Exemples de stratégies basées sur l'identité pour les plans de dimensionnement - AWS Auto Scaling
Bonnes pratiques en matière de politiquesAutorisation des utilisateurs à créer des plans de dimensionnementAutorisation des utilisateurs à activer le dimensionnement prédictif Autorisations supplémentaires requisesAutorisations requises pour créer un rôle lié à un service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de stratégies basées sur l'identité pour les plans de dimensionnement

Par défaut, un nouvel utilisateur IAM ne dispose d'aucune autorisation. Un administrateur IAM doit créer et assigner des politiques IAM qui accordent à une identité IAM (utilisateur ou rôle, par exemple) l'autorisation de travailler avec les plans de mise à l’échelle.

Pour savoir comment créer une stratégie IAM à partir de ces exemples de documents de stratégie JSON, consultez Création de stratégies dans l'onglet JSON dans le Guide de l'utilisateur IAM.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer AWS Auto Scaling des ressources dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

  • Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

  • Accorder les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

  • Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

  • Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

  • Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Autorisation des utilisateurs à créer des plans de dimensionnement

Voici un exemple de politique basée sur l’identité qui accorde des permissions de créer des plans de mise à l’échelle. 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
              "autoscaling-plans:*",
              "cloudwatch:PutMetricAlarm",
              "cloudwatch:DeleteAlarms",
              "cloudwatch:DescribeAlarms",
              "cloudformation:ListStackResources"
            ],
            "Resource": "*"
        }
    ]
}

Pour travailler avec un plan de dimensionnement, les utilisateurs finaux doivent disposer d'autorisations supplémentaires leur permettant de travailler avec des ressources spécifiques dans leur compte. Ces autorisations sont répertoriées dans Autorisations supplémentaires requises.

Chaque utilisateur de console a également besoin d'autorisations lui permettant de découvrir les ressources évolutives de son compte et de visualiser des graphiques de données CloudWatch métriques à partir de la AWS Auto Scaling console. L'ensemble d'autorisations supplémentaires requis pour utiliser la AWS Auto Scaling console est répertorié ci-dessous :

  • cloudformation:ListStacks : pour répertorier les piles.

  • tag:GetTagKeys: pour rechercher des ressources évolutives qui contiennent certaines clés de balise.

  • tag:GetTagValues : pour rechercher des ressources qui contiennent certaines valeurs de balise.

  • autoscaling:DescribeTags : pour rechercher des groupes Auto Scaling qui contiennent certaines balises.

  • cloudwatch:GetMetricData : pour afficher des données dans des graphiques de métriques.

Autorisation des utilisateurs à activer le dimensionnement prédictif

Voici un exemple de politique basée sur l’identité qui accorde des permissions d'activer la mise à l’échelle prédictive. Ces autorisations étendent les fonctionnalités des plans de dimensionnement configurés pour mettre à échelle les groupes Auto Scaling. 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
              "cloudwatch:GetMetricData",
              "autoscaling:DescribeAutoScalingGroups",
              "autoscaling:DescribeScheduledActions",
              "autoscaling:BatchPutScheduledUpdateGroupAction",
              "autoscaling:BatchDeleteScheduledAction"
            ],
            "Resource": "*"
        }
    ]
}

Autorisations supplémentaires requises

Pour configurer correctement les plans de dimensionnements, les utilisateurs finaux doivent disposer des autorisations pour chaque service cible pour lequel ils vont configurer la mise à l’échelle. Pour accorder les autorisations minimales requises pour utiliser les services cibles, lisez les informations dans cette section et spécifiez les actions pertinentes dans l'élément Action d'une déclaration de politique IAM.

