Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Utilisation de politiques basées sur l'identité dans le planificateur EventBridge
Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources du EventBridge planificateur. Ils ne peuvent pas non plus effectuer de tâches en utilisant le AWS Management Console, AWS Command Line Interface (AWS CLI) ou AWS API. Pour autoriser les utilisateurs à effectuer des actions sur les ressources dont ils ont besoin, un IAM administrateur peut créer des IAM politiques. L'administrateur peut ensuite ajouter les IAM politiques aux rôles, et les utilisateurs peuvent assumer les rôles.
Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, consultez la section Création de IAM politiques dans le guide de l'IAMutilisateur.
Pour plus de détails sur les actions et les types de ressources définis par le EventBridge planificateur, y compris le format de chaque type de ressource, consultez la section Actions, ressources et clés de condition ARNs pour Amazon EventBridge Scheduler dans la référence d'autorisation de service.
Rubriques
Bonnes pratiques en matière de politiques
Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer les ressources du EventBridge Scheduler dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :
-
Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d'informations, consultez les politiques AWS gérées ou les politiques AWS gérées pour les fonctions professionnelles dans le Guide de IAM l'utilisateur.
-
Appliquer les autorisations du moindre privilège : lorsque vous définissez des autorisations à IAM l'aide de politiques, accordez uniquement les autorisations nécessaires à l'exécution d'une tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d'informations sur l'utilisation IAM pour appliquer des autorisations, consultez la section Politiques et autorisations IAM dans le guide de IAM l'utilisateur.
-
Utilisez des conditions dans IAM les politiques pour restreindre davantage l'accès : vous pouvez ajouter une condition à vos politiques pour limiter l'accès aux actions et aux ressources. Par exemple, vous pouvez rédiger une condition de politique pour spécifier que toutes les demandes doivent être envoyées en utilisantSSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique AWS service, tel que AWS CloudFormation. Pour plus d'informations, voir Éléments IAM JSON de politique : Condition dans le guide de IAM l'utilisateur.
-
Utilisez IAM Access Analyzer pour valider vos IAM politiques afin de garantir des autorisations sécurisées et fonctionnelles. IAM Access Analyzer valide les politiques nouvelles et existantes afin qu'elles soient conformes au langage des IAM politiques (JSON) et IAM aux meilleures pratiques. IAMAccess Analyzer fournit plus de 100 vérifications des politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d'informations, consultez la section Validation des politiques d'IAMAccess Analyzer dans le guide de IAM l'utilisateur.
-
Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des IAM utilisateurs ou un utilisateur root Compte AWS, activez-le MFA pour une sécurité supplémentaire. Pour exiger le MFA moment où les API opérations sont appelées, ajoutez MFA des conditions à vos politiques. Pour plus d'informations, consultez la section Configuration de l'APIaccès MFA protégé dans le Guide de l'IAMutilisateur.
Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.
EventBridge Autorisations du planificateur
Pour qu'un IAM principal (utilisateur, groupe ou rôle) puisse créer des horaires dans le EventBridge planificateur et accéder aux ressources du EventBridge planificateur via la console ou leAPI, le principal doit disposer d'un ensemble d'autorisations ajouté à sa politique d'autorisation. Vous pouvez configurer ces autorisations en fonction de la fonction du poste du principal. Par exemple, un utilisateur ou un rôle qui utilise uniquement la console du EventBridge planificateur pour consulter la liste des plannings existants n'a pas besoin des autorisations requises pour lancer l'CreateSchedule
APIopération. Nous vous recommandons de personnaliser vos autorisations basées sur l'identité afin de ne fournir que les accès les moins privilégiés.
La liste suivante présente les ressources du EventBridge planificateur et les actions prises en charge correspondantes.
-
Schedule
-
scheduler:ListSchedules
-
scheduler:GetSchedule
-
scheduler:CreateSchedule
-
scheduler:UpdateSchedule
-
scheduler:DeleteSchedule
-
-
Planifier un groupe
-
scheduler:ListScheduleGroups
-
scheduler:GetScheduleGroup
-
scheduler:CreateScheduleGroup
-
scheduler:DeleteScheduleGroup
-
scheduler:ListTagsForResource
-
scheduler:TagResource
-
scheduler:UntagResource
-
Vous pouvez utiliser les autorisations du EventBridge planificateur pour créer vos propres politiques gérées par les clients à utiliser avec EventBridge le planificateur. Vous pouvez également utiliser les politiques AWS gérées décrites dans la section suivante pour accorder les autorisations nécessaires pour les cas d'utilisation courants sans avoir à gérer vos propres politiques.
