Politiques basées sur l'identité pour Amazon Guru DevOps - Amazon DevOps Guru

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Politiques basées sur l'identité pour Amazon Guru DevOps

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources DevOps Guru. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l'API AWS Management Console, AWS Command Line Interface (AWS CLI) ou de AWS l'API. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. L’administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par DevOps Guru, y compris le format des ARN pour chacun des types de ressources, consultez la section Actions, ressources et clés de condition pour Amazon DevOps Guru dans la référence d'autorisation de service.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer les ressources DevOps Guru de votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

  • Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

  • Accorder les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

  • Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

  • Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

  • Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console DevOps Guru

Pour accéder à la console Amazon DevOps Guru, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les détails des ressources DevOps Guru de votre Compte AWS. Si vous créez une stratégie basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette stratégie.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.

Pour garantir que les utilisateurs et les rôles peuvent toujours utiliser la console DevOps Guru, associez également le DevOps Guru AmazonDevOpsGuruReadOnlyAccess ou la politique AmazonDevOpsGuruFullAccess AWS gérée aux entités. Pour plus d’informations, consultez Ajout d’autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }

Politiques gérées (prédéfinies) par AWS pour DevOps Guru

AWS répond à de nombreux cas d'utilisation courants en fournissant des politiques IAM autonomes créées et administrées par. AWS Ces politiques AWS gérées accordent les autorisations nécessaires pour les cas d'utilisation courants afin que vous n'ayez pas à rechercher les autorisations nécessaires. Pour de plus amples informations, veuillez consulter Stratégies gérées par AWS dans le Guide de l'utilisateur IAM.

Pour créer et gérer les rôles de service DevOps Guru, vous devez également associer la politique AWS-managed nomméeIAMFullAccess.

Vous pouvez également créer vos propres politiques IAM personnalisées pour autoriser les actions et les ressources du DevOps Guru. Vous pouvez attacher ces stratégies personnalisées aux utilisateurs ou groupes qui nécessitent ces autorisations.

Les politiques AWS gérées suivantes, que vous pouvez associer aux utilisateurs de votre compte, sont spécifiques à DevOps Guru.

AmazonDevOpsGuruFullAccess

AmazonDevOpsGuruFullAccess— Fournit un accès complet à DevOps Guru, y compris les autorisations pour créer des sujets Amazon SNS, accéder aux CloudWatch métriques Amazon et accéder aux piles d'accès AWS CloudFormation . Ne l'appliquez qu'aux utilisateurs de niveau administratif auxquels vous souhaitez accorder un contrôle total sur Guru. DevOps

La AmazonDevOpsGuruFullAccess politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DevOpsGuruFullAccess", "Effect": "Allow", "Action": [ "devops-guru:*" ], "Resource": "*" }, { "Sid": "CloudFormationListStacksAccess", "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStacks" ], "Resource": "*" }, { "Sid": "CloudWatchGetMetricDataAccess", "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Sid": "SnsListTopicsAccess", "Effect": "Allow", "Action": [ "sns:ListTopics", "sns:ListSubscriptionsByTopic" ], "Resource": "*" }, { "Sid": "SnsTopicOperations", "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:Subscribe", "sns:Publish" ], "Resource": "arn:aws:sns:*:*:DevOps-Guru-*" }, { "Sid": "DevOpsGuruSlrCreation", "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru", "Condition": { "StringLike": { "iam:AWSServiceName": "devops-guru.amazonaws.com" } } }, { "Sid": "DevOpsGuruSlrDeletion", "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru" }, { "Sid": "RDSDescribeDBInstancesAccess", "Effect": "Allow", "Action": [ "rds:DescribeDBInstances" ], "Resource": "*" }, { "Sid": "CloudWatchLogsFilterLogEventsAccess", "Effect": "Allow", "Action": [ "logs:FilterLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:*", "Condition": { "StringEquals": { "aws:ResourceTag/DevOps-Guru-Analysis": "true" } } } ] }

AmazonDevOpsGuruConsoleFullAccess

AmazonDevOpsGuruConsoleFullAccess— Fournit un accès complet à DevOps Guru, y compris les autorisations pour créer des sujets Amazon SNS, accéder aux CloudWatch métriques Amazon et accéder aux piles d'accès AWS CloudFormation . Cette politique comporte des autorisations supplémentaires relatives aux informations sur les performances afin que vous puissiez consulter les analyses détaillées relatives aux instances de base de données Amazon RDS Aurora anormales dans la console. Ne l'appliquez qu'aux utilisateurs de niveau administratif auxquels vous souhaitez accorder un contrôle total sur Guru. DevOps

