Exemples de stratégies basées sur l'identité pour Amazon Macie

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou modifier des ressources Macie Ils ne peuvent pas non plus exécuter des tâches à l'aide de la AWS Management Console, de l'AWS Command Line Interface (AWS CLI) ou de l'API AWS. Pour octroyer aux utilisateurs des autorisations d'effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM doit créer des politiques IAM. L'administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.

Pour apprendre à créer une politique basée sur l'identité IAM à l'aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l'onglet JSON dans le Guide de l'utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par Macie, y compris le format des ARN pour chacun des types de ressources, consultez Actions, ressources et clés de condition pour Amazon Macie

Lorsque vous créez une stratégie, veillez à résoudre les avertissements de sécurité, les erreurs, les avertissements généraux et les suggestions provenant d'AWS Identity and Access Management Access Analyzer(IAM Access Analyzer) avant d'enregistrer la stratégie IAM Access Analyzer exécute des vérifications de stratégies pour valider une stratégie par rapport à la grammaire de stratégie et aux bonnes pratiques IAM Ces vérifications génèrent des résultats et fournissent des recommandations exploitables pour vous aider à créer des stratégies fonctionnelles et conformes aux bonnes pratiques en matière de sécurité. Pour en savoir plus sur la validation des stratégies à l'aide d'IAM Access Analyzer, consultez Validation de stratégie IAM Access Analyzer dans le Guide de l'utilisateur IAM Pour afficher la liste des avertissements, erreurs et suggestions qu'IAM Access Analyzer peut renvoyer, consultez la Référence de vérification de politique IAM Access Analyzer dans le Guide de l'utilisateur IAM

Bonnes pratiques en matière de politiques

Les stratégies basées sur l'identité déterminent si une personne peut créer, consulter ou supprimer des ressources Macie Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l'identité, suivez ces instructions et recommandations :

• Démarrer avec AWS gérées et évoluez vers les autorisations de moindre privilège - Pour commencer à accorder des autorisations à vos utilisateurs et charges de travail, utilisez les politiques gérées AWS qui accordent des autorisations dans de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire encore les autorisations en définissant des Politiques gérées par le client AWS qui sont spécifiques à vos cas d'utilisation. Pour de plus amples informations, consultez Politiques gérées AWS ou Politiques gérées AWS pour les activités professionnelles dans le Guide de l'utilisateur IAM.

• Accorder les autorisations de moindre privilège - Lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l'exécution d'une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d'informations sur l'utilisation de IAM pour appliquer des autorisations, consultez Politiques et autorisations dans IAM dans le Guide de l'utilisateur IAM.

• Utiliser des conditions dans les politiques IAM pour restreindre davantage l'accès - Vous pouvez ajouter une condition à vos politiques afin de limiter l'accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées via un Service AWS spécifique, comme AWS CloudFormation. Pour plus d'informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l'utilisateur IAM.

• Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles - IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour de plus amples informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l'utilisateur IAM.

• Authentification multifactorielle (MFA) nécessaire : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root dans votre Compte AWS, activez l'authentification multifactorielle pour une sécurité renforcée. Pour exiger le MFA lorsque des opérations d'API sont appelées, ajoutez des conditions MFA à vos politiques. Pour de plus amples informations, consultez Configuration de l'accès aux API protégé par MFA dans le Guide de l'utilisateur IAM.

Pour plus d'informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l'utilisateur IAM.

Utilisation de la console Amazon Macie

Pour accéder à la console Amazon Macie Ces autorisations doivent vous permettre de répertorier et de consulter les détails concernant les ressources Macie Compte AWS Si vous créez une stratégie basée sur l'identité qui est plus restrictive que l'ensemble minimum d'autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette stratégie.

Vous n'avez pas besoin d'accorder les autorisations minimales de console pour les utilisateurs qui effectuent des appels uniquement à AWS CLI ou à l'API AWS. Autorisez plutôt l'accès à uniquement aux actions qui correspondent à l'opération d'API qu'ils tentent d'effectuer.

Pour garantir que les utilisateurs et les rôles peuvent utiliser la console Amazon Macie, créez des politiques IAM qui leur fournissent un accès à la console. Pour de plus amples informations, veuillez consulter Policies and permissions in IAM (Stratégies et autorisations dans IAM) dans le IAM Guide de l'utilisateur.

