View a markdown version of this page

Configuration d’autorisations - Identification AWS Éditeur de ressources et de balises
Autorisations pour les services individuelsAutorisations requises pour utiliser la console Tag EditorOctroi d'autorisations pour l'utilisation de l'éditeur de balisesAutorisation et contrôle d'accès basés sur des balises

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration d’autorisations

Pour utiliser pleinement l'éditeur de balises, vous pouvez avoir besoin d'autorisations supplémentaires pour baliser des ressources ou pour voir les clés et les valeurs des balises d'une ressource. Ces autorisations sont classées dans les catégories suivantes :

  • Les autorisations pour les services individuels, afin de pouvoir baliser des ressources à partir de ces services et les inclure dans des groupes de ressources.

  • Autorisations requises pour utiliser la console Tag Editor.

Si vous êtes administrateur, vous pouvez accorder des autorisations à vos utilisateurs en créant des politiques via le service Gestion des identités et des accès AWS (IAM). Vous créez d'abord des rôles, des utilisateurs ou des groupes IAM, puis vous appliquez les politiques avec les autorisations nécessaires. Pour plus d'informations sur la création et l'attachement de politiques IAM, consultez la section Utilisation des politiques.

Autorisations pour les services individuels

Important

Cette section décrit les autorisations requises si vous souhaitez baliser des ressources provenant d'autres consoles de AWS service et API.

Pour ajouter des balises à une ressource, vous devez disposer des autorisations nécessaires pour le service auquel appartient la ressource. Par exemple, pour baliser des instances Amazon EC2, vous devez disposer des autorisations nécessaires pour les opérations de balisage dans l'API de ce service, telles que l'opération Amazon CreateTags EC2.

Autorisations requises pour utiliser la console Tag Editor

Pour utiliser la console Tag Editor pour répertorier et baliser des ressources, les autorisations suivantes doivent être ajoutées à la déclaration de politique de l'utilisateur dans IAM. Vous pouvez soit ajouter des politiques AWS gérées qui sont mises à jour et mises à jour par AWS, soit créer et gérer votre propre politique personnalisée.

Utilisation AWS politiques gérées pour les autorisations de l'éditeur de balises

Tag Editor prend en charge les politiques AWS gérées suivantes que vous pouvez utiliser pour fournir un ensemble prédéfini d'autorisations à vos utilisateurs. Vous pouvez associer ces politiques gérées à n'importe quel rôle, utilisateur ou groupe comme vous le feriez pour toute autre politique que vous créez.

ResourceGroupsandTagEditorReadOnlyAccess

Cette politique accorde au rôle IAM attaché ou à l'utilisateur l'autorisation d'appeler les opérations en lecture seule pour les deux Groupes de ressources AWS et l'éditeur de balises. Pour lire les balises d'une ressource, vous devez également disposer d'autorisations pour cette ressource par le biais d'une politique distincte. Pour en savoir plus, consultez la note importante suivante.

ResourceGroupsandTagEditorFullAccess

Cette politique accorde au rôle IAM attaché ou à l'utilisateur l'autorisation d'appeler n'importe quelle opération des groupes de ressources et les opérations de lecture et d'écriture des balises dans l'éditeur de balises. Pour lire ou écrire les balises d'une ressource, vous devez également disposer d'autorisations pour cette ressource par le biais d'une politique distincte. Pour en savoir plus, consultez la note importante suivante.

Important

Les deux politiques précédentes autorisaient à appeler les opérations de l'éditeur de balises et à utiliser la console de l'éditeur de balises. Cependant, vous devez également disposer des autorisations nécessaires non seulement pour invoquer l'opération, mais également des autorisations appropriées pour la ressource spécifique dont vous essayez d'accéder aux balises. Pour accorder cet accès aux balises, vous devez également joindre l'une des politiques suivantes :

  • La politique AWS gérée ReadOnlyAccess accorde des autorisations pour les opérations en lecture seule pour les ressources de chaque service. AWS met automatiquement cette politique à jour avec les nouvelles Services AWS dès qu'elles sont disponibles.

  • De nombreux services fournissent des politiques AWS gérées en lecture seule spécifiques à un service que vous pouvez utiliser pour limiter l'accès aux seules ressources fournies par ce service. Par exemple, Amazon EC2 fournit AmazonEC2ReadOnlyAccess.

  • Vous pouvez créer votre propre politique qui n'autorise l'accès qu'aux opérations spécifiques en lecture seule pour les quelques services et ressources auxquels vous souhaitez que vos utilisateurs aient accès. Cette politique utilise soit une stratégie de liste d'autorisation, soit une stratégie de liste de refus.

