Politiques basées sur l'identité pour Amazon DevOpsGuru - Amazon DevOps Guru

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Politiques basées sur l'identité pour Amazon DevOpsGuru

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou modifier DevOpsRessources Guru. Ils ne peuvent pas non plus exécuter des tâches à l'aide de la AWS Management Console, de l'AWS Command Line Interface (AWS CLI) ou de l'API AWS. Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des actions sur les ressources dont ils ont besoin. L'administrateur doit ensuite attacher ces stratégies aux utilisateurs qui en ont besoin.

Pour apprendre à créer une politique basée sur l'identité IAM à l'aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l'onglet JSON dans le Guide de l'utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par DevOpsGuru, y compris le format des ARN pour chacun des types de ressources, voirActions, ressources et clés de condition pour Amazon DevOpsGurudans leRéférence de l'autorisation de service.

Bonnes pratiques en matière de politiques

Les stratégies basées sur l'identité déterminent si une personne peut créer, consulter ou supprimer DevOpsRessources de Guru dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l'identité, suivez ces instructions et recommandations :

  • Démarrer avec AWS gérées et évoluez vers les autorisations de moindre privilège - Pour commencer à accorder des autorisations à vos utilisateurs et charges de travail, utilisez les politiques gérées AWS qui accordent des autorisations dans de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire encore les autorisations en définissant des Politiques gérées par le client AWS qui sont spécifiques à vos cas d'utilisation. Pour de plus amples informations, veuillez consulter Stratégies gérées AWS ou Stratégies gérées AWS pour les activités professionnelles dans le Guide de l'utilisateur IAM.

  • Accorder les autorisations de moindre privilège - Lorsque vous définissez des autorisations avec des stratégies IAM, accordez uniquement les autorisations nécessaires à l'exécution d'une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d'informations sur l'utilisation de IAM pour appliquer des autorisations, consultez Politiques et autorisations dans IAM dans le Guide de l'utilisateur IAM.

  • Utiliser des conditions dans les stratégies IAM pour restreindre davantage l'accès - Vous pouvez ajouter une condition à vos politiques afin de limiter l'accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de stratégie pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées via un Service AWS spécifique, comme AWS CloudFormation. Pour plus d'informations, veuillez consulter la rubriqueÉléments de politique JSON IAM : Conditiondans leIAM User Guide.

  • Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles - IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour de plus amples informations, veuillez consulter Validation de politique IAM Access Analyzer dans le Guide de l'utilisateur IAM.

  • Authentification multifactorielle (MFA) nécessaire. - Si vous avez un scénario qui nécessite des utilisateurs IAM ou utilisateurs root dans votre compte, activez une MFA pour plus de sécurité. Pour exiger le MFA lorsque des opérations d'API sont appelées, ajoutez des conditions MFA à vos stratégies. Pour de plus amples informations, veuillez consulter Configuration de l'accès aux API protégé par MFA dans le Guide de l'utilisateur IAM.

Pour plus d'informations sur les bonnes pratiques dans IAM, veuillez consulter Bonnes pratiques de sécurité dans IAM dans le Guide de l'utilisateur IAM.

Utilisation de DevOpsConsole DevOs

Pour accéder à Amazon DevOpsConsole Guru, vous devez disposer d'un ensemble minimum d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les informations relatives à DevOpsDes ressources de gourou dans votreCompte AWS. Si vous créez une politique basée sur l'identité qui est plus restrictive que les autorisations minimales requises, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs et rôles IAM) tributaires de cette politique.

Vous n'avez pas besoin d'accorder les autorisations minimales de console pour les utilisateurs qui effectuent des appels uniquement à AWS CLI ou à l'API AWS. Autorisez plutôt l'accès à uniquement aux actions qui correspondent à l'opération d'API que vous tentez d'effectuer.

Pour garantir que les utilisateurs et les rôles peuvent toujours utiliser le DevOpsConsole Guru, connectez également le DevOpsGuruAmazonDevOpsGuruReadOnlyAccessouAmazonDevOpsGuruFullAccess AWSstratégie gérée par pour les entités. Pour plus d'informations, consultez Ajout d'autorisations à un utilisateur dans le Guide de l'utilisateur IAM.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d'afficher les politiques en ligne et gérées attachées à leur identité d'utilisateur. Cette politique inclut les autorisations nécessaires pour réaliser cette action sur la console ou par programmation à l'aide de l'AWS CLI ou de l'API AWS.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }

Politiques gérées (prédéfinies) par AWS pourDevOpsGuru

AWS est approprié pour de nombreux cas d'utilisation courants et fournit des politiques IAM autonomes qui sont créées et administrées par AWS. CesAWS-les stratégies gérées octroient les autorisations requises dans les cas d'utilisation courants pour que vous évitiez d'avoir à réfléchir aux autorisations qui sont requises. Pour de plus amples informations, veuillez consulter Stratégies gérées par AWS dans le Guide de l'utilisateur IAM.

