Exemples de politiques basées sur l'identité pour Amazon Location Service

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources Amazon Location. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l'API AWS Management Console, AWS Command Line Interface (AWS CLI) ou de AWS l'API. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. L’administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par Amazon Location, y compris le format des ARN pour chacun des types de ressources, consultez la section Actions, ressources et clés de condition pour Amazon Location Service dans la référence d'autorisation du service.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Location dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

• Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

• Accorder les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

• Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

• Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

• Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console Amazon Location

Pour accéder à la console Amazon Location Service, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les informations relatives aux ressources Amazon Location présentes dans votre Compte AWS. Si vous créez une stratégie basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette stratégie.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.

Pour garantir que les utilisateurs et les rôles peuvent utiliser la console Amazon Location, associez la politique suivante aux entités. Pour plus d’informations, consultez Ajout d’autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

La politique suivante donne accès à la console Amazon Location Service, afin de pouvoir créer, supprimer, répertorier et consulter les informations relatives aux ressources Amazon Location dans votre AWS compte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GeoPowerUser",
      "Effect": "Allow",
      "Action": [
        "geo:*"
      ],
      "Resource": "*"
    }
  ]
}

Vous pouvez également accorder des autorisations en lecture seule pour faciliter l'accès en lecture seule. Avec les autorisations en lecture seule, un message d'erreur apparaît si l'utilisateur tente d'effectuer des actions d'écriture telles que la création ou la suppression de ressources. À titre d'exemple, voir Politique de lecture seule pour les ressources de suivi

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Utilisation des ressources Amazon Location Service dans le cadre de la politique

Amazon Location Service utilise les préfixes suivants pour les ressources :

Préfixe de ressource Amazon Location
Ressource	Préfixe de ressource
Ressources cartographiques	map
Placer des ressources	place-index
Ressources relatives aux itinéraires	route-calculator
Ressources de suivi	tracker
Ressources de la collection Geofence	geofence-collection

Utilisez la syntaxe ARN suivante :

arn:Partition:geo:Region:Account:ResourcePrefix/ResourceName

Pour plus d'informations sur le format des ARN, consultez Amazon Resource Names (ARN) et AWS Service Namespaces.

Exemples

• Utilisez l'ARN suivant pour autoriser l'accès à une ressource cartographique spécifiée.

  "Resource": "arn:aws:geo:us-west-2:account-id:map/map-resource-name"

• Pour spécifier l'accès à toutes les map ressources appartenant à un compte spécifique, utilisez le caractère générique (*) :

  "Resource": "arn:aws:geo:us-west-2:account-id:map/*"

• Certaines actions Amazon Location, telles que celles relatives à la création de ressources, ne peuvent pas être effectuées sur une ressource spécifique. Dans ces cas-là, vous devez utiliser le caractère générique (*).

  "Resource": "*"

Pour consulter la liste des types de ressources Amazon Location et de leurs ARN, consultez la section Ressources définies par Amazon Location Service dans la référence d'autorisation du service. Pour savoir avec quelles actions vous pouvez spécifier l'ARN de chaque ressource, consultez Actions définies par Amazon Location Service.

Autorisations pour mettre à jour les positions des appareils

Pour mettre à jour les positions de plusieurs appareils de suivi, vous devez autoriser un utilisateur à accéder à une ou plusieurs de vos ressources de suivi. Vous souhaiterez également autoriser l'utilisateur à mettre à jour un lot de positions d'appareils.

Dans cet exemple, en plus d'accorder l'accès aux ressources Tracker1 et Tracker2, la politique suivante autorise l'utilisation de l'geo:BatchUpdateDevicePositionaction sur les ressources Tracker1 et Tracker2.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ]
    }
  ]
}

Si vous souhaitez limiter l'utilisateur afin qu'il puisse uniquement mettre à jour les positions de l'appareil pour un appareil spécifique, vous pouvez ajouter une clé de condition pour cet identifiant d'appareil.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

Politique de lecture seule pour les ressources de suivi

Pour créer une politique de lecture seule pour toutes les ressources de suivi de votre AWS compte, vous devez autoriser l'accès à toutes les ressources de suivi. Vous devez également autoriser un utilisateur à accéder aux actions qui lui permettent d'obtenir la position de plusieurs appareils, d'obtenir la position de l'appareil à partir d'un seul appareil et d'obtenir l'historique des positions.

Dans cet exemple, la politique suivante autorise les actions suivantes :

• geo:BatchGetDevicePositionpour récupérer la position de plusieurs appareils.

• geo:GetDevicePositionpour récupérer la position d'un seul appareil.

• geo:GetDevicePositionHistorypour récupérer l'historique des positions d'un appareil.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchGetDevicePosition",
        "geo:GetDevicePosition",
        "geo:GetDevicePositionHistory"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:tracker/*"
    }
  ]
}

Politique de création de géofences

Pour créer une politique autorisant un utilisateur à créer des géofences, vous devez autoriser l'accès à des actions spécifiques qui permettent aux utilisateurs de créer une ou plusieurs géofences sur une collection de géofences.

La politique ci-dessous autorise les actions suivantes sur la collecte :

• geo:BatchPutGeofencepour créer plusieurs géofences.

• geo:PutGeofencepour créer une géofence unique.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

Politique de lecture seule pour les géofences

Pour créer une politique de lecture seule pour les géofences stockées dans une collection de géofences de votre AWS compte, vous devez autoriser l'accès aux actions qui lisent à partir de la collection de géofences stockant les géofences.

