Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Exemples de politiques basées sur l'identité pour Amazon Lex V2 Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources Amazon Lex V2. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez [Création de politiques IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) dans le *Guide de l’utilisateur IAM*. Pour plus de détails sur les actions et les types de ressources définis par Amazon Lex V2, y compris le format du ARNs pour chacun des types de ressources, consultez la section [Actions, ressources et clés de condition pour Amazon Lex V2](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html) dans la *référence d'autorisation de service*. **Topics** + [ ## Bonnes pratiques en matière de politiques ](#security_iam_service-with-iam-policy-best-practices) + [ ## Utilisation de la console Amazon Lex V2 ](#security_iam_id-based-policy-examples-console) + [ ## Autoriser les utilisateurs à ajouter des fonctions à un bot ](#security_iam-bot-role) + [ ## Autoriser les utilisateurs à ajouter des chaînes à un bot ](#security_iam-channel-role) + [ ## Permettre aux utilisateurs de créer et de mettre à jour des robots ](#security_iam-bot-create-update) + [ ## Autoriser les utilisateurs à utiliser le concepteur de Chatbot automatisé ](#security_iam-bot-designer) + [ ## Autoriser les utilisateurs à utiliser une AWS KMS clé pour chiffrer et déchiffrer des fichiers ](#security_iam-bot-key) + [ ## Autoriser les utilisateurs à supprimer des robots ](#security_iam-bot-delete) + [ ## Permettre aux utilisateurs d'avoir une conversation avec un bot ](#security_iam-bot-conversation) + [ ## Autoriser un utilisateur spécifique à gérer les politiques basées sur les ressources ](#security_iam_id-based-policy-examples-allow-resource) + [ ## Autoriser un utilisateur à exporter des robots et des paramètres régionaux ](#security_iam_id-based-policy-examples-export) + [ ## Permettre à un utilisateur d'exporter un vocabulaire personnalisé ](#security_iam_id-based-policy-examples-import-vocab) + [ ## Autoriser un utilisateur à importer des robots et des paramètres régionaux ](#security_iam_id-based-policy-examples-import) + [ ## Permettre à un utilisateur d'importer un vocabulaire personnalisé ](#secruity_iam_id-based-policy-examples-import-vocab) + [ ## Autoriser un utilisateur à migrer un bot d'Amazon Lex vers Amazon Lex V2 ](#security_iam_id-based-policy-examples-migrate) + [ ## Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations ](#security_iam_id-based-policy-examples-view-own-permissions) + [ ## Permettre à un utilisateur de créer un flux de conversation avec le générateur de conversation visuel dans Amazon Lex V2 ](#security_iam_allow-draw-conversation-flow) + [ ## Autoriser les utilisateurs à créer et à afficher des répliques de robots, mais pas à les supprimer ](#security_iam_id-based-policy-examples-gr-permissions) ## Bonnes pratiques en matière de politiques Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Lex V2 dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations : + **Commencez avec les politiques gérées par AWS et passez aux autorisations avec le moindre privilège** : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les *politiques gérées par AWS* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les clients AWS spécifiques à vos cas d'utilisation. Pour plus d'informations, consultez les [politiques gérées par AWS ou les politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) [gérées par AWS pour les fonctions professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *guide de l'utilisateur IAM*. + **Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politiques avec IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*. + **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Sécurisation de l’accès aux API avec MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*. Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*. ## Utilisation de la console Amazon Lex V2 Pour accéder à la console Amazon Lex V2, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et de consulter les informations relatives aux ressources Amazon Lex V2 présentes dans votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique. Vous n'avez pas besoin d'accorder les autorisations minimales de console aux utilisateurs qui effectuent des appels uniquement vers l'AWS CLI ou l'API AWS. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer. Pour garantir que les utilisateurs et les rôles peuvent toujours utiliser la console Amazon Lex V2, les utilisateurs doivent avoir accès à la console. Pour plus d'informations sur la création d'un utilisateur avec accès à la console, consultez la section [Création d'un utilisateur IAM dans votre compte AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_create.html) dans le guide de l'*utilisateur IAM*. ## Autoriser les utilisateurs à ajouter des fonctions à un bot Cet exemple montre une politique qui permet aux utilisateurs d'IAM d'ajouter des autorisations Amazon Comprehend, d'analyse des sentiments et de requête Amazon Kendra à un bot Amazon Lex V2. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "Id1", "Effect": "Allow", "Action": "iam:PutRolePolicy", "Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*" }, { "Sid": "Id2", "Effect": "Allow", "Action": "iam:GetRolePolicy", "Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*" } ] } ``` ------ ## Autoriser les utilisateurs à ajouter des chaînes à un bot Cet exemple est une politique qui permet aux utilisateurs IAM d'ajouter un canal de messagerie à un bot. Un utilisateur doit avoir mis en place cette politique avant de pouvoir déployer un bot sur une plateforme de messagerie. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "Id1", "Effect": "Allow", "Action": "iam:PutRolePolicy", "Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*" }, { "Sid": "Id2", "Effect": "Allow", "Action": "iam:GetRolePolicy", "Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*" } ] } ``` ------ ## Permettre aux utilisateurs de créer et de mettre à jour des robots Cet exemple montre un exemple de politique qui permet aux utilisateurs IAM de créer et de mettre à jour n'importe quel bot. La politique inclut les autorisations permettant d'effectuer cette action sur la console ou à l'aide de l'AWS CLI ou de l'API AWS. ## Autoriser les utilisateurs à utiliser le concepteur de Chatbot automatisé Cet exemple montre un exemple de politique qui permet aux utilisateurs d'IAM d'exécuter le concepteur de Chatbot automatisé. ## Autoriser les utilisateurs à utiliser une AWS KMS clé pour chiffrer et déchiffrer des fichiers Cet exemple montre un exemple de politique qui permet aux utilisateurs IAM d'utiliser une clé gérée par AWS KMS le client pour chiffrer et déchiffrer des données. ## Autoriser les utilisateurs à supprimer des robots Cet exemple montre un exemple de politique qui permet aux utilisateurs IAM de supprimer n'importe quel bot. La politique inclut les autorisations permettant d'effectuer cette action sur la console ou à l'aide de l'AWS CLI ou de l'API AWS. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "lex:DeleteBot", "lex:DeleteBotLocale", "lex:DeleteBotAlias", "lex:DeleteIntent", "lex:DeleteSlot", "lex:DeleteSlottype" ], "Effect": "Allow", "Resource": [ "arn:aws:lex:us-east-1:123412341234:bot/*", "arn:aws:lex:us-east-1:123412341234:bot-alias/*" ] } ] } ``` ------ ## Permettre aux utilisateurs d'avoir une conversation avec un bot Cet exemple montre un exemple de politique qui permet aux utilisateurs d'IAM d'avoir une conversation avec n'importe quel bot. La politique inclut les autorisations permettant d'effectuer cette action sur la console ou à l'aide de l'AWS CLI ou de l'API AWS. