Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Exemples de politiques basées sur l'identité en matière de cryptographie des paiements

Par défaut, les utilisateurs et les rôles IAM ne sont pas autorisés à créer ou à modifier des ressources de chiffrement des AWS paiements. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API AWS Management Console AWS CLI, ou. Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d'API spécifiques sur les ressources spécifiées dont ils ont besoin. Il doit ensuite attacher ces politiques aux utilisateurs ou aux groupes IAM ayant besoin de ces autorisations.

Pour savoir comment créer une stratégie IAM basée sur l'identité à l'aide de ces exemples de documents de stratégie JSON, veuillez consulter Création de stratégies dans l'onglet JSON dans le Guide de l'utilisateur IAM.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources de chiffrement des AWS paiements dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console AWS de cryptographie des paiements

Pour accéder à la console AWS Payment Cryptography, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les informations relatives aux ressources AWS de chiffrement des paiements de votre AWS compte. Si vous créez une politique basée sur l'identité qui est plus restrictive que les autorisations minimales requises, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs et rôles IAM) tributaires de cette politique.

Pour garantir que ces entités peuvent toujours utiliser la console AWS Payment Cryptography, associez également la politique AWS gérée suivante aux entités. Pour plus d'informations, consultez Ajout d'autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l'accès à uniquement aux actions qui correspondent à l'opération d'API que vous tentez d'effectuer.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Possibilité d'accéder à tous les aspects de la cryptographie des AWS paiements

Dans cet exemple, vous souhaitez accorder à un utilisateur IAM de votre AWS compte l'accès à toutes vos clés de chiffrement des AWS paiements et la possibilité d'appeler toutes les API de cryptographie des AWS paiements, y compris les deux ControlPlane opérations. DataPlane

   {
      "Version": "2012-10-17",
      "Statement": [
            {
               "Effect": "Allow",
               "Action": [
                  "payment-cryptography:*"
               ],
               "Resource": [
                  "*"
               ]
            }   
      ]
   }

Possibilité d'appeler à APIs l'aide des touches spécifiées

Dans cet exemple, vous souhaitez autoriser un utilisateur IAM de votre AWS compte à accéder à l'une de vos clés de chiffrement des AWS paiements, arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h puis utiliser cette ressource en deux APIs, GenerateCardData et. VerifyCardData À l'inverse, l'utilisateur IAM n'aura pas accès à cette clé pour d'autres opérations telles que DeleteKey ou ExportKey

Les ressources peuvent être soit des clés, préfixées par, key soit des alias, préfixés par. alias

   {
      "Version": "2012-10-17",
      "Statement": [
            {
               "Effect": "Allow",
               "Action": [
                  "payment-cryptography:VerifyCardData",
                  "payment-cryptography:GenerateCardData"
               ],
               "Resource": [
                  "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
               ]
            }   
      ]
   }

Possibilité de refuser spécifiquement une ressource

Dans cet exemple, vous souhaitez autoriser un utilisateur IAM de votre AWS compte à accéder à l'une de vos clés de chiffrement des AWS paiements, mais vous souhaitez refuser les autorisations relatives à une clé spécifique. L'utilisateur aura accès à VerifyCardData et GenerateCardData avec toutes les clés, à l'exception de celle spécifiée dans la déclaration de refus.

   {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "payment-cryptography:VerifyCardData",
                  "payment-cryptography:GenerateCardData"
              ],
              "Resource": [
                  "arn:aws:payment-cryptography:us-east-2:111122223333:key/*"
              ]
          },
          {
              "Effect": "Deny",
              "Action": [
                  "payment-cryptography:GenerateCardData"
              ],
              "Resource": [
                  "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
              ]
          }
      ]
  }