View a markdown version of this page

Comment ? AWS IoT fonctionne avec IAM - AWS IoT Core
AWS IoT politiques basées sur l’identitéAWS IoT stratégies basées sur les ressourcesAutorisation basée sur AWS IoT tagsAWS IoT Rôles IAM

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Comment ? AWS IoT fonctionne avec IAM

Avant d'utiliser IAM pour gérer l'accès à AWS IoT, vous devez connaître les fonctionnalités IAM disponibles. AWS IoT Pour obtenir une vue d'ensemble de la façon dont AWS IoT les autres AWS services fonctionnent avec IAM, consultez la section AWS Services qui fonctionnent avec IAM dans le Guide de l'utilisateur IAM.

AWS IoT politiques basées sur l’identité

Avec les politiques basées sur l'identité IAM, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. AWS IoT prend en charge des actions, ressources et clés de condition spécifiques. Pour en savoir plus sur tous les éléments que vous utilisez dans une politique JSON, consultez Références des éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

Actions

Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément Action d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.

Le tableau suivant répertorie les actions IAM IoT, l' AWS IoT API associée et la ressource que l'action manipule.

Actions de politique AWS IoT API Ressources
Internet des objets : AcceptCertificateTransfer AcceptCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Note

Le compte Compte AWS spécifié dans l'ARN doit être le compte vers lequel le certificat est transféré.
Internet des objets : AddThingToThingGroup AddThingToThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : AssociateTargetsWithJob AssociateTargetsWithJob Aucune
Internet des objets : AttachPolicy AttachPolicy

arn:aws:iot:region:account-id:thinggroup/thing-group-name

or

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : AttachPrincipalPolicy AttachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : AttachSecurityProfile AttachSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : AttachThingPrincipal AttachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : CancelCertificateTransfer CancelCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Note

Le compte Compte AWS spécifié dans l'ARN doit être le compte vers lequel le certificat est transféré.
Internet des objets : CancelJob CancelJob

arn:aws:iot:region:account-id:job/job-id
Internet des objets : CancelJobExecution CancelJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ClearDefaultAuthorizer ClearDefaultAuthorizer Aucune
Internet des objets : CreateAuthorizer CreateAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet des objets : CreateCertificateFromCsr CreateCertificateFromCsr *
Internet des objets : CreateDimension CreateDimension

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : CreateJob CreateJob

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet des objets : CreateJobTemplate CreateJobTemplate

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet des objets : CreateKeysAndCertificate CreateKeysAndCertificate *
Internet des objets : CreatePolicy CreatePolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : CreatePolicyVersion CreatePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name

Note

Il doit s'agir d'une AWS IoT politique et non d'une politique IAM.
Internet des objets : CreateRoleAlias CreateRoleAlias

(paramètre : roleAlias)

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : CreateSecurityProfile CreateSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : CreateThing CreateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : CreateThingGroup CreateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

pour le groupe en cours de création et pour le groupe parent, si utilisé
Internet des objets : CreateThingType CreateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : CreateTopicRule CreateTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : DeleteAuthorizer DeleteAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-name
iot:DeleteCACertificate DeleteCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet des objets : DeleteCertificate DeleteCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DeleteDimension DeleteDimension

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : DeleteJob DeleteJob

arn:aws:iot:region:account-id:job/job-id
Internet des objets : DeleteJobTemplate DeleteJobTemplate

arn:aws:iot:region:account-id:job/job-template-id
Internet des objets : DeleteJobExecution DeleteJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : DeletePolicy DeletePolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : DeletePolicyVersion DeletePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : DeleteRegistrationCode DeleteRegistrationCode *
Internet des objets : DeleteRoleAlias DeleteRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : DeleteSecurityProfile DeleteSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : DeleteThing DeleteThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : DeleteThingGroup DeleteThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DeleteThingType DeleteThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : DeleteTopicRule DeleteTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : DeleteV2LoggingLevel DeleteV2LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DeprecateThingType DeprecateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : DescribeAuthorizer DescribeAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name

(paramètre : authorizerName)

