Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS politiques gérées pour IAM Identity Center

La création de politiques IAM gérées par les clients qui fournissent à votre équipe uniquement les autorisations dont elle a besoin demande du temps et de l'expertise. Pour démarrer rapidement, vous pouvez utiliser des politiques AWS gérées. Ces politiques couvrent des cas d’utilisation courants et sont disponibles dans votre Compte AWS. Pour plus d’informations sur les politiques gérées par AWS , consultez Politiques gérées par AWS dans le Guide de l’utilisateur IAM.

AWS les services maintiennent et mettent à jour les politiques AWS gérées. Vous ne pouvez pas modifier les autorisations dans les politiques AWS gérées. Les services ajoutent occasionnellement des autorisations à une politique gérée par AWS pour prendre en charge de nouvelles fonctionnalités. Ce type de mise à jour affecte toutes les identités (utilisateurs, groupes et rôles) auxquelles la politique est attachée. Les services sont très susceptibles de mettre à jour une politique gérée par AWS quand une nouvelle fonctionnalité est lancée ou quand de nouvelles opérations sont disponibles. Les services ne suppriment pas les autorisations d'une politique AWS gérée, de sorte que les mises à jour des politiques n'annuleront pas vos autorisations existantes.

En outre, AWS prend en charge les politiques gérées pour les fonctions qui couvrent plusieurs services. Par exemple, la politique ReadOnlyAccess AWS gérée fournit un accès en lecture seule à tous les AWS services et ressources. Lorsqu'un service lance une nouvelle fonctionnalité, AWS ajoute des autorisations en lecture seule pour les nouvelles opérations et ressources. Pour obtenir la liste des politiques de fonctions professionnelles et leurs descriptions, consultez la page politiques gérées par AWS pour les fonctions de tâche dans le Guide de l’utilisateur IAM.

De nouvelles actions vous permettant de répertorier et de supprimer des sessions utilisateur sont disponibles dans le nouvel espace de nomsidentitystore-auth. Toutes les autorisations supplémentaires pour les actions dans cet espace de noms seront mises à jour sur cette page. Lorsque vous créez vos politiques IAM personnalisées, évitez d'utiliser * after identitystore-auth car cela s'applique à toutes les actions qui existent dans l'espace de noms aujourd'hui ou à l'avenir.

AWS stratégie gérée : AWSSSOMasterAccountAdministrator

La AWSSSOMasterAccountAdministrator politique prévoit les mesures administratives requises pour les directeurs d'école. La politique est destinée aux directeurs qui jouent le rôle d' AWS IAM Identity Center administrateur. Au fil du temps, la liste des actions proposées sera mise à jour pour correspondre aux fonctionnalités existantes d'IAM Identity Center et aux actions requises en tant qu'administrateur.

Vous pouvez associer la politique AWSSSOMasterAccountAdministrator à vos identités IAM. Lorsque vous associez la AWSSSOMasterAccountAdministrator politique à une identité, vous accordez AWS IAM Identity Center des autorisations administratives. Les administrateurs qui appliquent cette politique peuvent accéder à IAM Identity Center depuis le compte de AWS Organizations gestion et tous les comptes des membres. Ce principal peut gérer entièrement toutes les opérations d'IAM Identity Center, y compris la possibilité de créer une instance IAM Identity Center, des utilisateurs, des ensembles d'autorisations et des attributions. Le principal peut également instancier ces attributions dans les comptes des membres de l' AWS organisation et établir des connexions entre les annuaires AWS Directory Service gérés et IAM Identity Center. À mesure que de nouvelles fonctionnalités administratives seront publiées, ces autorisations seront automatiquement accordées à l'administrateur du compte.

Cette politique inclut également AWS Key Management Service les autorisations requises pour les instances IAM Identity Center qui utilisent des clés gérées par le client pour le chiffrement.

Regroupements d'autorisations

Cette politique est groupée en instructions basées sur le jeu d'autorisations fourni.

Pour consulter les autorisations relatives à cette politique, consultez AWSSSOMasterAccountAdministrator AWS Managed Policy Reference.

Informations supplémentaires sur cette politique

Lorsque IAM Identity Center est activé pour la première fois, le service IAM Identity Center crée un rôle lié au service dans le compte de AWS Organizations gestion (anciennement compte principal) afin qu'IAM Identity Center puisse gérer les ressources de votre compte. Les actions requises sont iam:CreateServiceLinkedRole etiam:PassRole.

AWS stratégie gérée : AWSSSOMemberAccountAdministrator

La AWSSSOMemberAccountAdministrator politique prévoit les mesures administratives requises pour les directeurs d'école. La politique est destinée aux directeurs qui jouent le rôle d'administrateur d'IAM Identity Center. Au fil du temps, la liste des actions proposées sera mise à jour pour correspondre aux fonctionnalités existantes d'IAM Identity Center et aux actions requises en tant qu'administrateur.

