Comment Alexa for Business fonctionne avec IAM

Avant d'utiliser IAM pour gérer l'accès à Alexa for Business, vous devez comprendre les fonctionnalités IAM disponibles avec Alexa for Business. Pour obtenir une vue d'ensemble de la façon dont Alexa for Business et d'autres services AWS fonctionnent avec IAM, consultezServices AWS qui fonctionnent avec IAMdans leGuide de l'utilisateur IAM.

Stratégies basées sur l'identité Alexa for Business

Avec les stratégies IAM basées sur l'identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Alexa for Business prend en charge des actions, ressources et clés de condition spécifiques. Pour plus d'informations sur tous les éléments que vous utilisez dans une stratégie JSON, consultezRéférences des éléments de stratégie JSON IAMdans leGuide de l'utilisateur IAM.

Actions

Les administrateurs peuvent utiliser les stratégies AWS JSON pour spécifier qui a accès à quoi. Cela signifie : quel mandataire peut effectuer des actions sur quel type de ressources et dans quelles conditions.

L'élément Action d'une stratégie JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l'accès à une stratégie. Les actions de stratégie possèdent généralement le même nom que l'opération d'API AWS associée. Il existe quelques exceptions, telles que les actions avec autorisations uniquement qui n'ont pas d'opération API correspondante. Certaines opérations nécessitent également plusieurs actions dans une stratégie. Ces actions supplémentaires sont nommées actions dépendantes.

Intégration d'actions dans une stratégie afin d'accorder l'autorisation d'exécuter les opérations associées.

Les actions de stratégie dans Alexa for Business utilisent le préfixe suivant avant l'action : a4b:. Par exemple, pour accorder à une personne l'autorisation nécessaire pour exécuter une instance Amazon EC2 avec l'instance Amazon EC2RunInstances, vous incluez l'opérationec2:RunInstancesdans leur politique. Les déclarations de stratégie doivent inclure un élément Action ou NotAction. Alexa for Business définit son propre ensemble d'actions qui décrivent les tâches que vous pouvez effectuer avec ce service.

Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit :

"Action": [
      "ec2:action1",
      "ec2:action2"

Vous pouvez aussi spécifier plusieurs actions à l'aide de caractères génériques (*). Par exemple, pour spécifier toutes les actions qui commencent par le mot Describe, incluez l'action suivante :

"Action": "ec2:Describe*"

Pour afficher la liste des actions Alexa for Business, consultezActions définies par Alexa for Businessdans leGuide de l'utilisateur IAM.

Resources

Les administrateurs peuvent utiliser les stratégies AWS JSON pour spécifier qui a accès à quoi. Cela signifie : quel mandataire peut effectuer des actions sur quel type de ressources et dans quelles conditions.

L'élément de stratégie JSON Resource indique le ou les objets pour lesquels l'action s'applique. Les instructions doivent inclure un élément Resource ou NotResource. Il est recommandé de définir une ressource à l'aide de son Amazon Resource Name (ARN). Vous pouvez le faire pour les actions qui sont compatibles avec un type de ressource spécifique, connu sous la dénomination autorisations de niveau ressource.

Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, telles que les opérations de liste, utilisez un caractère générique (*) afin d'indiquer que l'instruction s'applique à toutes les ressources.

"Resource": "*"

La ressource d'instance Amazon EC2 possède l'ARN suivant :

arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId}

Pour de plus amples informations sur le format des ARN, veuillez consulter Amazon Ressource Names (ARN).

Par exemple, pour spécifier l'instance i-1234567890abcdef0 dans votre instruction, utilisez l'ARN suivant :

"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/i-1234567890abcdef0"

Pour spécifier toues les instances qui appartiennent à un compte spécifique, utilisez le caractère générique (*) :

"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*"

Certaines actions Alexa for Business, telles que celles destinées à la création de ressources, ne peuvent pas être exécutées sur une ressource spécifique. Dans ce cas, vous devez utiliser le caractère générique (*).

"Resource": "*"

De nombreuses actions d'API Amazon EC2 nécessitent plusieurs ressources. Par exemple, comme AttachVolume attache un volume Amazon EBS à une instance, un utilisateur IAM doit avoir les autorisations nécessaires pour utiliser le volume et l'instance. Pour spécifier plusieurs ressources dans une seule instruction, séparez leurs ARN par des virgules.

"Resource": [
      "resource1",
      "resource2"

Pour afficher la liste des types de ressources Alexa for Business et leurs ARN, consultezRessources définies par Alexa for Businessdans leGuide de l'utilisateur IAM. Pour en savoir plus sur les actions avec laquelle vous pouvez spécifier l'ARN de chaque ressource, consultezActions définies par Alexa for Business.

Clés de condition

Alexa for Business ne prend en charge aucune clé de condition globale.

Examples

Pour voir des exemples de stratégies basées sur l'identité Alexa for Business, consultezExemples de stratégies basées sur l'identité Alexa for Business.

Stratégies basées sur les ressource

Alexa for Business ne prend pas en charge les stratégies basées sur les ressource.

Listes de contrôle d'accès (ACL)

Alexa for Business ne prend pas en charge les listes de contrôle d'accès (listes ACL).

Autorisation basée sur les balises Alexa for Business

Alexa for Business ne prend pas en charge le balisage des ressources ni le contrôle d'accès basé sur des balises.

Rôles Alexa for Business

Un IAM role (rôle IAM) est une entité au sein de votre compte AWS qui dispose d'autorisations spécifiques.

Utilisation des informations d'identification temporaires avec Alexa for Business

Vous pouvez utiliser les informations d'identification temporairesPour se connecter à des fédérations, pour endosser un rôle IAM ou un rôle entre comptes. Vous obtenez des informations d'identification de sécurité temporaires en appelant des opérations d'API AWS STS telles que AssumeRole ou GetFederationToken.

Alexa for Business peut utiliser des informations d'identification temporaires.

Rôles liés à un service

Alexa for Business ne prend pas en charge les rôles liés à un service.

Rôles de service

Cette fonctionnalité permet à un service d'endosser un rôle de service en votre nom. Ce rôle autorise le service à accéder à des ressources d'autres services pour effectuer une action en votre nom. Les rôles de service s'affichent dans votre compte IAM et sont la propriété du compte. Cela signifie qu'un administrateur IAM peut modifier les autorisations associées à ce rôle. Toutefois, une telle action peut perturber le bon fonctionnement du service.

Alexa for Business prend en charge les rôles de service.