Exemples de politiques basées sur l'identité pour Amazon Comprehend

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources Amazon Comprehend. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l'API AWS Management Console, AWS Command Line Interface (AWS CLI) ou de AWS l'API. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. L’administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques IAM (console) dans le Guide de l’utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par Amazon Comprehend, y compris le format de chaque type de ressource, consultez la section Actions, ressources et clés de condition pour Amazon Comprehend dans le Service Authorization Reference. ARNs

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Comprehend dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

• Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

• Accordez les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

• Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

• Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politiques avec IAM Access Analyzer dans le Guide de l’utilisateur IAM.

• Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Sécurisation de l’accès aux API avec MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console Amazon Comprehend

Pour accéder à la console Amazon Comprehend, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les informations relatives aux ressources Amazon Comprehend présentes dans votre. Compte AWS Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.

Pour obtenir des autorisations minimales sur la console Amazon Comprehend, vous pouvez associer la politique ComprehendReadOnly AWS gérée aux entités. Pour plus d’informations, consultez Ajout d’autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

Pour utiliser la console Amazon Comprehend, vous devez également disposer d'autorisations pour effectuer les actions décrites dans la politique suivante :

{
  "Version": "2012-10-17",
  "Statement": [
  {
      "Action": [
          "iam:ListRoles",
          "iam:GetRole",
          "s3:ListAllMyBuckets",
          "s3:ListBucket",
          "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": "*"
  }
  ]
  }

La console Amazon Comprehend a besoin de ces autorisations supplémentaires pour les raisons suivantes :

• iamautorisations permettant de répertorier les rôles IAM disponibles pour votre compte.

• s3autorisations d'accès aux compartiments et aux objets Amazon S3 contenant les données pour la modélisation de sujets.

Lorsque vous créez une tâche par lots asynchrone ou une tâche de modélisation de rubriques à l'aide de la console, vous pouvez demander à la console de créer un rôle IAM pour votre tâche. Pour créer un rôle IAM, les utilisateurs doivent disposer des autorisations supplémentaires suivantes pour créer des rôles et des politiques IAM, et pour associer des politiques aux rôles :

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Action":
          [
          "iam:CreateRole",
          "iam:CreatePolicy",
          "iam:AttachRolePolicy"
          ],
        "Effect": "Allow",
        "Resource": "*"
      },
      {
        "Action":
          [
          "iam:PassRole"
          ],
        "Effect": "Allow",
        "Resource": "arn:aws:iam::*:role/*Comprehend*"
      }
    ]
  }

La console Amazon Comprehend a besoin de ces autorisations supplémentaires pour les raisons suivantes :

• iamautorisations pour créer des rôles et des politiques et pour associer des rôles et des politiques. L'iam:PassRoleaction permet à la console de transmettre le rôle à Amazon Comprehend.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Autorisations requises pour effectuer des actions d'analyse de documents

L'exemple de politique suivant accorde des autorisations pour utiliser les actions d'analyse de documents Amazon Comprehend :

{
 "Version": "2012-10-17",
 "Statement": [{
    "Sid": "AllowDetectActions",
    "Effect": "Allow",
    "Action": [
              "comprehend:DetectEntities",
              "comprehend:DetectKeyPhrases",
              "comprehend:DetectDominantLanguage",
              "comprehend:DetectSentiment",
              "comprehend:DetectTargetedSentiment",
              "comprehend:DetectSyntax",
              "textract:DetectDocumentText",
              "textract:AnalyzeDocument"
           ],
    "Resource": "*"
    }
 ]
}
    

La politique comporte une déclaration qui autorise l'utilisation des DetectSyntax actions DetectEntitiesDetectKeyPhrases, DetectDominantLanguageDetectTargetedSentiment,DetectSentiment,, et. La déclaration de politique accorde également l'autorisation d'utiliser deux méthodes d'API Amazon Textract. Amazon Comprehend fait appel à ces méthodes pour extraire du texte à partir de fichiers image et de documents PDF numérisés. Vous pouvez supprimer ces autorisations pour les utilisateurs qui n'exécutent jamais d'inférence personnalisée pour ces types de fichiers d'entrée.

Un utilisateur appliquant cette politique ne serait pas en mesure d'effectuer des actions par lots ou des actions asynchrones dans votre compte.

La stratégie ne spécifie pas l'élément Principal, car vous ne spécifiez pas le mandataire qui obtient l'autorisation dans une stratégie basée sur une identité. Quand vous attachez une stratégie à un utilisateur, l'utilisateur est le mandataire implicite. Lorsque vous attachez une politique d'autorisation à un rôle IAM, le principal identifié dans la politique d'approbation de ce rôle obtient les autorisations.

Pour consulter un tableau présentant toutes les actions de l'API Amazon Comprehend et les ressources auxquelles elles s'appliquent, consultez la section Actions, ressources et clés de condition pour Amazon Comprehend dans le Service Authorization Reference.

