Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l'identité d'Amazon Fraud Detector

Par défaut, les utilisateurs et les IAM rôles ne sont pas autorisés à créer ou à modifier les ressources Amazon Fraud Detector. Ils ne peuvent pas non plus effectuer de tâches à l'aide du AWS Management Console, AWS CLI, ou AWS API. Un administrateur doit créer des IAM politiques qui accordent aux utilisateurs et aux rôles l'autorisation d'effectuer des API opérations spécifiques sur les ressources spécifiques dont ils ont besoin. Il doit ensuite attacher ces stratégies aux utilisateurs ou aux groupes ayant besoin de ces autorisations.

Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, voir Création de politiques dans l'JSONonglet du guide de l'IAMutilisateur.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer les ressources Amazon Fraud Detector de votre compte. Ces actions peuvent entraîner des coûts pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l'identité, suivez les directives et recommandations suivantes :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

AWS-politique gérée (prédéfinie) pour Amazon Fraud Detector

AWS répond à de nombreux cas d'utilisation courants en fournissant des IAM politiques autonomes créées et administrées par AWS. Ces AWS les politiques gérées accordent les autorisations nécessaires pour les cas d'utilisation courants afin que vous n'ayez pas à rechercher les autorisations nécessaires. Pour plus d'informations, consultez la section Politiques AWS gérées dans le AWS Identity and Access Management Guide de l'utilisateur de gestion.

Procédez comme suit : AWS la politique gérée, que vous pouvez associer aux utilisateurs de votre compte, est spécifique à Amazon Fraud Detector :

AmazonFraudDetectorFullAccess: accorde un accès complet aux ressources, aux actions et aux opérations prises en charge par Amazon Fraud Detector, notamment :

Cette politique ne fournit pas un accès illimité à S3. Si vous devez télécharger des ensembles de données d'entraînement de modèles vers S3, la politique AmazonS3FullAccess gérée (ou la politique d'accès Amazon S3 personnalisée et délimitée) est également requise.

Vous pouvez consulter les autorisations de la politique en vous connectant à la IAM console et en effectuant une recherche par nom de politique. Vous pouvez également créer vos propres IAM politiques personnalisées pour autoriser les actions et les ressources d'Amazon Fraud Detector selon vos besoins. Vous pouvez attacher ces stratégies personnalisées aux utilisateurs ou groupes qui les nécessitent.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux IAM utilisateurs de consulter les politiques intégrées et gérées associées à leur identité d'utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide du AWS CLI or AWS API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Autoriser un accès complet aux ressources d'Amazon Fraud Detector

L'exemple suivant montre un utilisateur dans votre Compte AWS accès complet à toutes les ressources et actions d'Amazon Fraud Detector.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        }
    ]
}

Autoriser l'accès en lecture seule aux ressources d'Amazon Fraud Detector

Dans cet exemple, vous accordez à un utilisateur dans votre Compte AWS accès en lecture seule à vos ressources Amazon Fraud Detector.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:GetEventTypes",
                "frauddetector:BatchGetVariable",
                "frauddetector:DescribeDetector",
                "frauddetector:GetModelVersion",
                "frauddetector:GetEventPrediction",
                "frauddetector:GetExternalModels",
                "frauddetector:GetLabels",
                "frauddetector:GetVariables",
                "frauddetector:GetDetectors",
                "frauddetector:GetRules",
                "frauddetector:ListTagsForResource",
                "frauddetector:GetKMSEncryptionKey",
                "frauddetector:DescribeModelVersions",
                "frauddetector:GetDetectorVersion",
                "frauddetector:GetPrediction",
                "frauddetector:GetOutcomes",
                "frauddetector:GetEntityTypes",
                "frauddetector:GetModels"
            ],
            "Resource": "*"
        }
    ]
}

Autoriser l'accès à une ressource spécifique

Dans cet exemple de politique au niveau des ressources, vous accordez à un utilisateur dans votre Compte AWS accès à toutes les actions et ressources, à l'exception d'une ressource particulière du détecteur.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "frauddetector:*Detector"
            ],
            "Resource": "arn:${Partition}:frauddetector:${Region}:${Account}:detector/${detector-name}"
        }
    ]
}

Autoriser l'accès à des ressources spécifiques lors de l'utilisation du mode double API

Amazon Fraud Detector propose un mode bimode APIs qui fonctionne à la fois sous forme de liste et de description. Un mode double, API lorsqu'il est appelé sans aucun paramètre, renvoie une liste de la ressource spécifiée associée à votre Compte AWS. Un mode double, API lorsqu'il est appelé avec un paramètre, renvoie les détails de la ressource spécifiée. Les ressources peuvent être des modèles, des variables, des types d'événements ou des types d'entités.

Le mode double APIs prend en charge les autorisations au niveau des ressources dans IAM les politiques. Toutefois, les autorisations au niveau des ressources ne sont appliquées que lorsqu'un ou plusieurs paramètres sont fournis dans le cadre de la demande. Par exemple, si l'utilisateur appelle GetVariablesAPIet fournit un nom de variable et si une politique de IAM refus est attachée à la ressource variable ou au nom de variable, l'utilisateur recevra AccessDeniedException une erreur. Si l'utilisateur appelle GetVariables API sans spécifier de nom de variable, toutes les variables sont renvoyées, ce qui peut entraîner une fuite d'informations.

Pour permettre aux utilisateurs de consulter les détails de ressources spécifiques uniquement, utilisez un élément IAM NotResource de politique dans une politique de IAM refus. Une fois que vous avez ajouté cet élément de stratégie à une politique de IAM refus, les utilisateurs peuvent uniquement consulter les détails des ressources spécifiées dans le NotResource bloc. Pour plus d'informations, voir Éléments IAM JSON de politique : NotResource dans le Guide de IAM l'utilisateur.

L'exemple de politique suivant permet aux utilisateurs d'accéder à toutes les ressources d'Amazon Fraud Detector. Cependant, l'élément de NotResource politique est utilisé pour limiter GetVariablesAPIles appels aux seuls noms de variables avec les préfixes user*job_*, etvar*.

{
 "Version": "2012-10-17",
 "Statement": [
  {
    "Effect": "Allow",
    "Action": "frauddetector:*",
    "Resource": "*"
  },
 {
    "Effect": "Deny",
    "Action": "frauddetector:GetVariables",
    "NotResource": [
       "arn:aws:frauddetector:*:*:variable/user*",
       "arn:aws:frauddetector:*:*:variable/job_*",
       "arn:aws:frauddetector:*:*:variable/var*"
    ]
  }
 ]
}         
         

Réponse

Pour cet exemple de politique, la réponse présente le comportement suivant :

Limiter l'accès en fonction des balises

Cet exemple de politique montre comment limiter l'accès à Amazon Fraud Detector en fonction des balises de ressources. Cet exemple suppose que :

Voici un exemple de politique interdisant des actions spécifiques sur toute ressource Amazon Fraud Detector dont le tag comporte une clé Project et une valeur de B :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "frauddetector:*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",

      "Action": [

        "frauddetector:CreateModel",
        "frauddetector:CancelBatchPredictionJob",
        "frauddetector:CreateBatchPredictionJob",
        "frauddetector:DeleteBatchPredictionJob",
        "frauddetector:DeleteDetector"
      ],

      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "B"
        }
      }
    }
  ]
}