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "lex:StartConversation", "lex:RecognizeText", "lex:RecognizeUtterance", "lex:GetSession", "lex:PutSession", "lex:DeleteSession" ], "Effect": "Allow", "Resource": "arn:aws:lex:us-east-1:123412341234:bot-alias/*" } ] } ``` ------ ## Autoriser un utilisateur spécifique à gérer les politiques basées sur les ressources L'exemple suivant autorise un utilisateur spécifique à gérer les politiques basées sur les ressources. Il permet d'accéder à la console et à l'API aux politiques associées aux robots et aux alias de robots. ## Autoriser un utilisateur à exporter des robots et des paramètres régionaux La politique d'autorisation IAM suivante permet à un utilisateur de créer, de mettre à jour et d'exporter un bot ou des paramètres régionaux du bot. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "lex:CreateExport", "lex:UpdateExport", "lex:DescribeExport", "lex:DescribeBot", "lex:DescribeBotLocale", "lex:ListBotLocales", "lex:DescribeIntent", "lex:ListIntents", "lex:DescribeSlotType", "lex:ListSlotTypes", "lex:DescribeSlot", "lex:ListSlots", "lex:DescribeCustomVocabulary" ], "Effect": "Allow", "Resource": [ "arn:aws:lex:us-east-1:123456789012:bot/*" ] } ] } ``` ------ ## Permettre à un utilisateur d'exporter un vocabulaire personnalisé La politique d'autorisation IAM suivante permet à un utilisateur d'exporter un vocabulaire personnalisé à partir des paramètres régionaux d'un bot. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "lex:CreateExport", "lex:UpdateExport", "lex:DescribeExport", "lex:DescribeCustomVocabulary" ], "Effect": "Allow", "Resource": [ "arn:aws:lex:us-east-1:123456789012:bot/*" ] } ] } ``` ------ ## Autoriser un utilisateur à importer des robots et des paramètres régionaux La politique d'autorisation IAM suivante permet à un utilisateur d'importer un bot ou des paramètres régionaux du bot et de vérifier le statut d'une importation. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "lex:CreateUploadUrl", "lex:StartImport", "lex:DescribeImport", "lex:CreateBot", "lex:UpdateBot", "lex:DeleteBot", "lex:CreateBotLocale", "lex:UpdateBotLocale", "lex:DeleteBotLocale", "lex:CreateIntent", "lex:UpdateIntent", "lex:DeleteIntent", "lex:CreateSlotType", "lex:UpdateSlotType", "lex:DeleteSlotType", "lex:CreateSlot", "lex:UpdateSlot", "lex:DeleteSlot", "lex:CreateCustomVocabulary", "lex:UpdateCustomVocabulary", "lex:DeleteCustomVocabulary", "iam:PassRole" ], "Effect": "Allow", "Resource": [ "arn:aws:lex:us-east-1:123456789012:bot/*", "arn:aws:lex:us-east-1:123456789012:bot-alias/*" ] } ] } ``` ------ ## Permettre à un utilisateur d'importer un vocabulaire personnalisé La politique d'autorisation IAM suivante permet à un utilisateur d'importer un vocabulaire personnalisé dans les paramètres régionaux d'un bot. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "lex:CreateUploadUrl", "lex:StartImport", "lex:DescribeImport", "lex:CreateCustomVocabulary", "lex:UpdateCustomVocabulary", "lex:DeleteCustomVocabulary" ], "Effect": "Allow", "Resource": [ "arn:aws:lex:us-east-1:123456789012:bot/*" ] } ] } ``` ------ ## Autoriser un utilisateur à migrer un bot d'Amazon Lex vers Amazon Lex V2 La politique d'autorisation IAM suivante permet à un utilisateur de commencer à migrer un bot d'Amazon Lex vers Amazon Lex V2. ## Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette stratégie inclut les autorisations nécessaires pour réaliser cette action sur la console ou par programmation à l'aide de l'AWS CLI ou de l'API AWS. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Permettre à un utilisateur de créer un flux de conversation avec le générateur de conversation visuel dans Amazon Lex V2 La politique d'autorisation IAM suivante permet à un utilisateur de dessiner le flux de conversation à l'aide du générateur de conversation visuel dans Amazon Lex V2. ## Autoriser les utilisateurs à créer et à afficher des répliques de robots, mais pas à les supprimer Vous pouvez associer les autorisations suivantes à un rôle IAM pour lui permettre de créer et d'afficher uniquement des répliques de robots. En omettant`lex:DeleteBotReplica`, vous empêchez le rôle de supprimer les répliques de robots. Pour de plus amples informations, veuillez consulter [Autorisations pour répliquer des robots et gérer les répliques de robots dans Lex V2](gr-permissions.md).