Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation de rôles liés à des services pour IAM Identity Center

AWS IAM Identity Center utilise des Gestion des identités et des accès AWS rôles liés à des services (IAM). Un rôle lié à un service est un type unique de rôle IAM directement lié à IAM Identity Center. Il est prédéfini par IAM Identity Center et inclut toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom. Pour de plus amples informations, veuillez consulter Comprendre les rôles liés aux services dans IAM Identity Center.

Un rôle lié à un service facilite la configuration d'IAM Identity Center car vous n'avez pas à ajouter manuellement les autorisations nécessaires. IAM Identity Center définit les autorisations de son rôle lié à un service et, sauf indication contraire, seul IAM Identity Center peut assumer son rôle. Les autorisations définies comprennent la politique de confiance et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés aux services, consultez la section AWS Services qui fonctionnent avec IAM et recherchez les services dont la mention Oui est indiqué dans la Service-Linked colonne Rôle. Choisissez un Oui ayant un lien permettant de consulter les détails du rôle pour ce service.

Service-linked autorisations de rôle pour IAM Identity Center

IAM Identity Center utilise le rôle lié à un service nommé AWSServiceRoleForSSO pour accorder à IAM Identity Center les autorisations nécessaires pour gérer les AWS ressources, notamment les rôles IAM, les politiques et l'IdP SAML en votre nom.

Le rôle AWSServiceRoleForSSO lié à un service fait confiance aux services suivants pour assumer le rôle :

La politique d'autorisation des rôles AWSSSOServiceRolePolicy liés aux services permet à IAM Identity Center d'effectuer les opérations suivantes concernant les rôles sur le chemin « /aws- reserved/sso .amazonaws.com/ » et avec le préfixe de nom « AWSReservedSSO_ » :

La politique d'autorisation des rôles AWSSSOServiceRolePolicy liés aux services permet à IAM Identity Center d'effectuer les opérations suivantes sur les fournisseurs SAML dont le préfixe de nom est « AWSSSO_ » :

La politique d'autorisation des rôles AWSSSOServiceRolePolicy liés aux services permet à IAM Identity Center d'effectuer les tâches suivantes pour toutes les organisations :

La politique d'autorisation des rôles AWSSSOServiceRolePolicy liés aux services permet à IAM Identity Center d'effectuer les opérations suivantes pour tous les rôles IAM (*) :

La politique d'autorisation des rôles AWSSSOServiceRolePolicy liés aux services permet à IAM Identity Center d'effectuer les opérations suivantes sur « arn:aws:iam : :* : -service- .amazonaws ». role/aws role/sso com/AWSServiceRoleForSSO» :

La politique d'autorisation des rôles AWSSSOServiceRolePolicy liés aux services permet à IAM Identity Center d'effectuer les opérations suivantes sur « arn:aws:identity-sync : *:*:profile/* » :

Pour plus d'informations sur les mises à jour de la politique d'autorisations relatives AWSSSOServiceRolePolicy aux rôles liés aux services, consultez. Mises à jour d'IAM Identity Center pour AWS stratégies gérées