Aucune
iot:DescribeCACertificate DescribeCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet des objets : DescribeCertificate DescribeCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DescribeDefaultAuthorizer DescribeDefaultAuthorizer Aucune
Internet des objets : DescribeEndpoint DescribeEndpoint *
Internet des objets : DescribeEventConfigurations DescribeEventConfigurations Aucune
Internet des objets : DescribeIndex DescribeIndex

arn:aws:iot:region:account-id:index/index-name
Internet des objets : DescribeJob DescribeJob

arn:aws:iot:region:account-id:job/job-id
Internet des objets : DescribeJobExecution DescribeJobExecution Aucune
Internet des objets : DescribeJobTemplate DescribeJobTemplate

arn:aws:iot:region:account-id:job/job-template-id
Internet des objets : DescribeRoleAlias DescribeRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : DescribeThing DescribeThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : DescribeThingGroup DescribeThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DescribeThingRegistrationTask DescribeThingRegistrationTask Aucune
Internet des objets : DescribeThingType DescribeThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : DetachPolicy DetachPolicy

arn:aws:iot:region:account-id:cert/cert-id

or

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DetachPrincipalPolicy DetachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DetachSecurityProfile DetachSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : DetachThingPrincipal DetachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DisableTopicRule DisableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : EnableTopicRule EnableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : GetEffectivePolicies GetEffectivePolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : GetIndexingConfiguration GetIndexingConfiguration Aucune
Internet des objets : GetJobDocument GetJobDocument

arn:aws:iot:region:account-id:job/job-id
Internet des objets : GetLoggingOptions GetLoggingOptions *
Internet des objets : GetPolicy GetPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : GetPolicyVersion GetPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : GetRegistrationCode GetRegistrationCode *
Internet des objets : GetTopicRule GetTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : ListAttachedPolicies ListAttachedPolicies

arn:aws:iot:region:account-id:thinggroup/thing-group-name

or

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : ListAuthorizers ListAuthorizers Aucune
iot:ListCACertificates ListCACertificates *
Internet des objets : ListCertificates ListCertificates *
Internet des objets : ListCertificatesByCA ListCertificatesByCA *
Internet des objets : ListIndices ListIndices Aucune
Internet des objets : ListJobExecutionsForJob ListJobExecutionsForJob Aucune
Internet des objets : ListJobExecutionsForThing ListJobExecutionsForThing Aucune
Internet des objets : ListJobs ListJobs

arn:aws:iot:region:account-id:thinggroup/thing-group-name

si le GroupName paramètre Thing est utilisé
Internet des objets : ListJobTemplates ListJobs Aucune
Internet des objets : ListOutgoingCertificates ListOutgoingCertificates *
Internet des objets : ListPolicies ListPolicies *
Internet des objets : ListPolicyPrincipals ListPolicyPrincipals *
Internet des objets : ListPolicyVersions ListPolicyVersions

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : ListPrincipalPolicies ListPrincipalPolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : ListPrincipalThings ListPrincipalThings

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : ListRoleAliases ListRoleAliases Aucune
Internet des objets : ListTargetsForPolicy ListTargetsForPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : ListThingGroups ListThingGroups Aucune
Internet des objets : ListThingGroupsForThing ListThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ListThingPrincipals ListThingPrincipals

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ListThingRegistrationTaskReports ListThingRegistrationTaskReports Aucune
Internet des objets : ListThingRegistrationTasks ListThingRegistrationTasks Aucune
Internet des objets : ListThingTypes ListThingTypes *
Internet des objets : ListThings ListThings *
Internet des objets : ListThingsInThingGroup ListThingsInThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : ListTopicRules ListTopicRules *
Internet des objets : ListV2LoggingLevels ListV2LoggingLevels Aucune
iot:RegisterCACertificate RegisterCACertificate *
Internet des objets : RegisterCertificate RegisterCertificate *
Internet des objets : RegisterThing RegisterThing Aucune
Internet des objets : RejectCertificateTransfer RejectCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : RemoveThingFromThingGroup RemoveThingFromThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ReplaceTopicRule ReplaceTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : SearchIndex SearchIndex

arn:aws:iot:region:account-id:index/index-id
Internet des objets : SetDefaultAuthorizer SetDefaultAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet des objets : SetDefaultPolicyVersion SetDefaultPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : SetLoggingOptions SetLoggingOptions

arn:aws:iot:region:account-id:role/role-name
Internet des objets : SetV2LoggingLevel SetV2LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : SetV2LoggingOptions SetV2LoggingOptions

arn:aws:iot:region:account-id:role/role-name
Internet des objets : StartThingRegistrationTask StartThingRegistrationTask Aucune
Internet des objets : StopThingRegistrationTask StopThingRegistrationTask Aucune
Internet des objets : TestAuthorization TestAuthorization