AWS politiques gérées pour EventBridge Scheduler
AWS répond à de nombreux cas d'utilisation courants en fournissant des IAM politiques autonomes qui AWS créent et administrent. Les politiques gérées, ou prédéfinies, accordent les autorisations nécessaires pour les cas d’utilisation courants, ce qui vous évite d’avoir à déterminer quelles autorisations sont nécessaires. Pour plus d'informations, consultez les politiques AWS gérées dans le Guide de IAM l'utilisateur. Les politiques AWS gérées suivantes que vous pouvez associer aux utilisateurs de votre compte sont spécifiques à EventBridge Scheduler :
-
AmazonEventBridgeSchedulerFullAccess— Accorde un accès complet au EventBridge planificateur à l'aide de la console et du. API
-
AmazonEventBridgeSchedulerReadOnlyAccess— Accorde un accès en lecture seule au planificateur. EventBridge
AmazonEventBridgeSchedulerFullAccess
La politique AmazonEventBridgeSchedulerFullAccess
gérée accorde des autorisations pour utiliser toutes les actions du EventBridge planificateur pour les plannings et les groupes de plannings.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "scheduler:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::*:role/*", "Condition": { "StringLike": { "iam:PassedToService": "scheduler.amazonaws.com" } } } ] }
AmazonEventBridgeSchedulerReadOnlyAccess
La politique AmazonEventBridgeSchedulerReadOnlyAccess
gérée accorde des autorisations en lecture seule pour consulter les détails de vos plannings et de vos groupes de plannings.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "scheduler:ListSchedules", "scheduler:ListScheduleGroups", "scheduler:GetSchedule", "scheduler:GetScheduleGroup", "scheduler:ListTagsForResource" ], "Resource": "*" } ] }
Politiques gérées par le client pour EventBridge Scheduler
Utilisez les exemples suivants pour créer vos propres politiques gérées par les clients pour EventBridge Scheduler. Les politiques gérées par le client vous permettent d'accorder des autorisations uniquement pour les actions et les ressources requises pour les applications et les utilisateurs de votre équipe conformément à la fonction du directeur.
Rubriques
Exemple : CreateSchedule
Lorsque vous créez un nouveau calendrier, vous choisissez de chiffrer vos données sur EventBridge Scheduler à l'aide d'une clé gérée par le client ou d'une Clé détenue par AWSclé gérée par le client.
La politique suivante permet à un directeur de créer un calendrier et d'appliquer le chiffrement à l'aide d'un Clé détenue par AWS. Avec un Clé détenue par AWS, AWS gère les ressources sur AWS Key Management Service (AWS KMS) pour vous afin que vous n'ayez pas besoin d'autorisations supplémentaires pour interagir avec AWS KMS.
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "scheduler:CreateSchedule" ], "Effect": "Allow", "Resource": [ "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/my-schedule-name
" ] }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/*", "Condition": { "StringLike": { "iam:PassedToService": "scheduler.amazonaws.com" } } } ] }
Utilisez la politique suivante pour autoriser un directeur à créer un calendrier et à utiliser une clé gérée par AWS KMS le client pour le chiffrement. Pour utiliser une clé gérée par le client, un mandant doit être autorisé à accéder aux AWS KMS ressources de votre compte. Cette politique accorde l'accès à une seule KMS clé spécifiée à utiliser pour chiffrer les données sur le EventBridge planificateur. Vous pouvez également utiliser un caractère générique (*
) pour autoriser l'accès à toutes les clés d'un compte, ou à un sous-ensemble correspondant à un modèle de nom donné.