Si vous créez une politique qui autorise les utilisateurs ou les rôles à utiliser la console Amazon Macie, assurez-vous que la politique autorise l'macie2:GetMacieSessionaction. Dans le cas contraire, ces utilisateurs ou rôles ne pourront accéder à aucune ressource ou donnée Macie sur la console.

Assurez-vous également que la politique autorise les macie2:List actions appropriées pour les ressources auxquelles ces utilisateurs ou rôles doivent accéder sur la console. Dans le cas contraire, ils ne pourront pas accéder à ces ressources ni en afficher les détails sur la console. Par exemple, pour consulter les détails d'une tâche de découverte de données sensibles à l'aide de la console, un utilisateur doit être autorisé à effectuer l'macie2:DescribeClassificationJobaction correspondant à la tâche et à l'macie2:ListClassificationJobsaction. Si un utilisateur n'est pas autorisé à effectuer l'macie2:ListClassificationJobsaction, il ne pourra pas afficher la liste des tâches sur la page Tâches de la console et ne pourra donc pas choisir la tâche pour en afficher les détails. Pour que les détails incluent des informations sur un identifiant de données personnalisé utilisé par la tâche, l'utilisateur doit également être autorisé à effectuer l'macie2:BatchGetCustomDataIdentifiersaction correspondant à l'identifiant de données personnalisé.

Exemple : autoriser des utilisateurs à modifier leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d'afficher les politiques en ligne et gérées attachées à leur identité d'utilisateur. Cette politique inclut les autorisations nécessaires pour réaliser cette action sur la console ou par programmation à l'aide de l'AWS CLI ou de l'API AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Exemple : autoriser les utilisateurs à créer des tâches de découverte de données sensibles

Cet exemple montre comment créer une stratégie qui autorise un utilisateur à créer des tâches de découverte de données sensibles

Dans l'exemple, la première instruction accorde des macie2:CreateClassificationJob autorisations à l'utilisateur. Ces autorisations permettent à l'utilisateur de créer des tâches. La déclaration accorde également des macie2:DescribeClassificationJob autorisations. Ces autorisations permettent à l'utilisateur d'accéder aux détails des tâches existantes. Bien que ces autorisations ne soient pas requises pour créer des tâches, l'accès à ces informations peut aider l'utilisateur à créer des tâches dotées de paramètres de configuration uniques.

La deuxième instruction de l'exemple permet à l'utilisateur de créer, de configurer et de réviser des tâches à l'aide de la console Amazon Macie. Les macie2:ListClassificationJobs autorisations permettent à l'utilisateur d'afficher les tâches existantes sur la page Tâches de la console. Toutes les autres autorisations de l'instruction permettent à l'utilisateur de configurer et de créer une tâche à l'aide des pages Créer une tâche sur la console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAndReviewJobs",
            "Effect": "Allow",
            "Action": [
                "macie2:CreateClassificationJob",
                "macie2:DescribeClassificationJob"
            ],
            "Resource": "arn:aws:macie2:*:*:classification-job/*"
        },
        {
            "Sid": "CreateAndReviewJobsOnConsole",
            "Effect": "Allow",
            "Action": [
                "macie2:ListClassificationJobs",
                "macie2:ListAllowLists",
                "macie2:ListCustomDataIdentifiers",
                "macie2:ListManagedDataIdentifiers",
                "macie2:SearchResources",
                "macie2:DescribeBuckets"
            ],
            "Resource": "*"
        }
    ]
}

Exemple : autoriser des utilisateurs à gérer une tâche de découverte de données sensibles

Cet exemple montre comment créer une stratégie qui permet à un utilisateur d'accéder aux détails d'une tâche de découverte de données sensibles particulière, la tâche dont l'ID est 3ce05dbb7ec5505def334104bexample L'exemple permet également à l'utilisateur de modifier le statut de la tâche si nécessaire.

La première instruction de l'exemple octroie macie2:DescribeClassificationJob des macie2:UpdateClassificationJob autorisations à l'utilisateur. Ces autorisations permettent à l'utilisateur de récupérer les détails de la tâche et de modifier son statut, respectivement. La seconde déclaration accorde des macie2:ListClassificationJobs autorisations à l'utilisateur, ce qui lui permet d'accéder à la tâche en utilisant la page Jobs de la console Amazon Macie.