JSON

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"IAMRoleProvisioningActions",
         "Effect":"Allow",
         "Action":[
            "iam:AttachRolePolicy",
            "iam:CreateRole",
            "iam:DeleteRolePermissionsBoundary",
            "iam:PutRolePermissionsBoundary",
            "iam:PutRolePolicy",
            "iam:UpdateRole",
            "iam:UpdateRoleDescription",
            "iam:UpdateAssumeRolePolicy"
         ],
         "Resource":[
            "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/*"
         ],
         "Condition":{
            "StringNotEquals":{
               "aws:PrincipalOrgMasterAccountId":"${aws:PrincipalAccount}"
            }
         }
      },
      {
         "Sid":"IAMRoleReadActions",
         "Effect":"Allow",
         "Action":[
            "iam:GetRole",
            "iam:ListRoles"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"IAMRoleCleanupActions",
         "Effect":"Allow",
         "Action":[
            "iam:DeleteRole",
            "iam:DeleteRolePolicy",
            "iam:DetachRolePolicy",
            "iam:ListRolePolicies",
            "iam:ListAttachedRolePolicies"
         ],
         "Resource":[
            "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/*"
         ]
      },
      {
         "Sid":"IAMSLRCleanupActions",
         "Effect":"Allow",
         "Action":[
            "iam:DeleteServiceLinkedRole",
            "iam:GetServiceLinkedRoleDeletionStatus",
            "iam:DeleteRole",
            "iam:GetRole"
         ],
         "Resource":[
            "arn:aws:iam::*:role/aws-service-role/sso.amazonaws.com/AWSServiceRoleForSSO"
         ]
      },
      {
        "Sid": "IAMSAMLProviderCreationAction",
        "Effect": "Allow",
        "Action": [
          "iam:CreateSAMLProvider"
      ],
      "Resource": [
         "arn:aws:iam::*:saml-provider/AWSSSO_*"
       ],
      "Condition": {
         "StringNotEquals": {
            "aws:PrincipalOrgMasterAccountId": "${aws:PrincipalAccount}"
          }
        }
      },
      {
        "Sid": "IAMSAMLProviderUpdateAction",
        "Effect": "Allow",
        "Action": [
          "iam:UpdateSAMLProvider"
        ],
        "Resource": [
           "arn:aws:iam::*:saml-provider/AWSSSO_*"
        ]
      }, 
      {
         "Sid":"IAMSAMLProviderCleanupActions",
         "Effect":"Allow",
         "Action":[
            "iam:DeleteSAMLProvider",
            "iam:GetSAMLProvider"
         ],
         "Resource":[
            "arn:aws:iam::*:saml-provider/AWSSSO_*"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "organizations:DescribeAccount",
            "organizations:DescribeOrganization",
            "organizations:ListAccounts",
            "organizations:ListAWSServiceAccessForOrganization",
            "organizations:ListDelegatedAdministrators"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowUnauthAppForDirectory",
         "Effect":"Allow",
         "Action":[
            "ds:UnauthorizeApplication"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowDescribeForDirectory",
         "Effect":"Allow",
         "Action":[
            "ds:DescribeDirectories",
            "ds:DescribeTrusts"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowDescribeAndListOperationsOnIdentitySource",
         "Effect":"Allow",
         "Action":[
            "identitystore:DescribeUser",
            "identitystore:DescribeGroup",
            "identitystore:ListGroups",
            "identitystore:ListUsers"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowDeleteSyncProfile",
         "Effect":"Allow",
         "Action":[
            "identity-sync:DeleteSyncProfile"
         ],
         "Resource":[
            "arn:aws:identity-sync:*:*:profile/*"
         ]
      }
   ]    
}

Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, un groupe ou un rôle) de créer, modifier ou supprimer un rôle lié à un service. Pour plus d'informations, consultez la section sur les autorisations relatives aux Service-linked rôles dans le guide de l'utilisateur IAM.

Création d'un rôle lié à un service pour IAM Identity Center

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Une fois activé, IAM Identity Center crée un rôle lié à un service dans tous les comptes de l'organisation dans Organizations. AWS IAM Identity Center crée également le même rôle lié à un service dans chaque compte qui est ensuite ajouté à votre organisation. Ce rôle permet à IAM Identity Center d'accéder aux ressources de chaque compte en votre nom.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour le recréer dans votre compte.

Modification d'un rôle lié à un service pour IAM Identity Center

IAM Identity Center ne vous permet pas de modifier le rôle lié à un AWSServiceRoleForSSO service. Après avoir créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Supprimer un rôle lié à un service pour IAM Identity Center

Il n'est pas nécessaire de supprimer le AWSServiceRoleForSSO rôle manuellement. Lorsqu'un Compte AWS est supprimé d'une AWS organisation, IAM Identity Center nettoie automatiquement les ressources et en supprime le rôle lié à un service. Compte AWS

Vous pouvez également utiliser la console IAM, l'interface de ligne de commande IAM ou l'API IAM pour supprimer manuellement le rôle lié à un service. Pour ce faire, vous devez commencer par nettoyer les ressources de votre rôle lié à un service. Vous pouvez ensuite supprimer ce rôle manuellement.

Pour supprimer manuellement le rôle lié au service à l’aide d’IAM

Utilisez la console IAM, l’interface de ligne de commande IAM ou l’API IAM pour supprimer le rôle lié à un service AWSServiceRoleForSSO. Pour plus d'informations, consultez la section Supprimer un Service-Linked rôle dans le guide de l'utilisateur IAM.