Pour créer et gérer DevOpsRôles de service Guru, vous devez également joindreAWS- politique gérée par le nomIAMFullAccess.

Vous pouvez également créer vos propres politiques IAM personnalisées pour accorder des autorisations forDevOpsActions et ressources du gourou. Vous pouvez attacher ces politiques personnalisées aux utilisateurs ou groupes IAM qui nécessitent ces autorisations.

ActionsAWS- les stratégies gérées, que vous pouvez attacher aux utilisateurs de votre compte, sont propres à DevOpsGuru

AmazonDevOpsGuruFullAccess

AmazonDevOpsGuruFullAccess— Fournit un accès complet àDevOpsGuru, y compris les autorisations pour créer des rubriques Amazon SNS, accéder à Amazon CloudWatch métriques et accèsAWS CloudFormationpiles. Appliquez-le uniquement aux utilisateurs de niveau administratif auxquels vous souhaitez accorder un contrôle total sur DevOpsGuru

Dans laAmazonDevOpsGuruFullAccessLa politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DevOpsGuruFullAccess", "Effect": "Allow", "Action": [ "devops-guru:*" ], "Resource": "*" }, { "Sid": "CloudFormationListStacksAccess", "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStacks" ], "Resource": "*" }, { "Sid": "CloudWatchGetMetricDataAccess", "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Sid": "SnsListTopicsAccess", "Effect": "Allow", "Action": [ "sns:ListTopics" ], "Resource": "*" }, { "Sid": "SnsTopicOperations", "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:Publish" ], "Resource": "arn:aws:sns:*:*:DevOps-Guru-*" }, { "Sid": "DevOpsGuruSlrCreation", "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru", "Condition": { "StringLike": { "iam:AWSServiceName": "devops-guru.amazonaws.com" } } }, { "Sid": "DevOpsGuruSlrDeletion", "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru" }, { "Sid": "RDSDescribeDBInstancesAccess", "Effect": "Allow", "Action": [ "rds:DescribeDBInstances" ], "Resource": "*" }, { "Sid": "CloudWatchLogsFilterLogEventsAccess", "Effect": "Allow", "Action": [ "logs:FilterLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:*", "Condition": { "StringEquals": { "aws:ResourceTag/DevOps-Guru-Analysis": "true" } } } ] }

AmazonDevOpsGuruConsoleFullAccess

AmazonDevOpsGuruConsoleFullAccess— Fournit un accès complet à DevOpsGuru, y compris les autorisations pour créer des rubriques Amazon SNS, accéder à Amazon CloudWatchmétriques et accèsAWS CloudFormationpiles. Cette politique comporte des autorisations supplémentaires relatives aux informations sur les performances afin que vous puissiez consulter une analyse détaillée relative aux instances de base de données Amazon RDS Aurora anormales dans la console. Appliquez-le uniquement aux utilisateurs de niveau administratif auxquels vous souhaitez accorder un contrôle total sur DevOpsGuru

Dans laAmazonDevOpsGuruConsoleFullAccessLa politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DevOpsGuruFullAccess", "Effect": "Allow", "Action": [ "devops-guru:*" ], "Resource": "*" }, { "Sid": "CloudFormationListStacksAccess", "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStacks" ], "Resource": "*" }, { "Sid": "CloudWatchGetMetricDataAccess", "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Sid": "SnsListTopicsAccess", "Effect": "Allow", "Action": [ "sns:ListTopics" ], "Resource": "*" }, { "Sid": "SnsTopicOperations", "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:Publish" ], "Resource": "arn:aws:sns:*:*:DevOps-Guru-*" }, { "Sid": "DevOpsGuruSlrCreation", "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru", "Condition": { "StringLike": { "iam:AWSServiceName": "devops-guru.amazonaws.com" } } }, { "Sid": "DevOpsGuruSlrDeletion", "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru" }, { "Sid": "RDSDescribeDBInstancesAccess", "Effect": "Allow", "Action": [ "rds:DescribeDBInstances" ], "Resource": "*" }, { "Sid": "PerformanceInsightsMetricsDataAccess", "Effect": "Allow", "Action": [ "pi:GetResourceMetrics", "pi:DescribeDimensionKeys" ], "Resource": "*" }, { "Sid": "CloudWatchLogsFilterLogEventsAccess", "Effect": "Allow", "Action": [ "logs:FilterLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:*", "Condition": { "StringEquals": { "aws:ResourceTag/DevOps-Guru-Analysis": "true" } } } ] }