{
   "Version": "2012-10-17",
   "Statement": [
	{
         "Sid": "ManageOneJob",
         "Effect": "Allow",
         "Action": [
            "macie2:DescribeClassificationJob",
            "macie2:UpdateClassificationJob"
         ],
         "Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample"
	},
	{
         "Sid": "ListJobsOnConsole",
         "Effect": "Allow",
         "Action": "macie2:ListClassificationJobs",
         "Resource": "*"
	}
   ]
}

Vous pouvez également autoriser l'utilisateur à accéder aux données de journalisation (événements du journal) que Macie publie sur Amazon CloudWatch Logs pour la tâche. Pour ce faire, vous pouvez ajouter des instructions qui autorisent l'exécution d'actions CloudWatch Logs (logs) sur le groupe de journaux et le flux correspondant à la tâche. Par exemple :

"Statement": [
    {
        "Sid": "AccessLogGroupForMacieJobs",
        "Effect": "Allow",
        "Action": [
            "logs:DescribeLogGroups",
            "logs:DescribeLogStreams"
        ],
        "Resource": "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs"
    },
    {
        "Sid": "AccessLogEventsForOneMacieJob",
        "Effect": "Allow",
        "Action": "logs:GetLogEvents",
        "Resource": [
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs/*",
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs:log-stream:3ce05dbb7ec5505def334104bexample"
        ]
    }
]

Pour plus d'informations sur la gestion de l'accès aux CloudWatch journaux, consultez la section Présentation de la gestion des autorisations d'accès à vos ressources de CloudWatch journaux dans le guide de l'utilisateur d'Amazon CloudWatch Logs.

Exemple : autoriser des utilisateurs à examiner des résultats

Cet exemple montre comment créer une stratégie qui autorise un utilisateur à accéder aux données de résultats de recherche.

Dans cet exemple, les macie2:GetFindingStatistics autorisations macie2:GetFindings et permettent à l'utilisateur de récupérer les données à l'aide de l'API Amazon Macie ou de la console Amazon Macie. Les macie2:ListFindings autorisations permettent à l'utilisateur de récupérer et de consulter les données à l'aide du tableau de bord récapitulatif et des pages de résultats de la console Amazon Macie.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        }
    ]
}

Vous pouvez également autoriser l'utilisateur à créer et à gérer des règles de filtrage et des règles de suppression pour les résultats. Pour ce faire, vous pouvez inclure une instruction qui accorde les autorisations suivantes : macie2:CreateFindingsFiltermacie2:GetFindingsFilter,macie2:UpdateFindingsFilter, etmacie2:DeleteFindingsFilter. Pour permettre à l'utilisateur de gérer les règles à l'aide de la console Amazon Macie, incluez également macie2:ListFindingsFilters des autorisations dans la politique. Par exemple :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ManageRules",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindingsFilter",
                "macie2:UpdateFindingsFilter",
                "macie2:CreateFindingsFilter",
                "macie2:DeleteFindingsFilter"
            ],
            "Resource": "arn:aws:macie2:*:*:findings-filter/*"
        },
        {
            "Sid": "ListRulesOnConsole",
            "Effect": "Allow",
            "Action": "macie2:ListFindingsFilters",
            "Resource": "*"
        }
    ]
}

Exemple : Autoriser les utilisateurs à consulter des identifiants de données personnalisés en fonction de balises

Dans les stratégies basées sur l'identité, vous pouvez utiliser des conditions pour contrôler l'accès aux ressources Amazon Macie Cet exemple montre comment créer une politique qui permet à un utilisateur d'afficher des identifiants de données personnalisés à l'aide de la console Amazon Macie Toutefois, l'autorisation n'est accordée que si la valeur de la Owner balise est le nom d'utilisateur de l'utilisateur

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewCustomDataIdentifiersIfOwner",
            "Effect": "Allow",
            "Action": "macie2:GetCustomDataIdentifier",
            "Resource": "arn:aws:macie2:*:*:custom-data-identifier/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        },
        {
            "Sid": "ListCustomDataIdentifiersOnConsoleIfOwner",
            "Effect": "Allow",
            "Action": "macie2:ListCustomDataIdentifiers",
            "Resource": "*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

Dans cet exemple, si un utilisateur possédant le nom d'utilisateur richard-roe tente de vérifier les détails d'un identifiant de données personnalisé, celui-ci doit être balisé Owner=richard-roe ouowner=richard-roe. Dans le cas contraire, l’utilisateur se voit refuser l'accès. La clé de balise de condition Owner correspond aux deux Owner et owner parce que les noms de clé de condition ne sont pas sensibles à la casse Pour plus d'informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l'utilisateur IAM.