Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Termes et concepts pour AWS RAM

Les concepts suivants expliquent comment vous pouvez utiliser AWS Resource Access Manager (AWS RAM) pour partager vos ressources.

Partage de ressources

Vous partagez des ressources en AWS RAM créant un partage de ressources. Un partage de ressources comporte les trois éléments suivants :

Une fois que AWS RAM vous avez créé un partage de ressources, les principaux spécifiés dans le partage de ressources peuvent avoir accès aux ressources du partage.

Partage de compte

Le compte de partage contient la ressource qui est partagée et dans laquelle l' AWS RAM administrateur crée le partage de AWS ressources en utilisant AWS RAM.

Un AWS RAM administrateur est un administrateur principal IAM autorisé à créer et à configurer des partages de ressources dans le Compte AWS. Comme AWS RAM cela fonctionne en associant une politique basée sur les ressources aux ressources d'un partage de ressources, l' AWS RAM administrateur doit également être autorisé à appeler l'PutResourcePolicyopération Service AWS pour chaque type de ressource inclus dans un partage de ressources.

Principaux consommateurs

Le compte consommateur est le compte Compte AWS sur lequel une ressource est partagée. Le partage de ressources peut spécifier un compte entier comme principal ou, pour certains types de ressources, des rôles individuels ou des utilisateurs du compte. Pour plus d'informations sur les types de ressources compatibles avec ce type de partage, consultez Ressources partageables AWS et consultez la colonne Peut partager avec les rôles et utilisateurs IAM.

AWS RAM soutient également les principaux fournisseurs de services en tant que consommateurs de parts de ressources. Pour plus d'informations sur les types de ressources compatibles avec ce type de partage, consultez Ressources partageables AWS et consultez la colonne Peut être partagée avec les responsables du service.

Les principaux du compte consommateur ne peuvent effectuer que les actions autorisées par les deux autorisations suivantes :

AWS RAM prend en charge les principaux types d'IAM suivants en tant que consommateurs de partages de ressources :

Politique basée sur une ressource

Les politiques basées sur les ressources sont des documents texte JSON qui implémentent le langage de politique IAM. Contrairement aux politiques basées sur l'identité que vous attachez au principal, telles qu'un rôle ou un utilisateur IAM, vous attachez des politiques basées sur les ressources à la ressource. AWS RAM rédige des politiques basées sur les ressources en votre nom sur la base des informations que vous fournissez pour votre partage de ressources. Vous devez spécifier un élément Principal de politique qui détermine qui peut accéder à la ressource. Pour plus d'informations, consultez les sections Politiques basées sur l'identité et politiques basées sur les ressources dans le Guide de l'utilisateur IAM.

Les politiques basées sur les ressources générées par AWS RAM sont évaluées en même temps que tous les autres types de politiques IAM. Cela inclut toutes les politiques basées sur l'identité IAM attachées aux principaux qui tentent d'accéder à la ressource, et les politiques de contrôle des services (SCPs) correspondantes peuvent AWS Organizations s'appliquer au. Compte AWS Les politiques basées sur les ressources générées par AWS RAM participent à la même logique d'évaluation des politiques que toutes les autres politiques IAM. Pour plus de détails sur l'évaluation des politiques et sur la manière de déterminer les autorisations qui en résultent, consultez la section Logique d'évaluation des politiques dans le guide de l'utilisateur IAM.

AWS RAM fournit une expérience de partage de ressources simple et sécurisée en fournissant des politiques basées sur les ressources easy-to-use abstraites.

Pour les types de ressources qui prennent en charge les politiques basées sur les ressources, construit et gère AWS RAM automatiquement les politiques basées sur les ressources pour vous. Pour une ressource donnée, AWS RAM élabore la politique basée sur les ressources en combinant les informations provenant de tous les partages de ressources qui incluent cette ressource. Prenons l'exemple d'un pipeline Amazon SageMaker AI que vous partagez en utilisant AWS RAM et en incluant deux partages de ressources différents. Vous pouvez utiliser un partage de ressources pour fournir un accès en lecture seule à l'ensemble de votre organisation. Vous pouvez ensuite utiliser l'autre partage de ressources pour n'accorder que des autorisations d'exécution de l' SageMaker IA à un seul compte. AWS RAM combine automatiquement ces deux ensembles d'autorisations différents en une seule politique de ressources comportant plusieurs instructions. Il attache ensuite la politique combinée basée sur les ressources à la ressource du pipeline. Vous pouvez consulter cette politique de ressources sous-jacente en appelant le GetResourcePolicyopération. Services AWS utilisez ensuite cette politique basée sur les ressources pour autoriser tout principal qui tente d'effectuer une action sur la ressource partagée.