Autorisations requises pour utiliser le chiffrement KMS

Pour utiliser pleinement Amazon Key Management Service (KMS) pour le chiffrement des données et des tâches dans le cadre d'une tâche asynchrone, vous devez accorder des autorisations pour les actions décrites dans la politique suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Action": [
            "kms:CreateGrant"
        ],
        "Effect": "Allow",
        "Resource": "*"
    },
    {
        "Action": [
            "kms:Decrypt",
            "kms:GenerateDatakey"
        ],
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "kms:ViaService": [
                    "s3.region.amazonaws.com"
                ]
            }
        }
    }
  ]
}       

Lorsque vous créez une tâche asynchrone avec Amazon Comprehend, vous utilisez des données d'entrée stockées sur Amazon S3. Avec S3, vous avez la possibilité de chiffrer vos données stockées, qui sont chiffrées par S3, et non par Amazon Comprehend. Nous pouvons déchiffrer et lire ces données d'entrée cryptées si vous kms:Decrypt autorisez la clé avec laquelle les données d'entrée d'origine ont été cryptées au rôle d'accès aux données utilisé par la tâche Amazon Comprehend.

Vous avez également la possibilité d'utiliser des clés gérées par le client (CMK) KMS pour chiffrer les résultats de sortie sur S3, ainsi que le volume de stockage utilisé pendant le traitement des tâches. Dans ce cas, vous pouvez utiliser la même clé KMS pour les deux types de chiffrement, mais cela n'est pas nécessaire. Des champs distincts sont disponibles lors de la création de la tâche pour spécifier les clés de chiffrement de sortie et de chiffrement de volume. Vous pouvez même utiliser une clé KMS provenant d'un autre compte.

Lors de l'utilisation du chiffrement KMS, une kms:CreateGrant autorisation est requise pour le chiffrement des volumes et une kms:GenerateDataKey autorisation est requise pour le chiffrement des données de sortie. Pour lire une entrée cryptée (comme lorsque les données d'entrée sont déjà chiffrées par Amazon S3), une kms:Decrypt autorisation est requise. Le rôle IAM doit accorder ces autorisations selon les besoins. Toutefois, si la clé provient d'un compte différent de celui actuellement utilisé, la politique de clé KMS associée à cette clé KMS doit également accorder ces autorisations au rôle d'accès aux données pour la tâche.

AWS politiques gérées (prédéfinies) pour Amazon Comprehend

AWS répond à de nombreux cas d'utilisation courants en fournissant des politiques IAM autonomes créées et administrées par. AWS Ces politiques AWS gérées accordent les autorisations nécessaires pour les cas d'utilisation courants afin que vous puissiez éviter d'avoir à rechercher les autorisations nécessaires. Pour plus d’informations, consultez Politiques gérées par AWS dans le Guide de l’utilisateur IAM.

Les politiques AWS gérées suivantes, que vous pouvez associer aux utilisateurs de votre compte, sont spécifiques à Amazon Comprehend :

• ComprehendFullAccess— Accorde un accès complet aux ressources d'Amazon Comprehend, y compris l'exécution de tâches de modélisation de sujets. Inclut l'autorisation de répertorier et d'obtenir des rôles IAM.

• ComprehendReadOnly— Octroie l'autorisation d'exécuter toutes les actions Amazon Comprehend à l'exception de StartDominantLanguageDetectionJobStartEntitiesDetectionJob,,StartKeyPhrasesDetectionJob, StartSentimentDetectionJobStartTargetedSentimentDetectionJob, et. StartTopicsDetectionJob

Vous devez appliquer la politique supplémentaire suivante à tout utilisateur qui utilisera Amazon Comprehend :

{
    "Version": "2012-10-17",
    "Statement":
      [
        {
          "Action":
            [
              "iam:PassRole"
            ],
          "Effect": "Allow",
          "Resource": "arn:aws:iam::*:role/*Comprehend*"
        }
      ]
  }

Vous pouvez consulter les politiques d'autorisations gérées en vous connectant à la console IAM et en y recherchant des politiques spécifiques.

Ces politiques fonctionnent lorsque vous utilisez AWS SDKs la AWS CLI.

Vous pouvez également créer vos propres politiques IAM personnalisées pour autoriser les actions et les ressources Amazon Comprehend. Vous pouvez associer ces politiques personnalisées aux utilisateurs, groupes ou rôles qui nécessitent ces autorisations.

Autorisations basées sur les rôles requises pour les opérations asynchrones

Pour utiliser les opérations asynchrones d'Amazon Comprehend, vous devez accorder à Amazon Comprehend l'accès au compartiment Amazon S3 qui contient votre collection de documents. Pour ce faire, vous devez créer un rôle d'accès aux données dans votre compte avec une politique de confiance visant à faire confiance au principal du service Amazon Comprehend. Pour plus d'informations sur la création d'un rôle, consultez la section Création d'un rôle pour déléguer des autorisations à un AWS service dans le guide de l'utilisateur d'AWS Identity and Access Management.

