Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
À propos des alertes de politique effectives non valides
Les alertes de politique non valides vous informent des politiques en vigueur non valides et fournissent des mécanismes (API) pour identifier les comptes dont les politiques ne sont pas valides. AWS Organizations vous avertit de manière asynchrone lorsque la politique effective de l'un de vos comptes n'est pas valide. La notification apparaît sous forme de bannière sur la page de la AWS Organizations console et est enregistrée en tant qu' AWS CloudTrail événement.
Détectez les politiques déclaratives effectives non valides dans votre organisation
Vous pouvez consulter les politiques déclaratives effectives non valides de plusieurs manières dans votre organisation : depuis la console de AWS gestion, l' AWS API, l'interface de ligne de AWS commande (CLI) ou sous forme d' AWS CloudTrail événement.
Autorisations minimales
Pour trouver les informations relatives aux politiques effectives non valides d'un type de politique déclaratif dans votre organisation, vous devez être autorisé à exécuter les actions suivantes :
-
organizations:ListAccountsWithInvalidEffectivePolicy -
organizations:ListEffectivePolicyValidationErrors -
organizations:ListRoots- obligatoire uniquement lors de l'utilisation de la console Organizations
AWS CloudTrail
Vous pouvez utiliser les AWS CloudTrail événements pour contrôler si les politiques déclaratives effectives des comptes de vos organisations ne sont pas valides et si les politiques sont corrigées. Pour plus d'informations, consultez la section Exemples de politiques efficaces dans Comprendre les entrées des fichiers AWS Organizations journaux.
Si vous recevez une notification de politique effective non valide, vous pouvez naviguer dans la AWS Organizations console ou appeler ces API depuis votre compte de gestion ou d'administrateur délégué pour obtenir plus de détails sur l'état de comptes et de politiques spécifiques :
-
ListAccountsWithInvalidEffectivePolicy— Renvoie la liste des comptes de l'organisation dont les politiques en vigueur ne sont pas valides d'un type spécifié. -
ListEffectivePolicyValidationErrors— Renvoie une liste des erreurs de validation pour un compte et un type de politique déclarative spécifiés. Les erreurs de validation contiennent des détails, notamment le code d'erreur, la description de l'erreur et les politiques contributives qui ont rendu la politique effective non valide.
Quand une politique déclarative efficace peut être considérée comme non valide
Les politiques en vigueur sur un compte peuvent devenir invalides si elles ne respectent pas les contraintes définies pour le type de politique en question. Par exemple, il se peut qu'il manque un paramètre obligatoire dans la politique effective finale ou qu'il dépasse certains quotas définis pour le type de politique.
AWS Organizations valide les politiques en vigueur avant de les appliquer aux comptes de votre organisation. Ce processus d'audit est particulièrement utile si la structure de votre organisation est importante et si les politiques de votre organisation sont gérées par plusieurs équipes.
Exemples d'erreurs possibles pour des politiques efficaces
-
ELEMENTS_TOO_MANY— Se produit lorsqu'un attribut particulier d'une politique effective dépasse la limite autorisée, par exemple lorsque plus de 10 règles sont définies pour un plan de sauvegarde. -
ELEMENTS_TOO_FEW— Se produit lorsqu'un attribut particulier d'une politique efficace n'atteint pas la limite minimale, par exemple lorsqu'aucune région n'est définie pour un plan de sauvegarde. -
KEY_REQUIRED— Se produit lorsqu'une configuration requise est absente de la politique en vigueur, par exemple lorsqu'une règle de sauvegarde ne figure pas dans un plan de sauvegarde.
Avertissement
Si un compte de l'organisation possède une politique en vigueur non valide, ce compte ne recevra pas les mises à jour de politique effectives pour le type de politique en question. Elle se poursuit avec la dernière politique valide en vigueur appliquée pour le compte, à moins que toutes les erreurs ne soient corrigées.
Validations par type de politique
Politique de sauvegarde
Supposons que vous créiez une politique de sauvegarde comportant neuf règles de sauvegarde et que vous l'associiez à la racine de votre organisation. Plus tard, vous créez une autre politique de sauvegarde pour le même plan de sauvegarde, avec deux règles supplémentaires, et vous l'associez à n'importe quel compte de l'organisation. Dans ce cas, la politique effective du compte n'est pas valide. Elle n'est pas valide car l'agrégation des deux politiques définit 11 règles pour le plan de sauvegarde. La limite est de 10 règles de sauvegarde dans un plan.
Politique de balises
Les politiques efficaces en matière de balises sont soumises aux validations suivantes :
-
La taille effective de la politique de balises ne doit pas dépasser 395 000 caractères. Multi-byte les caractères (tels que ceux en chinois, japonais ou coréen) consomment plus d'espace et réduiront cette limite en conséquence. Si l'agrégation de toutes les politiques de balises héritées et directement associées au niveau du compte aboutit à une politique effective de plus de 395 000 caractères, la politique effective est considérée comme non valide.
-
Le nombre de clés de balise uniques requises par type de ressource ne doit pas dépasser 50. Supposons que vous attachiez à la racine une politique de balises contenant 30 clés de balise requises pour les instances EC2, puis que vous attachiez une autre politique de balises avec 25 clés de balise requises différentes pour les instances EC2 à une unité d'organisation. Dans ce cas, il existe une politique en vigueur non valide pour les comptes de cette unité d'organisation. Elle n'est pas valide car l'agrégation des deux politiques définit 55 clés de balise obligatoires uniques pour un seul type de ressource. La limite est de 50 clés de balise uniques requises par type de ressource. Cette limite est validée à la fois sur les politiques de balises individuelles et sur la politique effective agrégée.