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : TestInvokeAuthorizer TestInvokeAuthorizer Aucune
Internet des objets : TransferCertificate TransferCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : UpdateAuthorizer UpdateAuthorizer

arn:aws:iot:region:account-id:authorizerfunction/authorizer-function-name
iot:UpdateCACertificate UpdateCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet des objets : UpdateCertificate UpdateCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : UpdateDimension UpdateDimension

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : UpdateEventConfigurations UpdateEventConfigurations Aucune
Internet des objets : UpdateIndexingConfiguration UpdateIndexingConfiguration Aucune
Internet des objets : UpdateRoleAlias UpdateRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : UpdateSecurityProfile UpdateSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet des objets : UpdateThing UpdateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : UpdateThingGroup UpdateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : UpdateThingGroupsForThing UpdateThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:thinggroup/thing-group-name

Les actions de stratégie en AWS IoT cours utilisent le préfixe suivant avant l'action :iot:. Par exemple, pour autoriser une personne à répertorier tous les objets IoT enregistrés dans son Compte AWS ListThings API, vous incluez l'iot:ListThingsaction dans sa politique. Les déclarations de politique doivent inclure un NotAction élément Action ou. AWS IoT définit son propre ensemble d'actions qui décrivent les tâches que vous pouvez effectuer avec ce service.

Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit :

"Action": [
      "ec2:action1",
      "ec2:action2"

Vous pouvez aussi spécifier plusieurs actions à l’aide de caractères génériques (*). Par exemple, pour spécifier toutes les actions qui commencent par le mot Describe, incluez l’action suivante :

"Action": "iot:Describe*"

Pour consulter la liste des AWS IoT actions, consultez la section Actions définies par AWS IoT dans le Guide de l'utilisateur IAM.

Actions du Device Advisor

Le tableau suivant répertorie les actions IAM IoT Device Advisor, l'API Device Advisor AWS IoT associée et la ressource manipulée par l'action.

Actions de politique AWS IoT API Ressources
conseiller en matière d'appareils IoT : CreateSuiteDefinition CreateSuiteDefinition

Aucune
conseiller en matière d'appareils IoT : DeleteSuiteDefinition DeleteSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
conseiller en matière d'appareils IoT : GetSuiteDefinition GetSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
conseiller en matière d'appareils IoT : GetSuiteRun GetSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-run-id
conseiller en matière d'appareils IoT : GetSuiteRunReport GetSuiteRunReport

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
conseiller en matière d'appareils IoT : ListSuiteDefinitions ListSuiteDefinitions Aucune
conseiller en matière d'appareils IoT : ListSuiteRuns ListSuiteRuns

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
conseiller en matière d'appareils IoT : ListTagsForResource ListTagsForResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
conseiller en matière d'appareils IoT : StartSuiteRun StartSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
conseiller en matière d'appareils IoT : TagResource TagResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
conseiller en matière d'appareils IoT : UntagResource UntagResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
conseiller en matière d'appareils IoT : UpdateSuiteDefinition UpdateSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
conseiller en matière d'appareils IoT : StopSuiteRun StopSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id

Les actions de stratégie dans AWS IoT Device Advisor utilisent le préfixe suivant avant l'action :iotdeviceadvisor:. Par exemple, pour autoriser une personne à répertorier toutes les définitions de suites enregistrées dans Compte AWS celle-ci avec l' ListSuiteDefinitions API, vous incluez l'iotdeviceadvisor:ListSuiteDefinitionsaction dans sa politique.

Ressources

Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément de politique JSON Resource indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son Amazon Resource Name (ARN). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (*) afin d’indiquer que l’instruction s’applique à toutes les ressources.