Voici un exemple de politique de confiance pour le rôle que vous créez. Pour éviter toute confusion chez les adjoints, vous limitez la portée de l'autorisation en utilisant une ou plusieurs clés contextuelles de conditions globales. Définissez la valeur aws:SourceAccount sur l'ID de votre compte. Si vous utilisez la ArnEquals condition, définissez la aws:SourceArn valeur sur l'ARN de la tâche. Utilisez un caractère générique pour le numéro de tâche dans l'ARN, car Amazon Comprehend génère ce numéro dans le cadre de la création d'emploi.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "comprehend.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          },
          "ArnEquals": {
            "aws:SourceArn": "arn:aws:comprehend:us-west-2:111122223333:pii-entities-detection-job/*"
          }
        }
      }
    ]
 }

Après avoir créé le rôle, créez une politique d'accès pour ce rôle. Cela devrait accorder à Amazon S3 GetObject et ListBucket des autorisations au compartiment Amazon S3 qui contient vos données d'entrée, ainsi que l'PutObjectautorisation Amazon S3 à votre compartiment de données de sortie Amazon S3.

Autorisations permettant d'autoriser toutes les actions Amazon Comprehend

Une fois inscrit AWS, vous créez un utilisateur administrateur chargé de gérer votre compte, notamment de créer des utilisateurs et de gérer leurs autorisations.

Vous pouvez choisir de créer un utilisateur autorisé à effectuer toutes les actions Amazon Comprehend (considérez cet utilisateur comme un administrateur spécifique à un service) afin de travailler avec Amazon Comprehend. Vous pouvez alors lier la stratégie d'autorisations suivante à cet utilisateur.

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Sid": "AllowAllComprehendActions",
        "Effect": "Allow",
        "Action":
        [
            "comprehend:*",
            "iam:ListRoles",
            "iam:GetRole",
            "s3:ListAllMyBuckets",
            "s3:ListBucket",
            "s3:GetBucketLocation",
            "iam:CreateRole",
            "iam:CreatePolicy",
            "iam:AttachRolePolicy",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:GenerateDatakey"
      ],
      "Resource": "*"
    },
    {
      "Action":
        [
          "iam:PassRole"
        ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/*Comprehend*"
    }
  ]
}

Ces autorisations peuvent être modifiées en ce qui concerne le chiffrement de la manière suivante :

• Pour permettre à Amazon Comprehend d'analyser des documents stockés dans un compartiment S3 chiffré, le rôle IAM doit disposer de cette autorisation. kms:Decrypt

• Pour permettre à Amazon Comprehend de chiffrer des documents stockés sur un volume de stockage attaché à l'instance de calcul qui traite le travail d'analyse, le rôle IAM doit disposer de l'autorisation. kms:CreateGrant

• Pour permettre à Amazon Comprehend de chiffrer les résultats de sortie dans son compartiment S3, le rôle IAM doit disposer de cette autorisation. kms:GenerateDataKey

Autorisations permettant d'autoriser les actions de modélisation de sujets

La politique d'autorisation suivante accorde aux utilisateurs les autorisations nécessaires pour effectuer les opérations de modélisation des rubriques Amazon Comprehend.

{
  "Version": "2012-10-17",
  "Statement": [{
  "Sid": "AllowTopicModelingActions",
  "Effect": "Allow",
  "Action": [
            "comprehend:DescribeTopicsDetectionJob",
            "comprehend:ListTopicsDetectionJobs",
            "comprehend:StartTopicsDetectionJob",
         ],
        "Resource": "*"
        ]
    }
  ]
  }

Autorisations requises pour une tâche d'analyse asynchrone personnalisée

Important

Si vous avez une politique IAM qui restreint l'accès aux modèles, vous ne serez pas en mesure de terminer une tâche d'inférence avec un modèle personnalisé. Votre politique IAM doit être mise à jour pour inclure une ressource générique pour une tâche d'analyse asynchrone personnalisée.

Si vous utilisez le StartDocumentClassificationJob et StartEntitiesDetectionJob APIs, vous devez mettre à jour votre politique IAM, sauf si vous utilisez actuellement des caractères génériques comme ressources. Si vous StartEntitiesDetectionJobutilisez un modèle préentraîné, cela ne vous concerne pas et vous n'avez aucune modification à apporter.

L'exemple de politique suivant contient une référence obsolète.

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer"
    ],
    "Effect": "Allow"
}

Il s'agit de la politique mise à jour que vous devez utiliser pour exécuter StartDocumentClassificationJob correctement et. StartEntitiesDetectionJob

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:document-classification-job/*",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer",
        "arn:aws:comprehend:us-east-1:123456789012:entities-detection-job/*"
    ],
    "Effect": "Allow"
}