Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l'identité pour Macie

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources Macie. Ils ne peuvent pas non plus effectuer de tâches en utilisant le AWS Management Console, AWS Command Line Interface (AWS CLI) ou AWS API. Pour autoriser les utilisateurs à effectuer des actions sur les ressources dont ils ont besoin, un IAM administrateur peut créer des IAM politiques. L'administrateur peut ensuite ajouter les IAM politiques aux rôles, et les utilisateurs peuvent assumer les rôles.

Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, consultez la section Création de IAM politiques dans le guide de l'IAMutilisateur.

Pour plus de détails sur les actions et les types de ressources définis par Macie, y compris le format ARNs de chaque type de ressource, consultez la section Actions, ressources et clés de condition pour Amazon Macie dans la référence d'autorisation de service.

Lorsque vous créez une politique, veillez à résoudre les avertissements de sécurité, les erreurs, les avertissements généraux et les suggestions de AWS Identity and Access Management Access Analyzer (IAMAccess Analyzer) avant de l'enregistrer. IAMAccess Analyzer exécute des vérifications de politique pour valider une politique par rapport à la grammaire des IAM politiques et aux meilleures pratiques. Ces vérifications génèrent des résultats et fournissent des recommandations exploitables pour vous aider à créer des stratégies fonctionnelles et conformes aux bonnes pratiques en matière de sécurité. Pour en savoir plus sur la validation des politiques à l'aide d'IAMAccess Analyzer, consultez la section Validation des politiques IAM Access Analyzer dans le guide de l'IAMutilisateur. Pour consulter la liste des avertissements, des erreurs et des suggestions qu'IAMAccess Analyzer peut renvoyer, consultez la référence de vérification des politiques IAM d'Access Analyzer dans le guide de l'IAMutilisateur.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer les ressources Macie de votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

Utilisation de la console Amazon Macie

Pour accéder à la console Amazon Macie, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les détails des ressources Macie de votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement le AWS CLI ou le AWS API. Au lieu de cela, autorisez uniquement l'accès aux actions correspondant à l'APIopération qu'ils tentent d'effectuer.

Pour garantir que les utilisateurs et les rôles peuvent utiliser la console Amazon Macie, créez des IAM politiques qui leur fournissent un accès à la console. Pour plus d'informations, consultez la section Politiques et autorisations IAM dans le guide de IAM l'utilisateur.

Si vous créez une politique qui autorise les utilisateurs ou les rôles à utiliser la console Amazon Macie, assurez-vous qu'elle autorise l'macie2:GetMacieSessionaction. Dans le cas contraire, ces utilisateurs ou rôles ne pourront accéder à aucune ressource ou donnée Macie sur la console.

Assurez-vous également que la politique autorise les macie2:List actions appropriées pour les ressources auxquelles ces utilisateurs ou rôles doivent accéder sur la console. Dans le cas contraire, ils ne pourront pas accéder à ces ressources ou les afficher sur la console. Par exemple, pour consulter les détails d'une tâche de découverte de données sensibles à l'aide de la console, un utilisateur doit être autorisé à effectuer l'macie2:DescribeClassificationJobaction correspondant à la tâche et à l'macie2:ListClassificationJobsaction. Si un utilisateur n'est pas autorisé à effectuer l'macie2:ListClassificationJobsaction, il ne pourra pas afficher la liste des tâches sur la page Tâches de la console et ne pourra donc pas choisir la tâche pour afficher ses détails. Pour que les détails incluent des informations sur un identifiant de données personnalisé utilisé par la tâche, l'utilisateur doit également être autorisé à effectuer l'macie2:BatchGetCustomDataIdentifiersaction pour l'identifiant de données personnalisé.

Exemple : autoriser les utilisateurs à revoir leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux IAM utilisateurs de consulter les politiques intégrées et gérées associées à leur identité d'utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide du AWS CLI ou. AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Exemple : autoriser les utilisateurs à créer des tâches de découverte de données sensibles

Cet exemple montre comment créer une politique permettant à un utilisateur de créer des tâches de découverte de données sensibles.

Dans l'exemple, la première instruction accorde des macie2:CreateClassificationJob autorisations à l'utilisateur. Ces autorisations permettent à l'utilisateur de créer des tâches. La déclaration accorde également des macie2:DescribeClassificationJob autorisations. Ces autorisations permettent à l'utilisateur d'accéder aux détails des tâches existantes. Bien que ces autorisations ne soient pas nécessaires pour créer des tâches, l'accès à ces informations peut aider l'utilisateur à créer des tâches dotées de paramètres de configuration uniques.

La deuxième instruction de l'exemple permet à l'utilisateur de créer, de configurer et de réviser des tâches à l'aide de la console Amazon Macie. Les macie2:ListClassificationJobs autorisations permettent à l'utilisateur d'afficher les tâches existantes sur la page Tâches de la console. Toutes les autres autorisations de l'instruction permettent à l'utilisateur de configurer et de créer une tâche à l'aide des pages Créer une tâche de la console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAndReviewJobs",
            "Effect": "Allow",
            "Action": [
                "macie2:CreateClassificationJob",
                "macie2:DescribeClassificationJob"
            ],
            "Resource": "arn:aws:macie2:*:*:classification-job/*"
        },
        {
            "Sid": "CreateAndReviewJobsOnConsole",
            "Effect": "Allow",
            "Action": [
                "macie2:ListClassificationJobs",
                "macie2:ListAllowLists",
                "macie2:ListCustomDataIdentifiers",
                "macie2:ListManagedDataIdentifiers",
                "macie2:SearchResources",
                "macie2:DescribeBuckets"
            ],
            "Resource": "*"
        }
    ]
}

Exemple : autoriser les utilisateurs à gérer une tâche de découverte de données sensibles

Cet exemple montre comment créer une politique permettant à un utilisateur d'accéder aux détails d'une tâche de découverte de données sensibles particulière, tâche dont l'identifiant est3ce05dbb7ec5505def334104bexample. L'exemple permet également à l'utilisateur de modifier le statut de la tâche si nécessaire.