    Une stratégie de liste d'autorisations tire parti du fait que l'accès est refusé par défaut jusqu'à ce que vous l'autorisiez explicitement dans une politique. Vous pouvez donc utiliser une politique comme dans l'exemple suivant.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [ "tag:*" ],
            "Resource": [
                "arn:aws:ec2:us-east-1:444455556666:*",
                "arn:aws:s3:::amzn-s3-demo-bucket2"
                ]
        }
    ]
}

    Vous pouvez également utiliser une stratégie de liste de refus qui permet d'accéder à toutes les ressources, à l'exception de celles que vous bloquez explicitement. Cela nécessite une politique distincte qui s'applique aux utilisateurs concernés et qui autorise l'accès. L'exemple de politique suivant refuse ensuite l'accès aux ressources spécifiques répertoriées par l'Amazon Resource Name (ARN).

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [ "tag:*" ],
            "Resource": [
                "arn:aws:ec2:us-east-1:123456789012:instance:*",
                "arn:aws:s3:::amzn-s3-demo-bucket3"
             ]
        }
    ]
}

Ajouter manuellement les autorisations de l'éditeur de balises

  • tag:*(Cette autorisation autorise toutes les actions de l'éditeur de balises. Si vous souhaitez plutôt restreindre les actions disponibles pour un utilisateur, vous pouvez remplacer l'astérisque par une action https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsresourcegroups.html spécifique ou par une liste d'actions séparées par des virgules.)

  • tag:GetResources

  • tag:TagResources

  • tag:UntagResources

  • tag:getTagKeys

  • tag:getTagValues

  • resource-explorer:*

  • resource-groups:SearchResources

  • resource-groups:ListResourceTypes

Note

L'resource-groups:SearchResourcesautorisation permet à Tag Editor de répertorier les ressources lorsque vous filtrez votre recherche à l'aide de clés ou de valeurs de tag.

L'resource-explorer:ListResourcesautorisation permet à Tag Editor de répertorier les ressources lorsque vous recherchez des ressources sans définir de balises de recherche.

Octroi d'autorisations pour l'utilisation de l'éditeur de balises

Pour ajouter une politique d'utilisation Groupes de ressources AWS d'un éditeur de balises à un rôle, procédez comme suit.

  1. Ouvrez la console IAM sur la page Rôles.

  2. Trouvez le rôle pour lequel vous souhaitez accorder des autorisations à l'éditeur de balises. Choisissez le nom du rôle pour ouvrir la page de résumé du rôle.

  3. Sous l’onglet Autorisations, sélectionnez Ajouter des autorisations.

  4. Choisissez Attach existing policies directly (Attacher directement les politiques existantes).

  5. Choisissez Create Policy (Créer une politique).

  6. Dans l'onglet JSON, collez la déclaration de stratégie suivante.

    JSON
    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "tag:GetResources",
        "tag:TagResources",
        "tag:UntagResources",
        "tag:getTagKeys",
        "tag:getTagValues",
        "resource-explorer:*",
        "resource-groups:SearchResources",
        "resource-groups:ListResourceTypes"
      ],
      "Resource": "*"
    }
  ]
}
    Note

    Cet exemple de déclaration de politique accorde l'autorisation d'effectuer uniquement des actions de l'éditeur de balises.

  7. Sélectionnez Next: Tags (Suivant : Balises), puis Next: Review (Suivant : Vérification).

  8. Entrez le nom et la description de la nouvelle politique. Par exemple, AWSTaggingAccess.

  9. Choisissez Create Policy (Créer une politique).

Maintenant que la politique est enregistrée dans IAM, vous pouvez l'associer à d'autres principaux, tels que des rôles, des groupes ou des utilisateurs. Pour plus d'informations sur la façon d'ajouter une politique à un principal, consultez la section Ajouter et supprimer des autorisations d'identité IAM dans le Guide de l'utilisateur IAM.

Autorisation et contrôle d'accès basés sur des balises

Services AWS soutenez les éléments suivants :

  • Action-based politiques  : par exemple, vous pouvez créer une politique qui autorise les utilisateurs à effectuer GetTagKeys des GetTagValues opérations, mais pas à d'autres.

  • Resource-level autorisations dans les politiques  : de nombreux services prennent en charge l'utilisation des ARN pour spécifier des ressources individuelles dans la politique.

  • Autorisation basée sur des balises  : de nombreux services prennent en charge l'utilisation de balises de ressources dans le cadre d'une politique. Par exemple, vous pouvez créer une politique qui autorise les utilisateurs à accéder pleinement à un groupe qui possède le même tag que les utilisateurs. Pour plus d'informations, voir À quoi sert l'ABAC ? AWSdans le Guide de Gestion des identités et des accès AWS l'utilisateur.

  • Informations d'identification temporaires  : les utilisateurs peuvent assumer un rôle avec une politique qui autorise les opérations de l'éditeur de balises.

L'éditeur de balises n'utilise aucun rôle lié à un service.

Pour plus d'informations sur la manière dont Tag Editor s'intègre à Gestion des identités et des accès AWS (IAM), consultez les rubriques suivantes du Guide de l'Gestion des identités et des accès AWS utilisateur :