Comment AWS Application Discovery Service fonctionne avec IAM

Avant de gérer l'IAMaccès à Application Discovery Service, vous devez connaître les IAM fonctionnalités disponibles avec Application Discovery Service. Pour obtenir une vue d'ensemble du fonctionnement d'Application Discovery Service et d'autres AWS servicesIAM, consultez la section AWS Services That Work with IAM du Guide de l'IAMutilisateur.

Politiques basées sur l'identité d'Application Discovery Service

Avec les politiques IAM basées sur l'identité, vous pouvez spécifier les actions et les ressources autorisées ou refusées ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Application Discovery Service prend en charge des actions, des ressources et des clés de condition spécifiques. Pour en savoir plus sur tous les éléments que vous utilisez dans une JSON politique, consultez la section Référence des éléments de IAM JSON stratégie dans le guide de IAM l'utilisateur.

Actions

Les administrateurs peuvent utiliser AWS JSON des politiques pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L'Actionélément d'une JSON politique décrit les actions que vous pouvez utiliser pour autoriser ou refuser l'accès dans une politique. Les actions de stratégie portent généralement le même nom que l' AWS APIopération associée. Il existe certaines exceptions, telles que les actions avec autorisation uniquement qui n'ont pas d'opération correspondante. API Certaines opérations nécessitent également plusieurs actions dans une politique. Ces actions supplémentaires sont nommées actions dépendantes.

Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.

Les actions de stratégie dans Application Discovery Service utilisent le préfixe suivant avant l'action : discovery: Les déclarations de politique doivent inclure un élément Action ou NotAction. Application Discovery Service définit son propre ensemble d'actions décrivant les tâches que vous pouvez effectuer avec ce service.

Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit :

"Action": [
      "discovery:action1",
      "discovery:action2"

Vous pouvez aussi spécifier plusieurs actions à l’aide de caractères génériques (*). Par exemple, pour spécifier toutes les actions qui commencent par le mot Describe, incluez l’action suivante :

"Action": "discovery:Describe*"

Pour consulter la liste des actions d'Application Discovery Service, reportez-vous à la section Actions définies par AWS Application Discovery Service dans le Guide de IAM l'utilisateur.

Ressources

Application Discovery Service ne prend pas en charge la spécification de ressources ARNs dans une politique. Pour séparer l'accès, créez et utilisez séparément Comptes AWS.

Clés de condition

Application Discovery Service ne fournit aucune clé de condition spécifique au service, mais il prend en charge l'utilisation de certaines clés de condition globales. Pour voir toutes les clés de condition AWS globales, voir Clés contextuelles de condition AWS globale dans le guide de IAM l'utilisateur.

Exemples

Pour consulter des exemples de politiques basées sur l'identité d'Application Discovery Service, consultez. AWS Application Discovery Service exemples de politiques basées sur l'identité

Politiques basées sur les ressources d'Application Discovery Service

Application Discovery Service ne prend pas en charge les politiques basées sur les ressources.

Autorisation basée sur les balises Application Discovery Service

Application Discovery Service ne prend pas en charge le balisage des ressources ni le contrôle d'accès en fonction des balises.

IAMRôles d'Application Discovery Service

Un IAMrôle est une entité de votre AWS compte qui possède des autorisations spécifiques.

Utilisation d'informations d'identification temporaires avec Application Discovery Service

Application Discovery Service ne prend pas en charge l'utilisation d'informations d'identification temporaires.

Rôles liés à un service

Les rôles liés aux AWS services permettent aux services d'accéder aux ressources d'autres services pour effectuer une action en votre nom. Les rôles liés au service apparaissent dans votre IAM compte et appartiennent au service. Un IAM administrateur peut consulter mais pas modifier les autorisations pour les rôles liés à un service.

Application Discovery Service prend en charge les rôles liés aux services. Pour plus d'informations sur la création ou la gestion des rôles liés au service Application Discovery Service, consultez. Utilisation de rôles liés à un service pour Application Discovery Service

Rôles de service

Cette fonction permet à un service d’endosser une fonction du service en votre nom. Ce rôle autorise le service à accéder à des ressources d’autres services pour effectuer une action en votre nom. Les rôles de service apparaissent dans votre IAM compte et sont détenus par le compte. Cela signifie qu'un IAM administrateur peut modifier les autorisations associées à ce rôle. Toutefois, une telle action peut perturber le bon fonctionnement du service.

Application Discovery Service prend en charge les rôles de service.