Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Activer et configurer les attributs pour le contrôle d'accès
Pour l'utiliser ABAC dans tous les cas, vous devez d'abord ABAC l'activer à l'aide de la console IAM Identity Center ou de l'IAMIdentity CenterAPI. Si vous choisissez d'utiliser IAM Identity Center pour sélectionner des attributs, utilisez la page Attributs pour le contrôle d'accès de la console IAM Identity Center ou du IAM Identity CenterAPI. Si vous utilisez un fournisseur d'identité externe (IdP) comme source d'identité et que vous choisissez d'envoyer des attributs par le biais SAML des assertions, vous configurez votre IdP pour transmettre les attributs. Si une SAML assertion transmet l'un de ces attributs, IAM Identity Center remplacera la valeur de l'attribut par la valeur du magasin IAM d'identités Identity Center. Seuls les attributs configurés dans IAM Identity Center seront envoyés pour prendre des décisions de contrôle d'accès lorsque les utilisateurs se fédérent dans leurs comptes.
Note
Vous ne pouvez pas afficher les attributs configurés et envoyés par un IdP externe depuis la page Attributs pour le contrôle d'accès de la console IAM Identity Center. Si vous transmettez des attributs de contrôle d'accès dans les SAML assertions de votre IdP externe, ces attributs sont directement envoyés au moment de Compte AWS la fédération des utilisateurs. Les attributs ne seront pas disponibles dans IAM Identity Center pour le mappage.
Activer les attributs pour le contrôle d'accès
Utilisez la procédure suivante pour activer les attributs pour la fonctionnalité de contrôle d'accès (ABAC) à l'aide de la console IAM Identity Center.
Note
Si vous disposez d'ensembles d'autorisations existants et que vous prévoyez de les activer ABAC dans votre instance IAM Identity Center, des restrictions de sécurité supplémentaires nécessitent que vous disposiez d'abord de la iam:UpdateAssumeRolePolicy
politique. Ces restrictions de sécurité supplémentaires ne sont pas requises si aucun ensemble d'autorisations n'a été créé dans votre compte.
Pour activer les attributs pour le contrôle d'accès
-
Ouvrez la console IAM Identity Center
. -
Choisissez les paramètres
-
Sur la page Paramètres, recherchez la zone Attributs pour les informations de contrôle d'accès, puis choisissez Activer. Passez à la procédure suivante pour le configurer.
Sélectionnez vos attributs
Utilisez la procédure suivante pour configurer les attributs de votre ABAC configuration.
Pour sélectionner vos attributs à l'aide de la console IAM Identity Center
-
Ouvrez la console IAM Identity Center
. -
Choisissez les paramètres
-
Sur la page Paramètres, choisissez l'onglet Attributs pour le contrôle d'accès, puis sélectionnez Gérer les attributs.
-
Sur la page Attributs pour le contrôle d'accès, choisissez Ajouter un attribut et entrez les détails de la clé et de la valeur. C'est ici que vous allez mapper l'attribut provenant de votre source d'identité à un attribut qu'IAMIdentity Center transmet en tant que tag de session.
La clé représente le nom que vous donnez à l'attribut à utiliser dans les politiques. Il peut s'agir de n'importe quel nom arbitraire, mais vous devez le spécifier exactement dans les politiques que vous créez pour le contrôle d'accès. Supposons, par exemple, que vous utilisiez Okta (un IdP externe) comme source d'identité et que vous deviez transmettre les données du centre de coûts de votre organisation sous forme de balises de session. Dans Key, vous devez saisir un nom correspondant de la même manière, CostCentercomme votre nom de clé. Il est important de noter que quel que soit le nom que vous choisissez ici, il doit également porter exactement le même nom dans votre nom
Clé de condition aws:PrincipalTag
(c'est-à-dire,"ec2:ResourceTag/CostCenter": "${aws:PrincipalTag/CostCenter}"
).Note
Utilisez un attribut à valeur unique pour votre clé, par exemple,
Manager
. IAMIdentity Center ne prend pas en charge les attributs à valeurs multiples pourABAC, par exemple,Manager, IT Systems
.La valeur représente le contenu de l'attribut provenant de votre source d'identité configurée. Vous pouvez saisir ici n'importe quelle valeur de la table des sources d'identité appropriée répertoriée dansMappages d'attributs pour le répertoire AWS Managed Microsoft AD. Par exemple, en utilisant le contexte fourni dans l'exemple mentionné ci-dessus, vous examineriez la liste des attributs IdP pris en charge et détermineriez que la correspondance la plus proche d'un attribut pris en charge serait,
${path:enterprise.costCenter}
puis vous la saisiriez dans le champ Valeur. Voir la capture d'écran ci-dessus pour référence. Notez que vous ne pouvez pas utiliser de valeurs d'attributs IdP externes en dehors de cette liste, ABAC sauf si vous utilisez l'option de transmission d'attributs via l'SAMLassertion. -
Sélectionnez Enregistrer les modifications.
Maintenant que vous avez configuré le mappage de vos attributs de contrôle d'accès, vous devez terminer le processus ABAC de configuration. Pour ce faire, créez vos ABAC règles et ajoutez-les à vos ensembles d'autorisations et/ou à vos politiques basées sur les ressources. Cela est nécessaire pour que vous puissiez accorder aux identités des utilisateurs l'accès aux AWS ressources. Pour de plus amples informations, veuillez consulter Créer des politiques d'autorisation pour ABAC dans IAM Identity Center.
Désactiver des attributs pour le contrôle d'accès
Utilisez la procédure suivante pour désactiver la ABAC fonctionnalité et supprimer tous les mappages d'attributs qui ont été configurés.
Pour désactiver les attributs pour le contrôle d'accès
-
Ouvrez la console IAM Identity Center
. -
Choisissez les paramètres
-
Sur la page Paramètres, choisissez l'onglet Attributs pour le contrôle d'accès, puis sélectionnez Désactiver.
-
Dans la boîte de dialogue Désactiver les attributs pour le contrôle d'accès, passez en revue les informations et, lorsque vous êtes prêtDELETE, entrez, puis choisissez Confirmer.
Important
Cette étape supprime tous les attributs qui ont été configurés. Une fois supprimés, les attributs reçus d'une source d'identité et les attributs personnalisés que vous avez précédemment configurés ne seront pas transmis.