Bien que vous puissiez créer manuellement les politiques basées sur les ressources et les associer à vos ressources en appelantPutResourcePolicy, nous vous recommandons de les utiliser AWS RAM car elles offrent les avantages suivants :

En utilisant AWS RAM, vous pouvez même partager certains types de ressources qui ne sont pas encore compatibles avec les politiques basées sur les ressources. Pour ces types de ressources, génère AWS RAM automatiquement une politique basée sur les ressources en tant que représentation des autorisations réelles. Les utilisateurs peuvent consulter cette représentation en appelant GetResourcePolicy. Cela inclut les types de ressources suivants :

Exemples de politiques basées sur les ressources AWS RAM générées

Si vous partagez une EC2 ressource d'image Image Builder avec un compte individuel, AWS RAM génère une politique semblable à l'exemple suivant et l'associe à toutes les ressources d'image incluses dans le partage de ressources.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Si vous partagez une EC2 ressource d'image Image Builder avec un rôle ou un utilisateur IAM dans un autre Compte AWS, AWS RAM génère une politique semblable à l'exemple suivant et l'attache à toutes les ressources d'image incluses dans le partage de ressources.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Si vous partagez une EC2 ressource d'image Image Builder avec tous les comptes d'une organisation ou avec les comptes d'une unité d'organisation, AWS RAM génère une politique semblable à l'exemple suivant et l'associe à toutes les ressources d'image incluses dans le partage de ressources.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implications de l'utilisation "Principal": "*" dans une politique basée sur les ressources

Lorsque vous "Principal": "*" incluez une politique basée sur les ressources, celle-ci accorde l'accès à tous les principaux IAM du compte contenant la ressource, sous réserve des restrictions imposées par un Condition élément, s'il existe. DenyLes déclarations explicites contenues dans toute politique qui s'applique au principal appelant remplacent les autorisations accordées par cette politique. Cependant, un élément implicite Deny (c'est-à-dire l'absence d'expliciteAllow) dans les politiques d'identité, les politiques de limites d'autorisations ou les politiques de session applicables n'autorise pas les principaux Deny à accéder à une action par le biais d'une telle politique basée sur les ressources.

Si ce comportement n'est pas souhaitable pour votre scénario, vous pouvez le limiter en ajoutant une Deny déclaration explicite à une politique d'identité, à une limite d'autorisations ou à une politique de session qui affecte les rôles et les utilisateurs concernés.

Autorisations gérées

Les autorisations gérées définissent les actions que les principaux peuvent effectuer et dans quelles conditions sur les types de ressources pris en charge dans un partage de ressources. Lorsque vous créez un partage de ressources, vous devez spécifier l'autorisation gérée à utiliser pour chaque type de ressource inclus dans le partage de ressources. Une autorisation gérée répertorie l'ensemble actions et les conditions que les principaux peuvent exécuter avec la ressource partagée à l'aide AWS RAM de celle-ci.

Vous ne pouvez associer qu'une seule autorisation gérée pour chaque type de ressource dans un partage de ressources. Vous ne pouvez pas créer un partage de ressources dans lequel certaines ressources d'un certain type utilisent une autorisation gérée et d'autres ressources du même type utilisent une autorisation gérée différente. Pour ce faire, vous devez créer deux partages de ressources différents et répartir les ressources entre eux, en attribuant à chaque ensemble une autorisation de gestion différente. Il existe deux types d'autorisations gérées :

AWS RAM utilise les autorisations gérées comme entrée pour créer les politiques basées sur les ressources pour les ressources que vous partagez.

Version d'autorisation gérée

Toute modification apportée à une autorisation gérée est représentée comme une nouvelle version de cette autorisation gérée. La nouvelle version est la version par défaut pour tous les nouveaux partages de ressources. Pour chaque autorisation gérée, une version est toujours désignée comme version par défaut. Lorsque vous créez ou AWS créez une nouvelle version d'autorisation gérée, vous devez explicitement mettre à jour l'autorisation gérée pour chaque partage de ressources existant. Vous pouvez évaluer les modifications avant de les appliquer à votre partage de ressources au cours de cette étape. Tous les nouveaux partages de ressources utiliseront automatiquement la nouvelle version de l'autorisation gérée pour le type de ressource correspondant.

Lorsque vous créez ou mettez à jour un partage de ressources, vous ne pouvez joindre que la version par défaut de l'autorisation gérée spécifiée. Pour de plus amples informations, veuillez consulter Mise à jour des autorisations AWS gérées vers une version plus récente.