La politique ci-dessous autorise les actions suivantes sur la collecte :

• geo:ListGeofencespour répertorier les géofences dans la collection de géofences spécifiée.

• geo:GetGeofencepour récupérer une géofence dans la collection de géofences.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:ListGeofences",
        "geo:GetGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

Autorisations pour le rendu d'une ressource cartographique

Pour accorder des autorisations suffisantes pour afficher des cartes, vous devez autoriser l'accès aux vignettes de carte, aux sprites, aux glyphes et au descripteur de style :

• geo:GetMapTilerécupère les tuiles de carte utilisées pour afficher de manière sélective les entités d'une carte.

• geo:GetMapSpritesrécupère la feuille de sprites PNG et le document JSON correspondant décrivant les décalages qu'elle contient.

• geo:GetMapGlyphsrécupère les glyphes utilisés pour afficher le texte.

• geo:GetMapStyleDescriptorrécupère le descripteur de style de la carte, qui contient les règles de rendu.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetTiles",
      "Effect": "Allow",
      "Action": [
        "geo:GetMapTile",
        "geo:GetMapSprites",
        "geo:GetMapGlyphs",
        "geo:GetMapStyleDescriptor"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:map/Map"
    }
  ]
}

Autorisations pour autoriser les opérations de recherche

Pour créer une politique autorisant les opérations de recherche, vous devez d'abord autoriser l'accès à la ressource d'index des lieux de votre AWS compte. Vous souhaiterez également autoriser l'accès aux actions qui permettent à l'utilisateur d'effectuer une recherche à l'aide de texte par géocodage et de rechercher à l'aide d'une position par géocodage inversé.

Dans cet exemple, en plus d'accorder l'accès à PlaceIndex, la politique suivante autorise également les actions suivantes :

• geo:SearchPlaceIndexForPositionvous permet de rechercher des lieux ou des points d'intérêt à proximité d'une position donnée.

• geo:SearchPlaceIndexForTextvous permet de rechercher une adresse, un nom, une ville ou une région à l'aide de texte libre.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Search",
      "Effect": "Allow",
      "Action": [
        "geo:SearchPlaceIndexForPosition",
        "geo:SearchPlaceIndexForText"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:place-index/PlaceIndex"
    }
  ]
}

Politique de lecture seule pour les calculateurs d'itinéraires

Vous pouvez créer une politique en lecture seule pour permettre à un utilisateur d'accéder à une ressource de calcul d'itinéraire pour calculer un itinéraire.

Dans cet exemple, en plus d'accorder l'accès à ExampleCalculator, la politique suivante autorise l'opération suivante :

• geo:CalculateRoutecalcule un itinéraire en fonction d'une position de départ, d'une position de destination et d'une liste de positions de points de cheminement.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RoutesReadOnly",
      "Effect": "Allow",
      "Action": [
        "geo:CalculateRoute"
      ],
      "Resource": "arn:aws:geo:us-west-2:accountID:route-calculator/ExampleCalculator"
    }
  ]
}

Contrôlez l'accès aux ressources en fonction des clés de condition

Lorsque vous créez une politique IAM pour autoriser l'accès à l'utilisation de géofences ou de positions d'appareils, vous pouvez utiliser les opérateurs de condition pour contrôler plus précisément les géofences ou les appareils auxquels un utilisateur peut accéder. Vous pouvez le faire en incluant l'identifiant de géofence ou l'identifiant de l'appareil dans l'Conditionélément de votre politique.

L'exemple de politique suivant montre comment créer une politique qui permet à un utilisateur de mettre à jour les positions des appareils pour un appareil spécifique.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

Contrôlez l'accès aux ressources en fonction des balises

Lorsque vous créez une politique IAM pour autoriser l'accès à vos ressources Amazon Location, vous pouvez utiliser le contrôle d'accès basé sur les attributs pour mieux contrôler les ressources qu'un utilisateur peut modifier, utiliser ou supprimer. Vous pouvez le faire en incluant les informations relatives aux balises dans l'Conditionélément de votre politique afin de contrôler l'accès en fonction de vos balises de ressources.

L'exemple de politique suivant montre comment vous pouvez créer une politique permettant à un utilisateur de créer des barrières géographiques. Cela autorise les actions suivantes pour créer une ou plusieurs géofences sur une collection de géofences appelée Collection :

• geo:BatchPutGeofencepour créer plusieurs géofences.

• geo:PutGeofencepour créer une géofence unique.

Toutefois, cette politique utilise l'Conditionélément pour accorder l'autorisation uniquement si la balise Collection a la valeur du nom d'utilisateur de cet utilisateur. Owner

• Par exemple, si un utilisateur nommé richard-roe tente de consulter une collection de locations Amazon, la collection doit être étiquetée Owner=richard-roe ouowner=richard-roe. Dans le cas contraire, l'accès est refusé à l'utilisateur.

  Note

  La clé de condition d'étiquette Owner correspond à la fois à Owner et à owner, car les noms de clé de condition ne sont pas sensibles à la casse. Pour plus d'informations, veuillez consulter la rubrique Éléments de stratégie JSON IAM : Condition dans le Guide de l'utilisateur IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateGeofencesIfOwner",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection",
      "Condition": {
                "StringEquals": {"geo:ResourceTag/Owner": "${aws:username}"}
      }
    }
  ]
}

Pour un didacticiel expliquant comment définir les autorisations d'accès aux ressources AWS en fonction de balises, consultez le guide de AWS Identity and Access Management l'utilisateur.