{ "Version": "2012-10-17" "Statement": [ { "Action": [ "scheduler:CreateSchedule" ], "Effect": "Allow", "Resource": [ "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/my-schedule-name
" ] }, { "Action": [ "kms:DescribeKey", "kms:GenerateDataKey", "kms:Decrypt" ], "Effect": "Allow", "Resource": [ "arn:aws:kms:us-west-2:123456789012:key/my-key-id" ], "Conditions": { "StringLike": { "kms:ViaService": "scheduler.amazonaws.com", "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group
/my-schedule-name
" } } { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/*", "Condition": { "StringLike": { "iam:PassedToService": "scheduler.amazonaws.com" } } } ] }
Exemple : GetSchedule
Utilisez la politique suivante pour autoriser un directeur d'école à obtenir des informations sur un calendrier.
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "scheduler:GetSchedule" ], "Effect": "Allow", "Resource": [ "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/my-schedule-name
" ] } ] }
Exemple : UpdateSchedule
Utilisez les politiques suivantes pour autoriser un directeur à mettre à jour un calendrier en déclenchant l'scheduler:UpdateSchedule
action. De mêmeCreateSchedule
, la politique dépend du fait que le calendrier utilise une clé AWS KMS Clé détenue par AWS ou une clé gérée par le client pour le chiffrement. Pour un calendrier configuré avec un Clé détenue par AWS, appliquez la politique suivante :
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "scheduler:UpdateSchedule" ], "Effect": "Allow", "Resource": [ "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/my-schedule-name
" ] }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/*", "Condition": { "StringLike": { "iam:PassedToService": "scheduler.amazonaws.com" } } } ] }
Pour un calendrier configuré avec une clé gérée par le client, appliquez la politique suivante. Cette politique inclut des autorisations supplémentaires qui permettent à un mandant d'accéder aux AWS KMS ressources de votre compte :
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "scheduler:UpdateSchedule" ], "Effect": "Allow", "Resource": [ "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/my-schedule-name
}, { "Action": [ "kms:DescribeKey", "kms:GenerateDataKey", "kms:Decrypt" ], "Effect": "Allow", "Resource": [ "arn:aws:kms:us-west-2:123456789012:key/my-key-id
" ], "Conditions": { "StringLike": { "kms:ViaService": "scheduler.amazonaws.com", "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group
/my-schedule-name
" } } { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/*", "Condition": { "StringLike": { "iam:PassedToService": "scheduler.amazonaws.com" } } } ] }
Exemple : DeleteScheduleGroup
Utilisez la politique suivante pour autoriser un directeur à supprimer un groupe de planification. Lorsque vous supprimez un groupe, vous supprimez également les plannings associés à ce groupe. Le principal qui supprime le groupe doit être autorisé à supprimer également les plannings associés à ce groupe. Cette politique accorde l'autorisation principale d'appeler l'scheduler:DeleteScheduleGroup
action sur les groupes de planification spécifiés, ainsi que sur tous les programmes du groupe :
Note
EventBridge Le planificateur ne prend pas en charge la spécification d'autorisations au niveau des ressources pour des plannings individuels. Par exemple, la déclaration suivante n'est pas valide et ne doit pas être incluse dans votre police d'assurance :
"Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/my-schedule-name
"
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "scheduler:DeleteSchedule", "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/
my-group
/*" }, { "Effect": "Allow", "Action": "scheduler:DeleteScheduleGroup", "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group
" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/*", "Condition": { "StringLike": { "iam:PassedToService": "scheduler.amazonaws.com" } } } ] }
AWS mises à jour des politiques gérées
Modification | Description | Date |
---|---|---|
AmazonEventBridgeSchedulerFullAccess— Nouvelle politique gérée |
EventBridge Le planificateur ajoute la prise en charge d'une nouvelle politique gérée qui accorde aux utilisateurs un accès complet à toutes les ressources, y compris les plannings et les groupes de plannings. |
10 novembre 2022 |
AmazonEventBridgeSchedulerReadOnlyAccess— Nouvelle politique gérée |
EventBridge Le planificateur ajoute la prise en charge d'une nouvelle politique gérée qui accorde aux utilisateurs un accès en lecture seule à toutes les ressources, y compris les plannings et les groupes de plannings. |
10 novembre 2022 |
EventBridge Le planificateur a commencé à suivre les modifications |
EventBridge Scheduler a commencé à suivre les modifications apportées à ses politiques AWS gérées. |
10 novembre 2022 |