"Resource": "*"
AWS IoT resources
Actions de politique AWS IoT API Ressources
Internet des objets : AcceptCertificateTransfer AcceptCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Note

Le compte Compte AWS spécifié dans l'ARN doit être le compte vers lequel le certificat est transféré.
Internet des objets : AddThingToThingGroup AddThingToThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : AssociateTargetsWithJob AssociateTargetsWithJob Aucune
Internet des objets : AttachPolicy AttachPolicy

arn:aws:iot:region:account-id:thinggroup/thing-group-name

or

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : AttachPrincipalPolicy AttachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : AttachThingPrincipal AttachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : CancelCertificateTransfer CancelCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Note

Le compte Compte AWS spécifié dans l'ARN doit être le compte vers lequel le certificat est transféré.
Internet des objets : CancelJob CancelJob

arn:aws:iot:region:account-id:job/job-id
Internet des objets : CancelJobExecution CancelJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ClearDefaultAuthorizer ClearDefaultAuthorizer Aucune
Internet des objets : CreateAuthorizer CreateAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet des objets : CreateCertificateFromCsr CreateCertificateFromCsr *
Internet des objets : CreateJob CreateJob

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet des objets : CreateJobTemplate CreateJobTemplate

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet des objets : CreateKeysAndCertificate CreateKeysAndCertificate *
Internet des objets : CreatePolicy CreatePolicy

arn:aws:iot:region:account-id:policy/policy-name
CreatePolicyVersion Internet des objets : CreatePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name

Note

Il doit s'agir d'une AWS IoT politique et non d'une politique IAM.
Internet des objets : CreateRoleAlias CreateRoleAlias

(paramètre : roleAlias)

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : CreateThing CreateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : CreateThingGroup CreateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

pour le groupe en cours de création et pour le groupe parent, si utilisé
Internet des objets : CreateThingType CreateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : CreateTopicRule CreateTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : DeleteAuthorizer DeleteAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-name
iot:DeleteCACertificate DeleteCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet des objets : DeleteCertificate DeleteCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DeleteJob DeleteJob

arn:aws:iot:region:account-id:job/job-id
Internet des objets : DeleteJobExecution DeleteJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : DeleteJobTemplate DeleteJobTemplate

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet des objets : DeletePolicy DeletePolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : DeletePolicyVersion DeletePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : DeleteRegistrationCode DeleteRegistrationCode *
Internet des objets : DeleteRoleAlias DeleteRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : DeleteThing DeleteThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : DeleteThingGroup DeleteThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DeleteThingType DeleteThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : DeleteTopicRule DeleteTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : DeleteV2LoggingLevel DeleteV2LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DeprecateThingType DeprecateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : DescribeAuthorizer DescribeAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name

(paramètre : authorizerName)

Aucune
iot:DescribeCACertificate DescribeCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet des objets : DescribeCertificate DescribeCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DescribeDefaultAuthorizer DescribeDefaultAuthorizer Aucune
Internet des objets : DescribeEndpoint DescribeEndpoint *
Internet des objets : DescribeEventConfigurations DescribeEventConfigurations Aucune
Internet des objets : DescribeIndex DescribeIndex

arn:aws:iot:region:account-id:index/index-name
Internet des objets : DescribeJob DescribeJob

arn:aws:iot:region:account-id:job/job-id
Internet des objets : DescribeJobExecution DescribeJobExecution Aucune
Internet des objets : DescribeJobTemplate DescribeJobTemplate

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet des objets : DescribeRoleAlias DescribeRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : DescribeThing DescribeThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : DescribeThingGroup DescribeThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DescribeThingRegistrationTask DescribeThingRegistrationTask Aucune
Internet des objets : DescribeThingType DescribeThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet des objets : DetachPolicy DetachPolicy

arn:aws:iot:region:account-id:cert/cert-id

or

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : DetachPrincipalPolicy DetachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DetachThingPrincipal DetachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : DisableTopicRule DisableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : EnableTopicRule EnableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : GetEffectivePolicies GetEffectivePolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : GetIndexingConfiguration GetIndexingConfiguration Aucune
Internet des objets : GetJobDocument GetJobDocument

arn:aws:iot:region:account-id:job/job-id
Internet des objets : GetLoggingOptions GetLoggingOptions *
Internet des objets : GetPolicy GetPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : GetPolicyVersion GetPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : GetRegistrationCode GetRegistrationCode *
Internet des objets : GetTopicRule GetTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : ListAttachedPolicies ListAttachedPolicies