Groupes Auto Scaling

Pour ajouter des groupes Auto Scaling à un plan de dimensionnement, les utilisateurs doivent disposer des autorisations suivantes à partir d'Amazon EC2 Auto Scaling :

  • autoscaling:UpdateAutoScalingGroup

  • autoscaling:DescribeAutoScalingGroups

  • autoscaling:PutScalingPolicy

  • autoscaling:DescribePolicies

  • autoscaling:DeletePolicy

Services ECS

Pour ajouter des services ECS à un plan de dimensionnement, les utilisateurs doivent disposer des autorisations suivantes à partir d'Amazon ECS et Application Auto Scaling :

  • ecs:DescribeServices

  • ecs:UpdateService

  • application-autoscaling:RegisterScalableTarget

  • application-autoscaling:DescribeScalableTargets

  • application-autoscaling:DeregisterScalableTarget

  • application-autoscaling:PutScalingPolicy

  • application-autoscaling:DescribeScalingPolicies

  • application-autoscaling:DeleteScalingPolicy

Parc d’instances Spot

Pour ajouter des parcs d'instances Spot à un plan de dimensionnement, les utilisateurs doivent disposer des autorisations suivantes à partir d'Amazon EC2 et Application Auto Scaling :

  • ec2:DescribeSpotFleetRequests

  • ec2:ModifySpotFleetRequest

  • application-autoscaling:RegisterScalableTarget

  • application-autoscaling:DescribeScalableTargets

  • application-autoscaling:DeregisterScalableTarget

  • application-autoscaling:PutScalingPolicy

  • application-autoscaling:DescribeScalingPolicies

  • application-autoscaling:DeleteScalingPolicy

Tables et index globaux DynamoDB

Pour ajouter des tables ou des index globaux DynamoDB à un plan de dimensionnement, les utilisateurs doivent disposer des autorisations suivantes à partir de DynamoDB et Application Auto Scaling :

  • dynamodb:DescribeTable

  • dynamodb:UpdateTable

  • application-autoscaling:RegisterScalableTarget

  • application-autoscaling:DescribeScalableTargets

  • application-autoscaling:DeregisterScalableTarget

  • application-autoscaling:PutScalingPolicy

  • application-autoscaling:DescribeScalingPolicies

  • application-autoscaling:DeleteScalingPolicy

Clusters DB Aurora

Pour ajouter des clusters de base de données Aurora à un plan de dimensionnement, les utilisateurs doivent disposer des autorisations suivantes à partir d'Amazon Aurora et Application Auto Scaling :

  • rds:AddTagsToResource

  • rds:CreateDBInstance

  • rds:DeleteDBInstance

  • rds:DescribeDBClusters

  • rds:DescribeDBInstances

  • application-autoscaling:RegisterScalableTarget

  • application-autoscaling:DescribeScalableTargets

  • application-autoscaling:DeregisterScalableTarget

  • application-autoscaling:PutScalingPolicy

  • application-autoscaling:DescribeScalingPolicies

  • application-autoscaling:DeleteScalingPolicy

Autorisations requises pour créer un rôle lié à un service

AWS Auto Scaling nécessite des autorisations pour créer un rôle lié à un service la première fois qu'un de vos utilisateurs Compte AWS crée un plan de dimensionnement avec le dimensionnement prédictif activé. Si le rôle lié au service n'existe pas déjà, AWS Auto Scaling créez-le dans votre compte. Le rôle lié au service accorde des autorisations lui AWS Auto Scaling permettant d'appeler d'autres services en votre nom.

Pour que cette création de rôle automatique aboutisse, les utilisateurs doivent disposer des autorisations nécessaires pour l'action iam:CreateServiceLinkedRole.

"Action": "iam:CreateServiceLinkedRole"

L'exemple suivant illustre une politique basée sur l’identité qui permet des autorisations pour créer un rôle lié à un service. 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/autoscaling-plans.amazonaws.com/AWSServiceRoleForAutoScalingPlans_EC2AutoScaling",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName":"autoscaling-plans.amazonaws.com"
                }
            }
        }
    ]
}

Pour plus d’informations, consultez Rôle lié à un service de dimensionnement prédictif.