Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Autorisation pour AWS les applications et les services utilisant AWS Directory Service

Cette rubrique décrit l'autorisation pour les AWS applications et les services utilisant AWS Directory Service des données de AWS Directory Service

Autoriser une AWS application sur un Active Directory

AWS Directory Service accorde des autorisations spécifiques aux applications sélectionnées afin de s'intégrer parfaitement à votre Active Directory lorsque vous autorisez une AWS application. AWS les applications ne bénéficient que de l'accès nécessaire à leurs cas d'utilisation spécifiques. Voici un ensemble d'autorisations internes accordées aux applications et aux administrateurs d'applications après autorisation :

Certaines applications Microsoft AD AWS gérées, telles qu'Amazon RDS et Amazon, FSx s'intègrent via une connexion réseau directe à votre Active Directory. Dans ce cas, les interactions avec les annuaires utilisent des protocoles Active Directory natifs tels que LDAP Kerberos. Les autorisations de ces AWS applications sont contrôlées par un compte utilisateur d'annuaire créé dans l'unité organisationnelle AWS réservée (UO) lors de l'autorisation de l'application, qui inclut la DNS gestion et l'accès complet à une unité d'organisation personnalisée créée pour l'application. Pour utiliser ce compte, l'application doit être autorisée à ds:GetAuthorizedApplicationDetails agir via les informations d'identification de l'appelant ou un IAM rôle.

Pour plus d'informations sur AWS Directory Service API les autorisations, consultezAWS Directory Service APIautorisations : référence aux actions, aux ressources et aux conditions.

Pour plus d'informations sur l'activation AWS des applications et des services pour AWS Managed Microsoft AD, consultezAccès aux AWS applications et aux services depuis votre Microsoft AD AWS géré. Pour plus d'informations sur l'activation AWS des applications et des services pour Simple AD, consultezAccès aux AWS applications et aux services depuis votre Simple AD. Pour plus d'informations sur l'activation AWS des applications et des services pour AD Connector, consultezAccès aux AWS applications et aux services depuis AD Connector.

Annulation de l'autorisation d'une AWS application sur un Active Directory

L'ds:UnauthorizedApplicationautorisation est requise pour supprimer les autorisations permettant à une AWS application d'accéder à un Active Directory. Suivez la procédure fournie par l'application pour le désactiver.

AWS autorisation d'application avec Directory Service Data

Pour les annuaires Microsoft AD AWS gérés, les données du service d'annuaire (ds-data) API fournissent un accès programmatique aux tâches de gestion des utilisateurs et des groupes. Le modèle d'autorisation des AWS applications est distinct des contrôles d'accès aux données du service de répertoire, ce qui signifie que les politiques d'accès aux actions relatives aux données du service de répertoire n'ont aucune incidence sur l'autorisation des AWS applications. Le fait de refuser l'accès à un répertoire dans ds-data n'interrompra pas l'intégration de l' AWS application ni les cas d'utilisation des applications. AWS

Lorsque vous rédigez des politiques d'accès pour les annuaires Microsoft AD AWS gérés qui autorisent AWS les applications, sachez que les fonctionnalités relatives aux utilisateurs et aux groupes peuvent être disponibles en appelant une AWS application ou un service de données de service de répertoire autoriséAPI. Amazon WorkDocs, Amazon WorkMail, Amazon WorkSpaces, Amazon et Amazon QuickSight Chime proposent tous des actions de gestion des utilisateurs et des groupes dans leur. APIs Contrôlez l'accès à cette fonctionnalité de AWS l'application à IAM l'aide de politiques.

Exemples

Les extraits suivants montrent les méthodes incorrectes et correctes pour refuser des DeleteUser fonctionnalités lorsque AWS des applications, telles qu'Amazon et WorkDocs Amazon WorkMail, sont autorisées dans l'annuaire.

Incorrect

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "VisualEditor0",
            "Effect": "Deny",
            "Action": [
                "ds-data:DeleteUser"
            ],
            "Resource": "*"
        }
    ]
}

Correct

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "VisualEditor0",
            "Effect": "Deny",
            "Action": [
                "ds-data:DeleteUser",
                "workmail:DeleteUser",
                "workdocs:DeleteUser"
            ],
            "Resource": "*"
        }
    ]
}