AmazonDevOpsGuruReadOnlyAccess

AmazonDevOpsGuruReadOnlyAccess— Accorde l'accès en lecture seule àDevOpsGuru et ressources connexes dans d'autresAWSServices. Appliquez cette politique aux utilisateurs auxquels vous souhaitez accorder la possibilité de consulter des informations, mais pas de les mettre à jour DevOpsLes limites de couverture des analyses de Guru, les rubriques Amazon SNS ou le Systems Manager OpsCenterIntégration.

Dans laAmazonDevOpsGuruReadOnlyAccessLa politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DevOpsGuruReadOnlyAccess", "Effect": "Allow", "Action": [ "devops-guru:DescribeAccountHealth", "devops-guru:DescribeAccountOverview", "devops-guru:DescribeAnomaly", "devops-guru:DescribeEventSourcesConfig", "devops-guru:DescribeFeedback", "devops-guru:DescribeInsight", "devops-guru:DescribeResourceCollectionHealth", "devops-guru:DescribeServiceIntegration", "devops-guru:GetCostEstimation", "devops-guru:GetResourceCollection", "devops-guru:ListAnomaliesForInsight", "devops-guru:ListEvents", "devops-guru:ListInsights", "devops-guru:ListAnomalousLogGroups", "devops-guru:ListMonitoredResources", "devops-guru:ListNotificationChannels", "devops-guru:ListRecommendations", "devops-guru:SearchInsights", "devops-guru:StartCostEstimation" ], "Resource": "*" }, { "Sid": "CloudFormationListStacksAccess", "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStacks" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iam:GetRole" ], "Resource": "arn:aws:iam::*:role/aws-service-role/devops-guru.amazonaws.com/AWSServiceRoleForDevOpsGuru" }, { "Sid": "CloudWatchGetMetricDataAccess", "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Sid": "RDSDescribeDBInstancesAccess", "Effect": "Allow", "Action": [ "rds:DescribeDBInstances" ], "Resource": "*" }, { "Sid": "CloudWatchLogsFilterLogEventsAccess", "Effect": "Allow", "Action": [ "logs:FilterLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:*", "Condition": { "StringEquals": { "aws:ResourceTag/DevOps-Guru-Analysis": "true" } } } ] }

AmazonDevOpsGuruOrganizationsAccess

AmazonDevOpsGuruOrganizationsAccess— Permet aux administrateurs des Organizations d'accéder à DevOpsVue multi-comptes Guru au sein d'une organisation. Appliquez cette politique aux utilisateurs de niveau administrateur de votre organisation auxquels vous souhaitez accorder un accès complet à DevOpsGuru au sein d'une organisation. Vous pouvez appliquer cette politique au compte de gestion et au compte administrateur délégué de votre organisation pour DevOpsGuru Vous pouvez faire une demandeAmazonDevOpsGuruReadOnlyAccessouAmazonDevOpsGuruFullAccessen plus de cette politique pour fournir un accès en lecture seule ou complet à DevOpsGuru

Dans laAmazonDevOpsGuruOrganizationsAccessLa politique contient la déclaration suivante.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AmazonDevOpsGuruOrganizationsAccess", "Effect": "Allow", "Action": [ "devops-guru:DescribeOrganizationHealth", "devops-guru:DescribeOrganizationResourceCollectionHealth", "devops-guru:DescribeOrganizationOverview", "devops-guru:ListOrganizationInsights", "devops-guru:SearchOrganizationInsights" ], "Resource": "*" }, { "Sid": "OrganizationsDataAccess", "Effect": "Allow", "Action": [ "organizations:DescribeAccount", "organizations:DescribeOrganization", "organizations:ListAWSServiceAccessForOrganization", "organizations:ListAccounts", "organizations:ListChildren", "organizations:ListOrganizationalUnitsForParent", "organizations:ListRoots" ], "Resource": "arn:aws:organizations::*:" }, { "Sid": "OrganizationsAdminDataAccess", "Effect": "Allow", "Action": [ "organizations:DeregisterDelegatedAdministrator", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:EnableAWSServiceAccess", "organizations:DisableAWSServiceAccess" ], "Resource": "*", "Condition": { "StringEquals": { "organizations:ServicePrincipal": [ "devops-guru.amazonaws.com" ] } } } ] }