Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Comment Amazon Lightsail fonctionne avec IAM Avant d'utiliser IAM pour gérer l'accès à Lightsail, vous devez connaître les fonctionnalités IAM disponibles avec Lightsail. *Pour obtenir une vue d'ensemble de la façon dont Lightsail et les AWS autres services fonctionnent avec IAM, [AWS consultez la section Services That Work with IAM dans le guide de l'utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) IAM.* ## Politiques basées sur l'identité de Lightsail Avec les politiques IAM basées sur l’identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Lightsail prend en charge des actions, des ressources et des clés de condition spécifiques. Pour en savoir plus sur tous les éléments que vous utilisez dans une politique JSON, consultez [Références des éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) dans le *Guide de l’utilisateur IAM*. ### Actions Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**. L’élément `Action` d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées. Les actions politiques dans Lightsail utilisent le préfixe suivant avant l'action :. `lightsail:` Par exemple, pour autoriser une personne à exécuter une instance Lightsail avec l'opération d'API Lightsail, vous devez `CreateInstances` inclure l'action dans sa politique. `lightsail:CreateInstances` Les déclarations de politique doivent inclure un élément `Action` ou `NotAction`. Lightsail définit son propre ensemble d'actions décrivant les tâches que vous pouvez effectuer avec ce service. Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit : ``` "Action": [ "lightsail:action1", "lightsail:action2" ``` Vous pouvez aussi spécifier plusieurs actions à l’aide de caractères génériques (\$1). Par exemple, pour spécifier toutes les actions qui commencent par le mot `Create`, incluez l’action suivante : ``` "Action": "lightsail:Create*" ``` *Pour consulter la liste des actions Lightsail, [consultez la section Actions définies par Amazon Lightsail dans le guide de l'utilisateur IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-actions-as-permissions).* ### Ressources Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**. L’élément de politique JSON `Resource` indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (\$1) afin d’indiquer que l’instruction s’applique à toutes les ressources. ``` "Resource": "*" ``` **Important** Lightsail ne prend pas en charge les autorisations au niveau des ressources pour certaines actions d'API. Pour plus d'informations, voir [Prise en charge des autorisations au niveau des ressources et des autorisations basées sur des balises](resource-level-permissions-and-auth-based-on-tags-support.md). La ressource d'instance Lightsail possède l'ARN suivant : ``` arn:${Partition}:lightsail:${Region}:${Account}:Instance/${InstanceId} ``` Pour plus d'informations sur le format de ARNs, consultez [Amazon Resource Names (ARNs) et AWS Service Namespaces](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html). Par exemple, pour spécifier l’instance `ea123456-e6b9-4f1d-b518-3ad1234567e6` dans votre instruction, utilisez l’ARN suivant : ``` "Resource": "arn:aws:lightsail:us-east-1:123456789012:Instance/ea123456-e6b9-4f1d-b518-3ad1234567e6" ``` Pour spécifier toutes les instances qui appartiennent à un compte spécifique, utilisez le caractère générique (\$1) : ``` "Resource": "arn:aws:lightsail:us-east-1:123456789012:Instance/*" ``` Certaines actions de Lightsail, telles que celles relatives à la création de ressources, ne peuvent pas être effectuées sur une ressource spécifique. Dans ces cas-là, vous devez utiliser le caractère générique (\$1). ``` "Resource": "*" ``` De nombreuses actions de l'API Lightsail impliquent plusieurs ressources. Par exemple, `AttachDisk` attache un disque de stockage par blocs Lightsail à une instance, de sorte qu'un utilisateur IAM doit être autorisé à utiliser le disque et l'instance. Pour spécifier plusieurs ressources dans une seule instruction, séparez-les ARNs par des virgules. ``` "Resource": [ "resource1", "resource2" ``` *Pour consulter la liste des types de ressources Lightsail et de ARNs leurs caractéristiques, [consultez la section Ressources définies par Amazon Lightsail dans le guide de l'utilisateur IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-resources-for-iam-policies).