Vous pouvez associer la politique AWSSSOMemberAccountAdministrator à vos identités IAM. Lorsque vous associez la AWSSSOMemberAccountAdministrator politique à une identité, vous accordez AWS IAM Identity Center des autorisations administratives. Les administrateurs qui appliquent cette politique peuvent accéder à IAM Identity Center depuis le compte de AWS Organizations gestion et tous les comptes des membres. Ce principal peut gérer entièrement toutes les opérations d'IAM Identity Center, y compris la possibilité de créer des utilisateurs, des ensembles d'autorisations et des attributions. Le principal peut également instancier ces attributions dans les comptes des membres de l' AWS organisation et établir des connexions entre les annuaires AWS Directory Service gérés et IAM Identity Center. À mesure que de nouvelles fonctionnalités administratives sont publiées, ces autorisations sont automatiquement accordées à l'administrateur du compte.

Cette politique inclut également AWS Key Management Service les autorisations requises pour les instances IAM Identity Center qui utilisent des clés gérées par le client pour le chiffrement.

Pour consulter les autorisations relatives à cette politique, consultez AWSSSOMemberAccountAdministrator AWS Managed Policy Reference.

Informations supplémentaires sur cette politique

Les administrateurs d'IAM Identity Center gèrent les utilisateurs, les groupes et les mots de passe dans leur répertoire Identity Center (répertoire SSO). Le rôle d'administrateur du compte inclut des autorisations pour les actions suivantes :

Les administrateurs d'IAM Identity Center ont besoin d'autorisations limitées pour effectuer les Directory Service actions suivantes afin d'effectuer les tâches quotidiennes.

Ces autorisations permettent aux administrateurs d'IAM Identity Center d'identifier les annuaires existants et de gérer les applications afin qu'elles puissent être configurées pour être utilisées avec IAM Identity Center. Pour plus d'informations sur chacune de ces actions, consultez Autorisations Directory Service d'API : référence aux actions, aux ressources et aux conditions.

IAM Identity Center utilise des politiques IAM pour accorder des autorisations aux utilisateurs d'IAM Identity Center. Les administrateurs d'IAM Identity Center créent des ensembles d'autorisations et y associent des politiques. L'administrateur IAM Identity Center doit disposer des autorisations nécessaires pour répertorier les politiques existantes afin de pouvoir choisir les politiques à utiliser avec l'ensemble d'autorisations qu'il crée ou met à jour. Pour définir des autorisations sécurisées et fonctionnelles, l'administrateur IAM Identity Center doit disposer des autorisations nécessaires pour exécuter la validation de la politique IAM Access Analyzer.

Les administrateurs d'IAM Identity Center ont besoin d'un accès limité aux AWS Organizations actions suivantes pour effectuer leurs tâches quotidiennes :

Ces autorisations permettent aux administrateurs d'IAM Identity Center de travailler avec les ressources de l'organisation (comptes) pour les tâches administratives de base d'IAM Identity Center, telles que les suivantes :

Pour plus d'informations sur l'utilisation d'un administrateur délégué avec IAM Identity Center, consultezAdministration déléguée. Pour plus d'informations sur la manière dont ces autorisations sont utilisées avec AWS Organizations, consultez la section Utilisation AWS Organizations avec d'autres AWS services.

AWS stratégie gérée : AWSSSODirectoryAdministrator

Vous pouvez associer la politique AWSSSODirectoryAdministrator à vos identités IAM.

Cette politique accorde des autorisations administratives aux utilisateurs et aux groupes d'IAM Identity Center. Les responsables auxquels cette politique est associée peuvent apporter des mises à jour aux utilisateurs et aux groupes IAM Identity Center. Cette politique inclut également AWS Key Management Service les autorisations requises pour les instances IAM Identity Center qui utilisent des clés gérées par le client pour le chiffrement.

Cette politique inclut les autorisations suivantes :

Pour consulter les autorisations relatives à cette politique, consultez AWSSSODirectoryAdministrator AWS Managed Policy Reference.

AWS stratégie gérée : AWSSSOReadOnly

Vous pouvez associer la politique AWSSSOReadOnly à vos identités IAM.

Cette politique accorde des autorisations en lecture seule qui permettent aux utilisateurs de consulter les informations dans IAM Identity Center. Les responsables auxquels cette politique est associée ne peuvent pas consulter directement les utilisateurs ou les groupes IAM Identity Center. Les responsables auxquels cette politique est associée ne peuvent effectuer aucune mise à jour dans IAM Identity Center. Par exemple, les administrateurs disposant de ces autorisations peuvent consulter les paramètres d'IAM Identity Center, mais ne peuvent modifier aucune de ces valeurs.

Cette politique inclut également AWS Key Management Service les autorisations requises pour les instances IAM Identity Center qui utilisent des clés gérées par le client pour le chiffrement.

Pour consulter les autorisations relatives à cette politique, consultez AWSSSOReadOnly AWS Managed Policy Reference.

