View a markdown version of this page

Utiliser les politiques de contrôle des services pour contrôler la création d'instances de compte - AWS IAM Identity Center
Empêcher les instances de compteLimiter les instances de compte

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utiliser les politiques de contrôle des services pour contrôler la création d'instances de compte

La capacité des comptes membres à créer des instances de compte dépend de la date à laquelle vous avez activé IAM Identity Center :

Dans les deux cas, vous pouvez utiliser les politiques de contrôle des services (SCP) pour :

  • Empêchez tous les comptes membres de créer des instances de compte.

  • Autorisez uniquement des comptes membres spécifiques à créer des instances de compte.

Empêcher les instances de compte

Suivez la procédure suivante pour générer un SCP qui empêche les comptes membres de créer des instances de compte d'IAM Identity Center.

  1. Ouvrez la console IAM Identity Center.

  2. Sur le tableau de bord, dans la section Gestion centrale, cliquez sur le bouton Empêcher les instances de compte.

  3. Dans la boîte de dialogue Attacher un SCP pour empêcher la création de nouvelles instances de compte, un SCP vous est fourni. Copiez le SCP et cliquez sur le bouton Accéder au tableau de bord SCP. Vous serez redirigé vers la AWS Organizations console pour créer le SCP ou le joindre en tant que déclaration à un SCP existant. Les SCP sont une caractéristique de. AWS Organizations Pour obtenir des instructions sur la manière de joindre un SCP, consultez la section Joindre et détacher des politiques de contrôle de service dans le Guide de l'AWS Organizations utilisateur.

Limiter les instances de compte

Au lieu d'empêcher la création de toutes les instances de compte, cette politique interdit toute tentative de création d'une instance de compte d'IAM Identity Center pour tous, à Comptes AWS l'exception de celles explicitement répertoriées dans l'"<ALLOWED-ACCOUNT-ID>"espace réservé.

Exemple: Politique de refus visant à limiter la création d'instances de compte
JSON
{

    "Version":"2012-10-17",
    "Statement" : [
        {
            "Sid": "DenyMemberAccountInstances",
            "Effect": "Deny",
            "Action": "sso:CreateInstance",
            "Resource": "*",
            "Condition": {
                 "StringNotEquals": {
                    "aws:PrincipalAccount": ["<ALLOWED-ACCOUNT-ID>"]
                }
            }
        }
    ]
}

  • Remplacez ["<ALLOWED-ACCOUNT-ID>"] par le ou les Compte AWS identifiants réels que vous souhaitez autoriser pour créer une instance de compte d'IAM Identity Center.

  • Vous pouvez répertorier plusieurs identifiants de comptes autorisés au format tableau : ["111122223333", "444455556666"].

  • Associez cette politique au SCP de votre organisation pour appliquer un contrôle centralisé sur la création d'instances de compte IAM Identity Center.

    Pour obtenir des instructions sur la manière de joindre un SCP, consultez la section Joindre et détacher des politiques de contrôle de service dans le Guide de l'AWS Organizations utilisateur.