arn:aws:iot:region:account-id:thinggroup/thing-group-name

or

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : ListAuthorizers ListAuthorizers Aucune
iot:ListCACertificates ListCACertificates *
Internet des objets : ListCertificates ListCertificates *
Internet des objets : ListCertificatesByCA ListCertificatesByCA *
Internet des objets : ListIndices ListIndices Aucune
Internet des objets : ListJobExecutionsForJob ListJobExecutionsForJob Aucune
Internet des objets : ListJobExecutionsForThing ListJobExecutionsForThing Aucune
Internet des objets : ListJobs ListJobs

arn:aws:iot:region:account-id:thinggroup/thing-group-name

si le GroupName paramètre Thing est utilisé
Internet des objets : ListJobTemplates ListJobTemplates Aucune
Internet des objets : ListOutgoingCertificates ListOutgoingCertificates *
Internet des objets : ListPolicies ListPolicies *
Internet des objets : ListPolicyPrincipals ListPolicyPrincipals

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : ListPolicyVersions ListPolicyVersions

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : ListPrincipalPolicies ListPrincipalPolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : ListPrincipalThings ListPrincipalThings

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : ListRoleAliases ListRoleAliases Aucune
Internet des objets : ListTargetsForPolicy ListTargetsForPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : ListThingGroups ListThingGroups Aucune
Internet des objets : ListThingGroupsForThing ListThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ListThingPrincipals ListThingPrincipals

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ListThingRegistrationTaskReports ListThingRegistrationTaskReports Aucune
Internet des objets : ListThingRegistrationTasks ListThingRegistrationTasks Aucune
Internet des objets : ListThingTypes ListThingTypes *
Internet des objets : ListThings ListThings *
Internet des objets : ListThingsInThingGroup ListThingsInThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : ListTopicRules ListTopicRules *
Internet des objets : ListV2LoggingLevels ListV2LoggingLevels Aucune
iot:RegisterCACertificate RegisterCACertificate *
Internet des objets : RegisterCertificate RegisterCertificate *
Internet des objets : RegisterThing RegisterThing Aucune
Internet des objets : RejectCertificateTransfer RejectCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : RemoveThingFromThingGroup RemoveThingFromThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : ReplaceTopicRule ReplaceTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet des objets : SearchIndex SearchIndex

arn:aws:iot:region:account-id:index/index-id
Internet des objets : SetDefaultAuthorizer SetDefaultAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet des objets : SetDefaultPolicyVersion SetDefaultPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet des objets : SetLoggingOptions SetLoggingOptions *
Internet des objets : SetV2LoggingLevel SetV2LoggingLevel *
Internet des objets : SetV2LoggingOptions SetV2LoggingOptions *
Internet des objets : StartThingRegistrationTask StartThingRegistrationTask Aucune
Internet des objets : StopThingRegistrationTask StopThingRegistrationTask Aucune
Internet des objets : TestAuthorization TestAuthorization

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : TestInvokeAuthorizer TestInvokeAuthorizer Aucune
Internet des objets : TransferCertificate TransferCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : UpdateAuthorizer UpdateAuthorizer

arn:aws:iot:region:account-id:authorizerfunction/authorizer-function-name
iot:UpdateCACertificate UpdateCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet des objets : UpdateCertificate UpdateCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet des objets : UpdateEventConfigurations UpdateEventConfigurations Aucune
Internet des objets : UpdateIndexingConfiguration UpdateIndexingConfiguration Aucune
Internet des objets : UpdateRoleAlias UpdateRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet des objets : UpdateThing UpdateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet des objets : UpdateThingGroup UpdateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet des objets : UpdateThingGroupsForThing UpdateThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name

Pour plus d'informations sur le format des ARN, consultez Amazon Resource Names (ARNs) et AWS Service Namespaces.

Certaines AWS IoT actions, telles que celles relatives à la création de ressources, ne peuvent pas être effectuées sur une ressource spécifique. Dans ces cas-là, vous devez utiliser le caractère générique (*).

"Resource": "*"

Pour consulter la liste des types de AWS IoT ressources et de leurs ARN, consultez la section Ressources définies par AWS IoT dans le guide de l'utilisateur IAM. Pour savoir grâce à quelles actions vous pouvez spécifier l’ARN de chaque ressource, consultez Actions définies par AWS IoT.

ressources Device Advisor

Pour définir des restrictions au niveau des ressources pour les politiques IAM de AWS IoT Device Advisor, utilisez les formats ARN de ressources suivants pour les définitions et les exécutions des suites.

