Amazon Fraud Detector n'est plus ouvert aux nouveaux clients depuis le 7 novembre 2025. Pour des fonctionnalités similaires à celles d'Amazon Fraud Detector SageMaker, explorez Amazon AutoGluon, et AWS WAF.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l'identité d'Amazon Fraud Detector

Par défaut, les utilisateurs et les rôles IAM ne sont pas autorisés à créer ou à modifier les ressources Amazon Fraud Detector. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API Console de gestion AWS AWS CLI, ou. Un administrateur doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d’API spécifiques sur les ressources spécifiées dont ils ont besoin. Il doit ensuite attacher ces stratégies aux utilisateurs ou aux groupes ayant besoin de ces autorisations.

Pour savoir comment créer une politique IAM basée sur l’identité à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Bonnes pratiques en matière de politiques

Identity-based les politiques déterminent si quelqu'un peut créer des ressources Amazon Fraud Detector sur votre compte, y accéder ou les supprimer. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

AWS-managed politique (prédéfinie) pour Amazon Fraud Detector

AWS répond à de nombreux cas d'utilisation courants en fournissant des politiques IAM autonomes créées et administrées par AWS. Ces politiques AWS gérées accordent les autorisations nécessaires pour les cas d'utilisation courants afin que vous n'ayez pas à rechercher quelles autorisations sont nécessaires. Pour plus d'informations, consultez AWS Managed Policies dans le Guide Gestion des identités et des accès AWS de l'utilisateur de gestion.

La politique AWS gérée suivante, que vous pouvez associer aux utilisateurs de votre compte, est spécifique à Amazon Fraud Detector :

AmazonFraudDetectorFullAccess: donne un accès complet aux ressources, aux actions et aux opérations prises en charge par Amazon Fraud Detector, notamment :

Cette politique ne fournit pas d'accès S3 illimité. Si vous devez télécharger des ensembles de données de formation de modèles vers S3, la politique AmazonS3FullAccess gérée (ou la politique d'accès Amazon S3 personnalisée limitée) est également requise.

Vous pouvez consulter les autorisations de la politique en vous connectant à la console IAM et en effectuant une recherche par nom de stratégie. Vous pouvez également créer vos propres politiques IAM personnalisées pour autoriser les actions et les ressources d'Amazon Fraud Detector selon vos besoins. Vous pouvez attacher ces stratégies personnalisées aux utilisateurs ou groupes qui les nécessitent.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut des autorisations pour effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Autoriser l'accès complet aux ressources d'Amazon Fraud Detector

L'exemple suivant donne à un utilisateur un accès Compte AWS complet à toutes les ressources et actions d'Amazon Fraud Detector.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        }
    ]
}

Autoriser l'accès en lecture seule aux ressources d'Amazon Fraud Detector

Dans cet exemple, vous accordez à un utilisateur de votre compte l'accès en Compte AWS lecture seule à vos ressources Amazon Fraud Detector.

Autoriser l'accès à une ressource spécifique

Dans cet exemple de politique au niveau des ressources, vous accordez à un utilisateur l' Compte AWS accès à toutes les actions et à toutes les ressources, à l'exception d'une ressource Detector particulière.

Autoriser l'accès à des ressources spécifiques lors de l'utilisation de l'API bimode

Amazon Fraud Detector fournit des API d'accès en mode double qui fonctionnent à la fois comme une opération de liste et une opération de description. Une API bimode, lorsqu'elle est appelée sans aucun paramètre, renvoie une liste des ressources spécifiées associées à votre Compte AWS. Une API bimode, lorsqu'elle est appelée avec un paramètre, renvoie les détails de la ressource spécifiée. La ressource peut être des modèles, des variables, des types d'événements ou des types d'entités.

Les API bimodes prennent en charge les autorisations au niveau des ressources dans les politiques IAM. Cependant, les autorisations au niveau des ressources ne sont appliquées que lorsqu'un ou plusieurs paramètres sont fournis dans le cadre de la demande. Par exemple, si l'utilisateur appelle l'GetVariablesAPI et fournit un nom de variable et si une politique IAM Deny est attachée à la ressource variable ou au nom de la variable, l'utilisateur recevra AccessDeniedException une erreur. Si l'utilisateur appelle l'GetVariablesAPI et ne spécifie pas de nom de variable, toutes les variables sont renvoyées, ce qui peut provoquer une fuite d'informations.

Pour permettre aux utilisateurs de consulter les détails de ressources spécifiques uniquement, utilisez un élément de NotResource politique IAM dans une politique de refus IAM. Une fois que vous avez ajouté cet élément de politique à une politique de refus IAM, les utilisateurs peuvent uniquement consulter les détails des ressources spécifiées dans le NotResource bloc. Pour plus d'informations, consultez la section Éléments de politique JSON IAM : NotResource dans le guide de l'utilisateur IAM.

L'exemple de politique suivant permet aux utilisateurs d'accéder à toutes les ressources d'Amazon Fraud Detector. Cependant, l'élément de NotResource politique est utilisé pour limiter les appels d'GetVariablesAPI aux seuls noms de variables avec les préfixes user*job_*, etvar*.

JSON

{
 "Version":"2012-10-17",
 "Statement": [
  {
    "Effect": "Allow",
    "Action": "frauddetector:*",
    "Resource": "*"
  },
 {
    "Effect": "Deny",
    "Action": "frauddetector:GetVariables",
    "NotResource": [
       "arn:aws:frauddetector:*:*:variable/user*",
       "arn:aws:frauddetector:*:*:variable/job_*",
       "arn:aws:frauddetector:*:*:variable/var*"
    ]
  }
 ]
}         
         

Réponse

Pour cet exemple de politique, la réponse présente le comportement suivant :

Limitation de l'accès en fonction des balises

Cet exemple de politique montre comment limiter l'accès à Amazon Fraud Detector en fonction des balises de ressources. Cet exemple part du principe que :

Voici un exemple de politique qui refuse des actions spécifiques sur toute ressource Amazon Fraud Detector dont la balise comporte une clé Project et une valeur de B :

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "frauddetector:*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",

      "Action": [

        "frauddetector:CreateModel",
        "frauddetector:CancelBatchPredictionJob",
        "frauddetector:CreateBatchPredictionJob",
        "frauddetector:DeleteBatchPredictionJob",
        "frauddetector:DeleteDetector"
      ],

      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "B"
        }
      }
    }
  ]
}