Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Vue d'ensemble de la gestion des autorisations d'accès à vos AWS Directory Service ressources

Chaque AWS ressource est détenue par un AWS compte. Par conséquent, les autorisations de création ou d'accès aux ressources sont régies par des politiques d'autorisation. Toutefois, un administrateur de compte, c'est-à-dire un utilisateur disposant d'autorisations d'administrateur, peut associer des autorisations aux ressources. Ils ont également la possibilité d'associer des politiques d'autorisations aux identités IAM, telles que les utilisateurs, les groupes et les rôles, et certains services, tels que AWS Lambda la prise en charge de l'attachement de politiques d'autorisations aux ressources.

AWS Directory Service ressources et opérations

Dans AWS Directory Service, la ressource principale est un répertoire. Comme il AWS Directory Service prend en charge les ressources de capture instantanée d'annuaire, vous pouvez créer des instantanés uniquement dans le contexte d'un répertoire existant. Cet instantané est appelé sous-ressource.

Ces ressources sont associées à des noms de ressources Amazon (ARNs) uniques, comme indiqué dans le tableau suivant.

AWS Directory Service inclut deux espaces de noms de service en fonction du type d'opérations que vous effectuez.

Présentation de la propriété des ressources

Le propriétaire d'une ressource est le AWS compte qui a créé une ressource. En d'autres termes, le propriétaire de la ressource est le AWS compte de l'entité principale (le compte root, un utilisateur IAM ou un rôle IAM) qui authentifie la demande qui crée la ressource. Les exemples suivants illustrent comment cela fonctionne :

Gestion de l’accès aux ressources

Une politique d'autorisation décrit qui a accès à quoi. La section suivante explique les options disponibles pour créer des politiques d'autorisations.

Les politiques associées à une identité IAM sont appelées politiques basées sur l'identité (politiques IAM) et les politiques associées à une ressource sont appelées politiques basées sur les ressources. AWS Directory Service prend uniquement en charge les politiques basées sur l'identité (politiques IAM).

Politiques basées sur une identité (politiques IAM)

Vous pouvez attacher des politiques à des identités IAM. Par exemple, vous pouvez effectuer les opérations suivantes :

La politique d'autorisation suivante accorde des autorisations à un utilisateur lui permettant d'exécuter toutes les actions commençant par Describe. Ces actions affichent des informations sur une AWS Directory Service ressource, telle qu'un répertoire ou un instantané. Notez que le caractère générique (*) dans l'Resourceélément indique que les actions sont autorisées pour toutes les AWS Directory Service ressources détenues par le compte.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ds:Describe*",
         "Resource":"*"
      }
   ]
}

Pour plus d'informations sur l'utilisation de politiques basées sur l'identité avec AWS Directory Service, consultez. Utilisation de politiques basées sur l'identité (politiques IAM) pour AWS Directory Service Pour plus d’informations sur les utilisateurs, les groupes, les rôles et les autorisations, consultez Identités (utilisateurs, groupes et rôles) dans le Guide de l’utilisateur IAM.

Politiques basées sur les ressources

D’autres services, tels qu’Amazon S3, prennent également en charge les politiques d’autorisation basées sur une ressource. Par exemple, vous pouvez associer une politique à un compartiment S3 pour gérer les autorisations d'accès à ce compartiment. AWS Directory Service ne prend pas en charge les politiques basées sur les ressources.

Spécification des éléments d’une politique : actions, effets, ressources et principaux

Pour chaque AWS Directory Service ressource, le service définit un ensemble d'opérations d'API. Pour de plus amples informations, veuillez consulter AWS Directory Service ressources et opérations. Pour obtenir la liste des opérations d'API disponibles, veuillez consulter Directory Service Actions (français non garanti).

Pour accorder des autorisations pour ces opérations d'API AWS Directory Service , définissez un ensemble d'actions que vous pouvez spécifier dans une politique. Notez que l'exécution d'une opération d'API peut exiger des autorisations pour plusieurs actions.

Voici les éléments de base d’une politique :

Pour plus d'informations sur la syntaxe des politiques IAM et pour obtenir des descriptions, veuillez consulter IAM JSON policy reference (français non garanti) dans le manuel Guide de l'utilisateur IAM.

Pour un tableau présentant toutes les actions d' AWS Directory Service API et les ressources auxquelles elles s'appliquent, consultezAWS Directory Service Autorisations d'API : référence aux actions, aux ressources et aux conditions.

Spécification de conditions dans une politique

Lorsque vous accordez des autorisations, vous pouvez utiliser le langage de la politique d’accès pour spécifier les conditions définissant quand une politique doit prendre effet. Par exemple, il est possible d'appliquer une politique après seulement une date spécifique. Pour plus d'informations sur la spécification de conditions dans un langage de politique, consultez Condition dans le Guide de l'utilisateur IAM.

Pour exprimer des conditions, vous utilisez des clés de condition prédéfinies. Il n'existe pas de clés de condition spécifiques à AWS Directory Service. Cependant, il existe des clés de AWS condition que vous pouvez utiliser selon les besoins. Pour obtenir la liste complète des AWS clés, consultez la section Clés de condition globales disponibles dans le guide de l'utilisateur IAM.