La première instruction de l'exemple accorde macie2:DescribeClassificationJob des macie2:UpdateClassificationJob autorisations à l'utilisateur. Ces autorisations permettent à l'utilisateur de récupérer les détails de la tâche et de modifier le statut de la tâche, respectivement. La deuxième instruction accorde des macie2:ListClassificationJobs autorisations à l'utilisateur, ce qui lui permet d'accéder à la tâche en utilisant la page Tâches de la console Amazon Macie.

{
   "Version": "2012-10-17",
   "Statement": [
	{
         "Sid": "ManageOneJob",
         "Effect": "Allow",
         "Action": [
            "macie2:DescribeClassificationJob",
            "macie2:UpdateClassificationJob"
         ],
         "Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample"
	},
	{
         "Sid": "ListJobsOnConsole",
         "Effect": "Allow",
         "Action": "macie2:ListClassificationJobs",
         "Resource": "*"
	}
   ]
}

Vous pouvez également autoriser l'utilisateur à accéder aux données de journalisation (événements de journalisation) que Macie publie sur Amazon CloudWatch Logs pour le travail. Pour ce faire, vous pouvez ajouter des instructions qui accordent l'autorisation d'exécuter des actions CloudWatch Logs (logs) sur le groupe de journaux et de streamer pour la tâche. Par exemple :

"Statement": [
    {
        "Sid": "AccessLogGroupForMacieJobs",
        "Effect": "Allow",
        "Action": [
            "logs:DescribeLogGroups",
            "logs:DescribeLogStreams"
        ],
        "Resource": "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs"
    },
    {
        "Sid": "AccessLogEventsForOneMacieJob",
        "Effect": "Allow",
        "Action": "logs:GetLogEvents",
        "Resource": [
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs/*",
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs:log-stream:3ce05dbb7ec5505def334104bexample"
        ]
    }
]

Pour plus d'informations sur la gestion de l'accès aux CloudWatch journaux, consultez la section Présentation de la gestion des autorisations d'accès à vos ressources de CloudWatch journaux dans le guide de l'utilisateur Amazon CloudWatch Logs.

Exemple : autoriser les utilisateurs à consulter les résultats

Cet exemple montre comment créer une politique permettant à un utilisateur d'accéder aux données des résultats.

Dans cet exemple, les macie2:GetFindingStatistics autorisations macie2:GetFindings et permettent à l'utilisateur de récupérer les données à l'aide de la console Amazon Macie API ou Amazon Macie. Les macie2:ListFindings autorisations permettent à l'utilisateur de récupérer et de consulter les données à l'aide du tableau de bord récapitulatif et des pages de résultats de la console Amazon Macie.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        }
    ]
}

Vous pouvez également autoriser l'utilisateur à créer et à gérer des règles de filtrage et des règles de suppression pour les résultats. Pour ce faire, vous pouvez inclure une instruction qui accorde les autorisations suivantes : macie2:CreateFindingsFiltermacie2:GetFindingsFilter,macie2:UpdateFindingsFilter, etmacie2:DeleteFindingsFilter. Pour permettre à l'utilisateur de gérer les règles à l'aide de la console Amazon Macie, incluez également macie2:ListFindingsFilters les autorisations dans la politique. Par exemple :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ManageRules",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindingsFilter",
                "macie2:UpdateFindingsFilter",
                "macie2:CreateFindingsFilter",
                "macie2:DeleteFindingsFilter"
            ],
            "Resource": "arn:aws:macie2:*:*:findings-filter/*"
        },
        {
            "Sid": "ListRulesOnConsole",
            "Effect": "Allow",
            "Action": "macie2:ListFindingsFilters",
            "Resource": "*"
        }
    ]
}

Exemple : autoriser les utilisateurs à consulter les identifiants de données personnalisés en fonction des balises

Dans les politiques basées sur l'identité, vous pouvez utiliser des conditions pour contrôler l'accès aux ressources Amazon Macie en fonction de balises. Cet exemple montre comment créer une politique permettant à un utilisateur de consulter des identifiants de données personnalisés à l'aide de la console Amazon Macie ou d'Amazon Macie. API Toutefois, l'autorisation n'est accordée que si la valeur de la Owner balise est le nom d'utilisateur de l'utilisateur.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewCustomDataIdentifiersIfOwner",
            "Effect": "Allow",
            "Action": "macie2:GetCustomDataIdentifier",
            "Resource": "arn:aws:macie2:*:*:custom-data-identifier/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        },
        {
            "Sid": "ListCustomDataIdentifiersOnConsoleIfOwner",
            "Effect": "Allow",
            "Action": "macie2:ListCustomDataIdentifiers",
            "Resource": "*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

Dans cet exemple, si un utilisateur possédant le nom d'utilisateur richard-roe tente de consulter les détails d'un identifiant de données personnalisé, celui-ci doit être étiqueté Owner=richard-roe ouowner=richard-roe. Dans le cas contraire, l’utilisateur se voit refuser l'accès. La clé de balise de condition Owner correspond aux deux, owner car Owner les noms des clés de condition ne distinguent pas les majuscules et minuscules. Pour plus d'informations, voir Éléments IAM JSON de politique : Condition dans le guide de IAM l'utilisateur.