IAMAutorisations requises pour l'archivage des instantanés Amazon EBS - Amazon EBS

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

IAMAutorisations requises pour l'archivage des instantanés Amazon EBS

Par défaut, les utilisateurs ne sont pas autorisés à utiliser l’archivage des instantanés. Pour autoriser les utilisateurs à utiliser l'archivage des instantanés, vous devez créer des IAM politiques autorisant l'utilisation de ressources et d'APIactions spécifiques. Pour plus d'informations, consultez la section Création IAM de politiques dans le guide de IAM l'utilisateur.

Pour utiliser l’archivage des instantanés, les utilisateurs ont besoin des autorisations suivantes.

  • ec2:DescribeSnapshotTierStatus

  • ec2:ModifySnapshotTier

  • ec2:RestoreSnapshotTier

Les utilisateurs de la console peuvent avoir besoin d’autorisations supplémentaires telles que ec2:DescribeSnapshots.

Pour archiver et restaurer des instantanés chiffrés, les AWS KMS autorisations supplémentaires suivantes sont requises.

  • kms:CreateGrant

  • kms:Decrypt

  • kms:DescribeKey

Voici un exemple de IAM politique qui autorise IAM les utilisateurs à archiver, restaurer et afficher des instantanés chiffrés et non chiffrés. Elle inclut l’autorisation ec2:DescribeSnapshots pour les utilisateurs de la console. Si certaines autorisations ne sont pas nécessaires, vous pouvez les supprimer de la politique.

Astuce

Pour suivre le principe du moindre privilège, n’autorisez pas l’accès complet à kms:CreateGrant. Utilisez plutôt la clé de kms:GrantIsForAWSResource condition pour permettre à l'utilisateur de créer des autorisations sur la KMS clé uniquement lorsque l'autorisation est créée en son nom par un AWS service, comme indiqué dans l'exemple suivant.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "ec2:DescribeSnapshotTierStatus",
            "ec2:ModifySnapshotTier",
            "ec2:RestoreSnapshotTier",
            "ec2:DescribeSnapshots",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:DescribeKey"
        ],
        "Resource": "*",
        "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
    }]
}

Pour activer l’accès, ajoutez des autorisations à vos utilisateurs, groupes ou rôles :