View a markdown version of this page

Création de rôles non-administrateurs - AWS Elemental MediaConnect
Étape 1 : créer une politique non administrativeÉtape 2 : Création de rôles non-administrateursÉtape 3 : Assumer le rôle

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création de rôles non-administrateurs

Les utilisateurs du groupe Administrateurs d'un compte ont accès à tous les AWS services et ressources de ce compte. L'octroi d'un accès direct à toutes les AWS ressources va à l'encontre de la meilleure pratique consistant à appliquer les autorisations les moins privilégiées à un utilisateur. Cette section explique comment créer des rôles avec des autorisations limitées à AWS Elemental. MediaConnect Cette section décrit également comment vos utilisateurs peuvent assumer ce rôle pour accorder des informations d'identification sécurisées et temporaires.

Étape 1 : créer une politique non administrative

Créez deux politiques pour AWS Elemental MediaConnect : l'une pour fournir un read/write accès et l'autre pour fournir un accès en lecture seule. Exécutez ces étapes une seule fois pour chaque stratégie. Plus tard, vous associerez ces règles aux rôles. Ces rôles peuvent ensuite être temporairement assumés par les utilisateurs pour leur accorder l'accès MediaConnect.

Pour créer des stratégies

  1. Utilisez l'ID ou l'alias de votre AWS compte, ainsi que les informations d'identification de votre administrateur, pour vous connecter à la console https://console.aws.amazon.com/iam IAM.

  2. Dans le volet de navigation de la console, choisissez Stratégies.

  3. Sur la page Politiques, créez une politique nommée MediaConnectAllAccess qui autorise toutes les actions sur toutes les ressources d'AWS Elemental MediaConnect :

    1. Choisissez Create Policy (Créer une politique).

    2. Choisissez l'onglet JSON et collez la stratégie suivante :

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "mediaconnect:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ec2:DescribeAvailabilityZones"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
         {
            "Action": [
                "cloudwatch:GetMetricData"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
           "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "mediaconnect.amazonaws.com"
                }
            }
        }
    ]
}

      Cette politique autorise toutes les actions sur toutes les ressources d'AWS Elemental. MediaConnect

    3. Choisissez Suivant : Balises.

    4. Choisissez Suivant : Vérification.

    5. Sur la page Réviser et créer, dans Nom de la politique, saisissezMediaConnectAllAccess, puis choisissez Créer une stratégie.

  4. Sur la page Politiques, créez une politique en lecture seule nommée MediaConnectReadOnlyAccess pour AWS Elemental : MediaConnect

    1. Choisissez Create Policy (Créer une politique).

    2. Choisissez l'onglet JSON et collez la stratégie suivante :

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "mediaconnect:List*",
                "mediaconnect:Describe*",
                "mediaconnect:Get*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ec2:DescribeAvailabilityZones"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
         {
            "Action": [
                "cloudwatch:GetMetricData"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
           "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "mediaconnect.amazonaws.com"
                }
            }
        }
    ]
}

    3. Choisissez Suivant : Balises.

    4. Choisissez Suivant : Vérification.

    5. Sur la page Réviser et créer, dans Nom de la politique, saisissezMediaConnectReadOnlyAccess, puis choisissez Créer une stratégie.

Étape 2 : Création de rôles non-administrateurs

Vous pouvez créer un rôle pour chaque politique et les utilisateurs peuvent assumer ce rôle, au lieu d'associer des politiques individuelles à chaque utilisateur. À l'aide de la procédure suivante, créez deux rôles : l'un pour la MediaConnectAllAccess stratégie et l'autre pour la MediaConnectReadOnlyAccess stratégie.

Pour créer des rôles

  1. Dans le panneau de navigation de la console IAM, choisissez Rôles.

  2. Sur la page Rôles, créez un rôle d'administrateur à l'aide de la MediaConnectAllAccess politique suivante :

    1. Choisissez Créer un rôle.

    2. Dans la section Sélectionner une entité de confiance, sélectionnez un AWS compte.

    3. Dans la section Un AWS compte, sélectionnez le compte des utilisateurs qui assumeront ce rôle.

      1. Si un tiers doit accéder à ce rôle, il est recommandé de sélectionner Exiger un identifiant externe. Pour plus d'informations sur les identifiants externes, consultez : Utilisation d'un identifiant externe pour l'accès de tiers dans le Guide de l'utilisateur IAM.

      2. Il est recommandé d'exiger une authentification multifactorielle (MFA). Vous pouvez cocher la case à côté de Exiger le MFA. Pour plus d'informations sur l'authentification multifacteur, consultez la section : Multi-factor authentification (MFA) dans le guide de l'utilisateur IAM.

    4. Cliquez sur Suivant pour accéder à la section Ajouter des autorisations.

    5. Dans la section Politique d'autorisations, choisissez la MediaConnectAllAccess politique que vous avez créée lors de la procédure de l'étape 3a : Création d'une politique.

    6. Vérifiez que les politiques appropriées sont ajoutées à ce groupe, puis choisissez Suivant.

    7. Dans la section Nom, révision et création, donnez un nom au rôleMediaConnectAdmins. (Facultatif) Ajoutez une description pour le rôle. Sélectionnez Créer le rôle.

  3. Sur la page Rôles, créez un rôle d'administrateur à l'aide de la MediaConnectReadOnlyAccess politique suivante :

    1. Choisissez Créer un rôle.

    2. Dans la section Sélectionner une entité de confiance, sélectionnez un AWS compte.

    3. Dans la section Un AWS compte, sélectionnez le compte des utilisateurs qui assumeront ce rôle.

      1. Si un tiers doit accéder à ce rôle, il est recommandé de sélectionner Exiger un identifiant externe. Pour plus d'informations sur les identifiants externes, consultez : Utilisation d'un identifiant externe pour l'accès de tiers dans le Guide de l'utilisateur IAM.

      2. Il est recommandé d'exiger une authentification multifactorielle (MFA). Vous pouvez cocher la case à côté de Exiger le MFA. Pour plus d'informations sur l'authentification multifacteur, consultez la section : Multi-factor authentification (MFA) dans le guide de l'utilisateur IAM.

    4. Cliquez sur Suivant pour accéder à la section Ajouter des autorisations.

    5. Dans la section Politique d'autorisations, choisissez la MediaConnectReadOnlyAccess politique que vous avez créée lors de la procédure de l'étape 3a : Création d'une politique.

    6. Vérifiez que les politiques appropriées sont ajoutées à ce groupe, puis choisissez Suivant.

    7. Dans la section Nom, révision et création, donnez un nom au rôleMediaConnectReaders. (Facultatif) Ajoutez une description pour le rôle. Sélectionnez Créer le rôle.

Étape 3 : Assumer le rôle

Après avoir créé une politique et l'avoir associée à un rôle, vos utilisateurs devront assumer ce rôle pour bénéficier d'un accès sécurisé et temporaire MediaConnect.

Consultez les ressources suivantes pour en savoir plus sur l'octroi d'autorisations aux utilisateurs pour qu'ils assument le rôle et sur la manière dont les utilisateurs peuvent passer au rôle depuis la console ou AWS CLI.