Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contraintes de lancement AWS Service Catalog

Une contrainte de lancement spécifie le rôle AWS Identity and Access Management (IAM) AWS Service Catalog assumé lorsqu'un utilisateur final lance, met à jour ou met fin à un produit. Un rôle IAM est un ensemble d'autorisations qu'un utilisateur ou un AWS service peut assumer temporairement pour utiliser les AWS services. Pour un exemple d'introduction, voir :

Les contraintes de lancement s'appliquent aux produits du portefeuille (association produit-portefeuille). Les contraintes de lancement ne s'appliquent pas au niveau du portefeuille ou à un produit de tous les portefeuilles. Pour associer une contrainte de lancement à tous les produits d'un portefeuille, vous devez appliquer la contrainte de lancement à chaque produit, de manière individuelle.

Sans contrainte de lancement, les utilisateurs finaux doivent lancer et gérer les produits à l'aide de leurs propres informations d'identification IAM. Pour ce faire, ils doivent disposer d'autorisations pour AWS CloudFormation les AWS services utilisés par les produits, etAWS Service Catalog. En utilisant un rôle de lancement, vous pouvez plutôt limiter les autorisations des utilisateurs finaux au minimum dont ils ont besoin pour ce produit. Pour plus d'informations sur les autorisations des utilisateurs finaux, consultez Identity and Access Management dans AWS Service Catalog.

Pour créer et attribuer des rôles IAM, vous devez disposer des autorisations administratives IAM suivantes :

Configuration d'un rôle de lancement

Le rôle IAM que vous attribuez à un produit en tant que contrainte de lancement doit être autorisé à utiliser les éléments suivants :

Pour les produits Cloudformation

Pour les produits Terraform

La politique de confiance du rôle IAM doit permettre AWS Service Catalog d'assumer le rôle. Dans la procédure ci-dessous, la politique de confiance sera définie automatiquement lorsque vous sélectionnez AWS Service Catalog le type de rôle. Si vous n'utilisez pas la console, consultez la section Création de politiques de confiance pour les AWS services qui assument des rôles dans Comment utiliser les politiques de confiance avec les rôles IAM.

Application d'une contrainte de lancement

Après avoir configuré le rôle de lancement, attribuez-le au produit en tant que contrainte de lancement. Cette action indique AWS Service Catalog d'assumer le rôle lorsqu'un utilisateur final lance le produit.

Ajouter un adjoint confus à la contrainte de lancement

AWS Service Catalogprend en charge la protection Confused Deputy pour les API qui s'exécutent avec une demande Assume Role. Lorsque vous ajoutez une contrainte de lancement, vous pouvez restreindre l'accès au rôle de lancement en utilisant sourceArn les conditions sourceAccount et la politique de confiance du rôle de lancement. Cela garantit que le rôle de lancement est appelé par une source fiable.

Dans l'exemple suivant, l'AWS Service Catalogutilisateur final appartient au compte 111111111111. Lorsque l'AWS Service Catalogadministrateur crée un rôle LaunchConstraint pour un produit, l'utilisateur final peut spécifier les conditions suivantes dans la politique de confiance du rôle de lancement afin de restreindre le rôle d'assumer le rôle au compte 111111111111.

"Condition":{
   "ArnLike":{
      "aws:SourceArn":"arn:aws:servicecatalog:us-east-1:111111111111:*"
   },
   "StringEquals":{
      "aws:SourceAccount":"111111111111"
   }
  
}

Un utilisateur qui approvisionne un produit avec le LaunchConstraint doit avoir le même AccountId (1111111111). Dans le cas contraire, l'opération échoue avec une AccessDenied erreur, empêchant ainsi toute utilisation abusive du rôle de lancement.

Les AWS Service Catalog API suivantes sont sécurisées pour la protection de Confused Deputy :

La sourceArn protection pour AWS Service Catalog ne prend en charge que les ARN modèles, tels que « arn:<aws-partition>:servicecatalog:<region>:<accountId>: ». Elle ne prend pas en charge les ARN de ressources spécifiques.

Vérification de la contrainte de lancement

Pour vérifier qu'il AWS Service Catalog utilise le rôle pour lancer le produit et qu'il approvisionne correctement le produit, lancez le produit depuis la AWS Service Catalog console. Pour tester une contrainte avant sa publication pour des utilisateurs, créez un portefeuille test qui contient les mêmes produits et testez les contraintes avec ce portefeuille.