Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Exemples de politiques basées sur l'identité d'AWS Security Agent
Par défaut, Utilisateurs IAM les rôles ne sont pas autorisés à créer ou à modifier les ressources d'AWS Security Agent. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API Console de gestion AWS AWS CLI, ou. Un IAM administrateur doit créer des IAM politiques qui accordent aux utilisateurs et aux rôles l'autorisation d'effectuer des opérations d'API spécifiques sur les ressources spécifiques dont ils ont besoin. L'administrateur doit ensuite associer ces politiques au Utilisateurs IAM ou aux groupes qui nécessitent ces autorisations.
Pour savoir comment créer une politique basée sur l'identité IAM à l'aide de ces exemples de documents de stratégie JSON, consultez la section [Création de politiques à l'aide de l'éditeur JSON dans le guide](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html#access_policies_create-json-editor) de l'utilisateur *IAM*.
## Bonnes pratiques en matière de politiques
Identity-based les politiques déterminent si quelqu'un peut créer, accéder ou supprimer des ressources AWS Security Agent dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :
+ **Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d'informations, consultez les [politiques AWS gérées ou les politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) [gérées par AWS pour les fonctions professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *guide de l'utilisateur IAM*.
+ **Appliquer les autorisations du moindre privilège** : lorsque vous définissez des autorisations à IAM l'aide de politiques, accordez uniquement les autorisations nécessaires à l'exécution d'une tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d'informations sur l'utilisation IAM pour appliquer des autorisations, consultez la section [Politiques et autorisations IAM dans](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) le *guide de l'utilisateur IAM*.
+ **Utilisez des conditions dans IAM les politiques pour restreindre davantage l'accès** : vous pouvez ajouter une condition à vos politiques pour limiter l'accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d'informations, consultez la section [Éléments de politique IAM JSON : condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *guide de l'utilisateur IAM*.
+ ** IAM Access Analyzer À utiliser pour valider vos IAM politiques afin de garantir des autorisations sécurisées et fonctionnelles** : IAM Access Analyzer valide les politiques nouvelles et existantes afin qu'elles respectent le langage des politiques (JSON) et les IAM meilleures pratiques. IAM IAM Access Analyzer fournit plus de 100 vérifications des politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d'informations, consultez la section [Validation des IAM Access Analyzer politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *guide de l'utilisateur IAM*.
+ **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui Utilisateurs IAM nécessite ou root des utilisateurs sur votre compte, activez l'authentification MFA pour plus de sécurité. Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d'informations, consultez [la section Configuration de MFA-protected l'accès aux API](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *guide de l'utilisateur IAM*.
## Utilisation de la console AWS Security Agent
Pour accéder à la console AWS Security Agent, un responsable IAM doit disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent permettre au principal de répertorier et de consulter les informations relatives aux ressources de l'agent de sécurité AWS présentes dans votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que les autorisations minimales requises, la console ne fonctionnera pas comme prévu pour les principaux auxquels cette politique est associée.
Pour vous assurer que vos principaux IAM peuvent toujours utiliser la console AWS Security Agent, créez une politique avec votre propre nom unique. Attachez la politique aux principaux. Pour plus d'informations, veuillez consulter [Ajout d'autorisations à un utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) dans le *Guide de l'utilisateur IAM*.
Pour plus de détails sur les politiques, voir[Politique gérée par AWS : SecurityAgentWebAppAPIPolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-SecurityAgentWebAppAPIPolicy).
Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès uniquement aux actions qui correspondent à l’opération API que vous essayez d’effectuer.