La AmazonDevOpsGuruConsoleFullAccess politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DevOpsGuruFullAccess", "Effect": "Allow", "Action": [ "devops-guru:*" ], "Resource": "*" }, { "Sid": "CloudFormationListStacksAccess", "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStacks" ], "Resource": "*" }, { "Sid": "CloudWatchGetMetricDataAccess", "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Sid": "SnsListTopicsAccess", "Effect": "Allow", "Action": [ "sns:ListTopics", "sns:ListSubscriptionsByTopic" ], "Resource": "*" }, { "Sid": "SnsTopicOperations", "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:Subscribe", "sns:Publish" ], "Resource": "arn:aws:sns:*:*:DevOps-Guru-*" }, { "Sid": "DevOpsGuruSlrCreation", "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru", "Condition": { "StringLike": { "iam:AWSServiceName": "devops-guru.amazonaws.com" } } }, { "Sid": "DevOpsGuruSlrDeletion", "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru" }, { "Sid": "RDSDescribeDBInstancesAccess", "Effect": "Allow", "Action": [ "rds:DescribeDBInstances" ], "Resource": "*" }, { "Sid": "PerformanceInsightsMetricsDataAccess", "Effect": "Allow", "Action": [ "pi:GetResourceMetrics", "pi:DescribeDimensionKeys" ], "Resource": "*" }, { "Sid": "CloudWatchLogsFilterLogEventsAccess", "Effect": "Allow", "Action": [ "logs:FilterLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:*", "Condition": { "StringEquals": { "aws:ResourceTag/DevOps-Guru-Analysis": "true" } } } ] }

AmazonDevOpsGuruReadOnlyAccess

AmazonDevOpsGuruReadOnlyAccess— Accorde un accès en lecture seule à DevOps Guru et aux ressources associées dans d'autres AWS services. Appliquez cette politique aux utilisateurs auxquels vous souhaitez accorder la possibilité de consulter les informations, mais pas de mettre à jour la limite de couverture des analyses de DevOps Guru, les rubriques Amazon SNS ou l'intégration de Systems Manager OpsCenter.

La AmazonDevOpsGuruReadOnlyAccess politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DevOpsGuruReadOnlyAccess", "Effect": "Allow", "Action": [ "devops-guru:DescribeAccountHealth", "devops-guru:DescribeAccountOverview", "devops-guru:DescribeAnomaly", "devops-guru:DescribeEventSourcesConfig", "devops-guru:DescribeFeedback", "devops-guru:DescribeInsight", "devops-guru:DescribeResourceCollectionHealth", "devops-guru:DescribeServiceIntegration", "devops-guru:GetCostEstimation", "devops-guru:GetResourceCollection", "devops-guru:ListAnomaliesForInsight", "devops-guru:ListEvents", "devops-guru:ListInsights", "devops-guru:ListAnomalousLogGroups", "devops-guru:ListMonitoredResources", "devops-guru:ListNotificationChannels", "devops-guru:ListRecommendations", "devops-guru:SearchInsights", "devops-guru:StartCostEstimation" ], "Resource": "*" }, { "Sid": "CloudFormationListStacksAccess", "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStacks" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iam:GetRole" ], "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru" }, { "Sid": "CloudWatchGetMetricDataAccess", "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Sid": "RDSDescribeDBInstancesAccess", "Effect": "Allow", "Action": [ "rds:DescribeDBInstances" ], "Resource": "*" }, { "Sid": "SnsListTopicsAccess", "Effect": "Allow", "Action": [ "sns:ListTopics", "sns:ListSubscriptionsByTopic" ], "Resource": "*" }, { "Sid": "CloudWatchLogsFilterLogEventsAccess", "Effect": "Allow", "Action": [ "logs:FilterLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:*", "Condition": { "StringEquals": { "aws:ResourceTag/DevOps-Guru-Analysis": "true" } } } ] }

AmazonDevOpsGuruOrganizationsAccess

AmazonDevOpsGuruOrganizationsAccess— Permet aux administrateurs des organisations d'accéder à la vue multi-comptes DevOps Guru au sein d'une organisation. Appliquez cette politique aux utilisateurs de niveau administrateur de votre organisation auxquels vous souhaitez accorder un accès complet à DevOps Guru au sein d'une organisation. Vous pouvez appliquer cette politique au compte de gestion et au compte d'administrateur délégué de DevOps Guru de votre organisation. Vous pouvez appliquer AmazonDevOpsGuruReadOnlyAccess ou compléter AmazonDevOpsGuruFullAccess cette politique pour fournir un accès complet ou en lecture seule à DevOps Guru.

La AmazonDevOpsGuruOrganizationsAccess politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AmazonDevOpsGuruOrganizationsAccess", "Effect": "Allow", "Action": [ "devops-guru:DescribeOrganizationHealth", "devops-guru:DescribeOrganizationResourceCollectionHealth", "devops-guru:DescribeOrganizationOverview", "devops-guru:ListOrganizationInsights", "devops-guru:SearchOrganizationInsights" ], "Resource": "*" }, { "Sid": "OrganizationsDataAccess", "Effect": "Allow", "Action": [ "organizations:DescribeAccount", "organizations:DescribeOrganization", "organizations:ListAWSServiceAccessForOrganization", "organizations:ListAccounts", "organizations:ListChildren", "organizations:ListOrganizationalUnitsForParent", "organizations:ListRoots" ], "Resource": "arn:aws:organizations::*:" }, { "Sid": "OrganizationsAdminDataAccess", "Effect": "Allow", "Action": [ "organizations:DeregisterDelegatedAdministrator", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:EnableAWSServiceAccess", "organizations:DisableAWSServiceAccess" ], "Resource": "*", "Condition": { "StringEquals": { "organizations:ServicePrincipal": [ "devops-guru.amazonaws.com" ] } } } ] }