Format ARN de la ressource de définition de suite

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

Format ARN de la ressource d'exécution de la suite

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id

Clés de condition

Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément Condition indique à quel moment les instructions s’exécutent en fonction de critères définis. Vous pouvez créer des expressions conditionnelles qui utilisent des opérateurs de condition, tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande. Pour voir toutes les clés de condition AWS globales, consultez les clés contextuelles de conditions AWS globales dans le guide de l'utilisateur IAM.

AWS IoT définit son propre ensemble de clés de condition et prend également en charge l'utilisation de certaines clés de condition globales. Pour voir toutes les clés de condition AWS globales, consultez la section Clés contextuelles de condition AWS globale dans le guide de l'utilisateur IAM.

AWS IoT clés de condition
AWS IoT clés de condition Description Type
aws:RequestTag/${tag-key} Clé de balise présente dans la demande envoyée par l'utilisateur à AWS IoT. Chaîne
aws:ResourceTag/${tag-key} Composant clé d'une étiquette attachée à une AWS IoT ressource. Chaîne
aws:TagKeys Liste de tous les noms de clés de balise associés à la ressource de la demande. Chaîne

Pour consulter la liste des clés de AWS IoT condition, reportez-vous à la section Clés de AWS IoT condition du guide de l'utilisateur IAM. Pour savoir avec quelles actions et quelles ressources vous pouvez utiliser une clé de condition, voir Actions définies par AWS IoT.

Exemples

Pour consulter des exemples de politiques AWS IoT basées sur l'identité, consultez. AWS IoT exemples de politiques fondées sur l'identité

AWS IoT stratégies basées sur les ressources

Resource-based les politiques sont des documents de politique JSON qui spécifient les actions qu'un principal spécifié peut effectuer sur la AWS IoT ressource et dans quelles conditions.

AWS IoT ne prend pas en charge les politiques basées sur les ressources IAM. Il soutient toutefois les politiques AWS IoT fondées sur les ressources. Pour de plus amples informations, veuillez consulter AWS IoT Core politiques.

Autorisation basée sur AWS IoT tags

Vous pouvez joindre des balises à AWS IoT des ressources ou transmettre des balises dans une demande à AWS IoT. Pour contrôler l’accès basé sur des étiquettes, vous devez fournir les informations d’étiquette dans l’élément de condition d’une politique utilisant les clés de condition iot:ResourceTag/key-name, aws:RequestTag/key-name ou aws:TagKeys. Pour de plus amples informations, veuillez consulter Utilisation des balises avec des politiques IAM. Pour plus d'informations sur le balisage AWS IoT des ressources, consultezMarquer vos ressources AWS IoT.

Pour afficher un exemple de stratégie basée sur l'identité permettant de limiter l'accès à une ressource basée sur les balises de cette ressource, veuillez consulter Visualisation AWS IoT ressources basées sur des balises.

AWS IoT Rôles IAM

Un rôle IAM est une entité au sein de votre organisation Compte AWS qui possède des autorisations spécifiques.

Utilisation d'informations d'identification temporaires avec AWS IoT

Vous pouvez utiliser des informations d’identification temporaires pour vous connecter à l’aide de la fédération, endosser un rôle IAM ou encore pour endosser un rôle intercompte. Vous pouvez obtenir des informations d'identification de sécurité temporaires en appelant des opérations d' AWS STS API telles que AssumeRole ou GetFederationToken.

AWS IoT prend en charge l'utilisation d'informations d'identification temporaires.

Service-linked rôles

Service-linked les rôles permettent aux AWS services d'accéder à des ressources dans d'autres services pour effectuer une action en votre nom. Service-linked les rôles apparaissent dans votre compte IAM et appartiennent au service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service.

AWS IoT ne prend pas en charge les rôles liés aux services.

Rôles du service

Cette fonction permet à un service d’endosser une fonction du service en votre nom. Ce rôle autorise le service à accéder à des ressources d’autres services pour effectuer une action en votre nom. Les rôles de service s’affichent dans votre compte IAM et sont la propriété du compte. Cela signifie qu’un administrateur IAM peut modifier les autorisations associées à ce rôle. Toutefois, une telle action peut perturber le bon fonctionnement du service.