Utilisation des politiques IAM pour autoriser l'accès à la vue organisationnelle

Vous pouvez utiliser les politiques AWS Identity and Access Management (IAM) pour autoriser les utilisateurs ou les rôles de votre accès au compte à la vue organisationnelle dans AWS Trusted Advisor.

Exemple  : Accès complet à la vue organisationnelle

La politique suivante accorde un accès complet à la fonction de vue organisationnelle. Un utilisateur avec ces autorisations peut effectuer les opérations suivantes :

• Activation et désactivation de la vue organisationnelle

• Création, affichage, et téléchargement des rapports

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadStatement",
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccountsForParent",
                "organizations:ListAccounts",
                "organizations:ListRoots",
                "organizations:DescribeOrganization",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListAWSServiceAccessForOrganization",
                "trustedadvisor:DescribeAccount",
                "trustedadvisor:DescribeChecks",
                "trustedadvisor:DescribeCheckSummaries",
                "trustedadvisor:DescribeAccountAccess",
                "trustedadvisor:DescribeOrganization",
                "trustedadvisor:DescribeReports",
                "trustedadvisor:DescribeServiceMetadata",
                "trustedadvisor:DescribeOrganizationAccounts",
                "trustedadvisor:ListAccountsForParent",
                "trustedadvisor:ListRoots",
                "trustedadvisor:ListOrganizationalUnitsForParent"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CreateReportStatement",
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:GenerateReport"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ManageOrganizationalViewStatement",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess",
                "trustedadvisor:SetOrganizationAccess"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CreateServiceLinkedRoleStatement",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/reporting.trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisorReporting"
        }
    ]
}

Exemple   : Accès en lecture à la vue organisationnelle

La politique suivante accorde un accès en lecture uniquement à la vue organisationnelle pour Trusted Advisor. Un utilisateur disposant de ces autorisations ne peut afficher et télécharger que les rapports existants.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadStatement",
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccountsForParent",
                "organizations:ListAccounts",
                "organizations:ListRoots",
                "organizations:DescribeOrganization",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListAWSServiceAccessForOrganization",
                "trustedadvisor:DescribeAccount",
                "trustedadvisor:DescribeChecks",
                "trustedadvisor:DescribeCheckSummaries",
                "trustedadvisor:DescribeAccountAccess",
                "trustedadvisor:DescribeOrganization",
                "trustedadvisor:DescribeReports",
                "trustedadvisor:ListAccountsForParent",
                "trustedadvisor:ListRoots",
                "trustedadvisor:ListOrganizationalUnitsForParent"
            ],
            "Resource": "*"
        }
    ]
}

Vous pouvez également créer votre propre politique IAM. Pour plus d'informations, consultez Création de politiques IAM dans le Guide de l'utilisateur IAM.

Note

Si vous avez activé AWS CloudTrail dans votre compte, les rôles suivants peuvent apparaître dans vos entrées de journal :

• AWSServiceRoleForTrustedAdvisorReporting : le rôle lié à un service que Trusted Advisor utilise pour accéder aux comptes de votre organisation.

• AWSServiceRoleForTrustedAdvisor : le rôle lié à un service que Trusted Advisor utilise pour accéder aux services de votre organisation.

Pour plus d'informations sur les rôles liés à un service, consultez Utilisation des rôles liés aux services pour Trusted Advisor.