Exemples de politiques basées sur l’identité d’Amazon Detective - Amazon Detective

Le contenu de l'Amazon Detective Administration Guide est désormais consolidé dans le Amazon Detective User Guide. Le support standard d'Amazon Detective Administration Guide arrivera à expiration le 8 mai 2024.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l’identité d’Amazon Detective

Par défaut, les utilisateurs et les rôles IAM ne sont pas autorisés à créer ou modifier les ressources Detective. Ils ne peuvent pas non plus exécuter des tâches à l’aide de AWS Management Console, AWS CLI ou de l’API AWS.

Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d’API spécifiques sur les ressources spécifiées dont ils ont besoin. L’administrateur associe ensuite ces politiques aux utilisateurs ou aux groupes IAM ayant besoin de ces autorisations.

Pour savoir comment créer une politique IAM basée sur l’identité à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Bonnes pratiques en matière de politiques

Les politiques basées sur l’identité déterminent si une personne peut créer, consulter ou supprimer des ressources Detective dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

  • Démarrer avec AWS gérées et évoluez vers les autorisations de moindre privilège - Pour commencer à accorder des autorisations à vos utilisateurs et charges de travail, utilisez les politiques gérées AWS qui accordent des autorisations dans de nombreux cas d’utilisation courants. Elles sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire encore les autorisations en définissant des Politiques gérées par le client AWS qui sont spécifiques à vos cas d’utilisation. Pour de plus amples informations, consultez Politiques gérées AWS ou Politiques gérées AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

  • Accorder les autorisations de moindre privilège - Lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez Politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

  • Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès - Vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l’accès aux actions de service si elles sont utilisées via un Service AWS spécifique, comme AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

  • Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles - IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour de plus amples informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

  • Authentification multifactorielle (MFA) nécessaire : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root dans votre Compte AWS, activez l’authentification multifactorielle pour une sécurité renforcée. Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour de plus amples informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console Detective

Pour utiliser la console Amazon Detective, l’utilisateur ou le rôle doit avoir accès aux actions pertinentes, qui correspondent aux actions correspondantes dans l’API.

Pour activer Detective et devenir un compte administrateur pour un graphique de comportement, l’utilisateur ou le rôle doit être autorisé à effectuer l’action CreateGraph.

Pour utiliser la console Detective afin d’effectuer des actions sur le compte administrateur, l’utilisateur ou le rôle doit être autorisé à effectuer cette action ListGraphs. Cela donne l’autorisation de récupérer les graphiques de comportement dont le compte est un compte administrateur. Ils doivent également être autorisés à effectuer des actions spécifiques sur le compte administrateur.

Les actions les plus élémentaires du compte administrateur consistent à afficher la liste des comptes membres dans un graphique de comportement, et à utiliser le graphique de comportement à des fins d’enquête.

  • Pour afficher la liste des comptes membres dans un graphique de comportement, le principal doit être autorisé à effectuer l’action ListMembers.

  • Pour mener une enquête dans un graphique de comportement, le principal doit être autorisé à effectuer l’action SearchGraph.

Pour utiliser la console Detective afin d’effectuer des actions sur le compte membre, l’utilisateur ou le rôle doit être autorisé à effectuer cette action ListInvitations. Cela donne l’autorisation de consulter les invitations à des graphiques de comportement. L’utilisateur ou le rôle peut ensuite être autorisé à effectuer des actions spécifiques sur le compte membre.

Autoriser des utilisateurs à afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations nécessaires pour réaliser cette action sur la console ou par programmation à l’aide de l’AWS CLI ou de l’API AWS.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }

Compte administrateur : gestion des comptes membres dans un graphique de comportement

Cet exemple de politique est destiné aux utilisateurs de comptes administrateurs qui sont uniquement responsables de la gestion des comptes membres utilisés dans le graphique de comportement. Cette politique permet également à l’utilisateur de consulter les informations d’utilisation et de désactiver Detective. Cette politique n’autorise pas l’utilisation du graphique de comportement à des fins d’enquête.

{"Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":["detective:ListMembers","detective:CreateMembers","detective:DeleteMembers","detective:DeleteGraph","detective:Get*","detective:StartMonitoringMember"], "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899" }, { "Effect":"Allow", "Action":["detective:CreateGraph","detective:ListGraphs"], "Resource":"*" } ] }

Compte administrateur : utilisation d’un graphique de comportement à des fins d’enquête

Cet exemple de politique est destiné aux utilisateurs de comptes administrateurs qui utilisent le graphique de comportement uniquement à des fins d’enquête. Ils ne peuvent ni consulter ni modifier la liste des comptes membres dans le graphique de comportement.

{"Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":["detective:SearchGraph"], "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899" }, { "Effect":"Allow", "Action":["detective:ListGraphs"], "Resource":"*" } ] }

Compte membre : gestion des invitations et des adhésions basées sur des graphiques de comportement

Cet exemple de politique est destiné aux utilisateurs appartenant à un compte membre. Dans l’exemple, le compte membre appartient à deux graphiques de comportement. La politique accorde l’autorisation de répondre aux invitations et de supprimer le compte membre du graphique de comportement.

{"Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":["detective:AcceptInvitation","detective:RejectInvitation","detective:DisassociateMembership"], "Resource":[ "arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899", "arn:aws:detective:us-east-1:444455556666:graph:056d2a9521xi2bbluw1d164680eby416" ] }, { "Effect":"Allow", "Action":["detective:ListInvitations"], "Resource":"*" } ] }

Compte administrateur : restriction de l’accès en fonction des valeurs de balise

La politique suivante permet à l’utilisateur d’utiliser un graphique de comportement pour déterminer si la balise SecurityDomain du graphique de comportement correspond à la balise SecurityDomain de l’utilisateur.

{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":["detective:SearchGraph"], "Resource":"arn:aws:detective:*:*:graph:*", "Condition": { "StringEquals"{ "aws:ResourceTag/SecurityDomain": "aws:PrincipalTag/SecurityDomain" } } }, { "Effect":"Allow", "Action":["detective:ListGraphs"], "Resource":"*" } ] }

La politique suivante empêche les utilisateurs d’utiliser un graphique de comportement pour étudier si la valeur de la balise SecurityDomain pour le graphique de comportement est Finance.

{ "Version":"2012-10-17", "Statement":[ { "Effect":"Deny", "Action":["detective:SearchGraph"], "Resource":"arn:aws:detective:*:*:graph:*", "Condition": { "StringEquals": {"aws:ResourceTag/SecurityDomain": "Finance"} } } ] }