AWS stratégie gérée : AWSSSODirectoryReadOnly

Vous pouvez associer la politique AWSSSODirectoryReadOnly à vos identités IAM.

Cette politique accorde des autorisations en lecture seule qui permettent aux utilisateurs de consulter les utilisateurs et les groupes dans IAM Identity Center. Les directeurs auxquels cette politique est associée ne peuvent pas consulter les attributions, les ensembles d'autorisations, les applications ou les paramètres d'IAM Identity Center. Les responsables auxquels cette politique est associée ne peuvent effectuer aucune mise à jour dans IAM Identity Center. Par exemple, les administrateurs disposant de ces autorisations peuvent consulter les utilisateurs d'IAM Identity Center, mais ils ne peuvent modifier aucun attribut utilisateur ni attribuer d'appareils MFA.

Cette politique inclut également AWS Key Management Service les autorisations requises pour les instances IAM Identity Center qui utilisent des clés gérées par le client pour le chiffrement.

Pour consulter les autorisations relatives à cette politique, consultez AWSSSODirectoryReadOnly AWS Managed Policy Reference.

AWS stratégie gérée : AWSIdentitySyncFullAccess

Vous pouvez associer la politique AWSIdentitySyncFullAccess à vos identités IAM.

Les administrateurs auxquels cette politique est associée disposent d'autorisations d'accès complètes pour créer et supprimer des profils de synchronisation, associer ou mettre à jour un profil de synchronisation à une cible de synchronisation, créer, répertorier et supprimer des filtres de synchronisation et démarrer ou arrêter la synchronisation.

Détails de l'autorisation

Pour consulter les autorisations relatives à cette politique, consultez AWSIdentitySyncFullAccess AWS Managed Policy Reference.

AWS stratégie gérée : AWSIdentitySyncReadOnlyAccess

Vous pouvez associer la politique AWSIdentitySyncReadOnlyAccess à vos identités IAM.

Cette politique accorde des autorisations en lecture seule qui permettent aux utilisateurs de consulter des informations sur le profil de synchronisation des identités, les filtres et les paramètres cibles. Les administrateurs auxquels cette politique est associée ne peuvent pas mettre à jour les paramètres de synchronisation. Par exemple, les administrateurs disposant de ces autorisations peuvent consulter les paramètres de synchronisation des identités, mais ne peuvent modifier aucune valeur de profil ou de filtre.

Pour consulter les autorisations relatives à cette politique, consultez AWSIdentitySyncReadOnlyAccess AWS Managed Policy Reference.

AWS stratégie gérée : AWSSSOServiceRolePolicy

Vous ne pouvez pas associer la AWSSSOServiceRolePolicy politique à vos identités IAM.

Cette politique est associée à un rôle lié à un service qui permet à IAM Identity Center de déléguer et de contrôler quels utilisateurs disposent d'un accès d'authentification unique à un identifiant spécifique. Comptes AWS AWS Organizations Lorsque vous activez IAM, un rôle lié à un service est créé Comptes AWS dans l'ensemble de votre organisation. IAM Identity Center crée également le même rôle lié à un service dans chaque compte qui est ensuite ajouté à votre organisation. Ce rôle permet à IAM Identity Center d'accéder aux ressources de chaque compte en votre nom. Service-linked les rôles créés dans chacun d'eux Compte AWS sont nommésAWSServiceRoleForSSO. Pour de plus amples informations, veuillez consulter Utilisation de rôles liés à des services pour IAM Identity Center.

AWS stratégie gérée : AWSIAMIdentityCenterAllowListForIdentityContext

Lorsque vous assumez un rôle dans le contexte d'identité IAM Identity Center, AWS Security Token Service (AWS STS) associe automatiquement la AWSIAMIdentityCenterAllowListForIdentityContext politique au rôle.

Cette politique fournit la liste des actions autorisées lorsque vous utilisez la propagation d'identité sécurisée avec des rôles assumés dans le contexte d'identité IAM Identity Center. Toutes les autres actions appelées dans ce contexte sont bloquées. Le contexte d'identité est transmis en tant queProvidedContext.

Pour consulter les autorisations relatives à cette politique, consultez AWSIAMIdentityCenterAllowListForIdentityContext AWS Managed Policy Reference.

AWS stratégie gérée : AWSIdentityCenterExternalManagementPolicy

Vous pouvez associer la politique AWSIdentityCenterExternalManagementPolicy à vos identités IAM.

Cette politique permet d'accéder à la gestion des utilisateurs d'IAM Identity Center depuis un fournisseur externe.

Pour consulter les autorisations relatives à cette politique, consultez AWSIdentityCenterExternalManagementPolicy AWS Managed Policy Reference.

Mises à jour d'IAM Identity Center pour AWS stratégies gérées

Le tableau suivant décrit les mises à jour apportées aux politiques AWS gérées pour IAM Identity Center depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS sur la page d'historique des documents d'IAM Identity Center.