indiqué dans le tableau suivant.

AWS Directory Service inclut deux espaces de noms de service en fonction du type d'opérations que vous effectuez.

Présentation de la propriété des ressources

Le propriétaire d'une ressource est le AWS compte qui a créé une ressource. En d'autres termes, le propriétaire de la ressource est le AWS compte de l'entité principale (le compte root, un IAM utilisateur ou un IAM rôle) qui authentifie la demande qui crée la ressource. Les exemples suivants illustrent comment cela fonctionne :

Gestion de l’accès aux ressources

Une politique d'autorisation décrit qui a accès à quoi. La section suivante explique les options disponibles pour créer des politiques d'autorisations.

Les politiques associées à une IAM identité sont appelées politiques basées sur l'identité (politiques) et IAM les politiques associées à une ressource sont appelées politiques basées sur les ressources. AWS Directory Service prend uniquement en charge les politiques basées sur l'identité (IAMpolitiques).

Politiques basées sur l'identité (politiques) IAM

Vous pouvez associer des politiques aux IAM identités. Par exemple, vous pouvez effectuer les opérations suivantes :

La politique d'autorisation suivante accorde des autorisations à un utilisateur lui permettant d'exécuter toutes les actions commençant par Describe. Ces actions affichent des informations sur une AWS Directory Service ressource, telle qu'un répertoire ou un instantané. Notez que le caractère générique (*) dans l'Resourceélément indique que les actions sont autorisées pour toutes les AWS Directory Service ressources détenues par le compte.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ds:Describe*",
         "Resource":"*"
      }
   ]
}

Pour plus d'informations sur l'utilisation de politiques basées sur l'identité avec AWS Directory Service, consultez. Utilisation de politiques basées sur l'identité (IAMpolitiques) pour AWS Directory Service Pour plus d'informations sur les utilisateurs, les groupes, les rôles et les autorisations, consultez la section Identités (utilisateurs, groupes et rôles) dans le guide de IAM l'utilisateur.

Politiques basées sur les ressources

D’autres services, tels qu’Amazon S3, prennent également en charge les politiques d’autorisation basées sur une ressource. Par exemple, vous pouvez associer une politique à un compartiment S3 pour gérer les autorisations d'accès à ce compartiment. AWS Directory Service ne prend pas en charge les politiques basées sur les ressources.

Spécification des éléments d’une politique : actions, effets, ressources et principaux

Pour chaque AWS Directory Service ressource, le service définit un ensemble d'APIopérations. Pour de plus amples informations, veuillez consulter AWS Directory Service ressources et opérations. Pour obtenir la liste des API opérations disponibles, consultez la section Actions du Service d'annuaire.

Pour accorder des autorisations pour ces API opérations, AWS Directory Service définit un ensemble d'actions que vous pouvez spécifier dans une politique. Notez que l'exécution d'une API opération peut nécessiter des autorisations pour plusieurs actions.

Voici les éléments de base d’une politique :

Pour en savoir plus sur la syntaxe et les descriptions des IAM politiques, consultez la référence aux IAM JSON politiques dans le Guide de IAM l'utilisateur.

Pour un tableau présentant toutes les AWS Directory Service API actions et les ressources auxquelles elles s'appliquent, voirAWS Directory Service APIautorisations : référence aux actions, aux ressources et aux conditions.

Spécification de conditions dans une politique

Lorsque vous accordez des autorisations, vous pouvez utiliser le langage de la politique d’accès pour spécifier les conditions définissant quand une politique doit prendre effet. Par exemple, il est possible d’appliquer une politique après seulement une date spécifique. Pour plus d'informations sur la spécification de conditions dans un langage de politique, voir Condition dans le guide de IAM l'utilisateur.

Pour exprimer des conditions, vous utilisez des clés de condition prédéfinies. Il n'existe pas de clés de condition spécifiques à AWS Directory Service. Cependant, il existe des clés de AWS condition que vous pouvez utiliser selon les besoins. Pour obtenir la liste complète des AWS clés, consultez la section Clés de condition globales disponibles dans le guide de IAM l'utilisateur.