* Pour savoir avec quelles actions vous pouvez spécifier l'ARN de chaque ressource, consultez [Actions définies par Amazon Lightsail](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-actions-as-permissions). ### Clés de condition Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**. L’élément `Condition` indique à quel moment les instructions s’exécutent en fonction de critères définis. Vous pouvez créer des expressions conditionnelles qui utilisent des [opérateurs de condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande. Pour voir toutes les clés de condition AWS globales, voir les clés de [contexte de condition AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dans le *guide de l'utilisateur IAM*. Lightsail ne fournit aucune clé de condition spécifique au service, mais il prend en charge l'utilisation de certaines clés de condition globales. Pour voir toutes les clés de condition AWS globales, consultez la section [Clés contextuelles de condition AWS globale](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dans le *guide de l'utilisateur IAM*. *Pour consulter la liste des clés de condition Lightsail, [consultez la section Clés de condition pour Amazon Lightsail dans le guide de l'utilisateur IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-policy-keys).* Pour savoir avec quelles actions et ressources vous pouvez utiliser une clé de condition, consultez [Actions définies par Amazon Lightsail](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html#amazonlightsail-actions-as-permissions). ### Exemples Pour consulter des exemples de politiques basées sur l'identité de Lightsail, consultez les exemples de politiques basées sur l'identité d'Amazon [Lightsail](security_iam_id-based-policy-examples.md). ## Politiques basées sur les ressources de Lightsail Lightsail ne prend pas en charge les politiques basées sur les ressources. ## Listes de contrôle d'accès (ACLs) Lightsail ne prend pas en charge les listes de contrôle d'accès (). ACLs ## Autorisation basée sur les tags Lightsail Vous pouvez associer des balises aux ressources de Lightsail ou transmettre des balises dans une demande adressée à Lightsail. Pour contrôler l’accès basé sur des étiquettes, vous devez fournir les informations d’étiquette dans l’[élément de condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) d’une politique utilisant les clés de condition `lightsail:ResourceTag/key-name`, `aws:RequestTag/key-name` ou `aws:TagKeys`. **Important** Lightsail ne prend pas en charge l'autorisation basée sur des balises pour certaines actions d'API. Pour plus d'informations, voir [Prise en charge des autorisations au niveau des ressources et des autorisations basées sur des balises](resource-level-permissions-and-auth-based-on-tags-support.md). [Pour plus d'informations sur le balisage des ressources Lightsail, consultez la section Balises.](amazon-lightsail-tags.md) Pour consulter un exemple de politique basée sur l'identité visant à limiter l'accès à une ressource en fonction des balises de cette ressource, voir [Autoriser la création et la suppression de ressources Lightsail](https://lightsail.aws.amazon.com/ls/docs/en_us/articles/security_iam_id-based-policy-examples#security_iam_id-based-policy-examples-view-widget-tags) en fonction des balises. ## Rôles IAM de Lightsail Un [rôle IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) est une entité au sein de votre compte AWS qui dispose d’autorisations spécifiques. ### Utilisation d'informations d'identification temporaires avec Lightsail Vous pouvez utiliser des informations d’identification temporaires pour vous connecter à l’aide de la fédération, endosser un rôle IAM ou encore pour endosser un rôle intercompte. Vous obtenez des informations d'identification de sécurité temporaires en appelant des opérations d' AWS STS API telles que [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)ou [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html). Lightsail prend en charge l'utilisation d'informations d'identification temporaires. ### Rôles liés à un service Les [rôles liés aux](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) AWS services permettent aux services d'accéder aux ressources d'autres services pour effectuer une action en votre nom. Les rôles liés à un service s’affichent dans votre compte IAM et sont la propriété du service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service. Lightsail prend en charge les rôles liés aux services. [Pour plus d'informations sur la création ou la gestion des rôles liés à un service Lightsail, consultez la section Rôles liés à un service.](amazon-lightsail-using-service-linked-roles.md) ### Rôles de service Lightsail ne prend pas en charge les rôles de service. **Topics** + [Politiques basées sur l'identité de Lightsail](#security_iam_service-with-iam-id-based-policies) + [Politiques basées sur les ressources de Lightsail](#security_iam_service-with-iam-resource-based-policies) + [Listes de contrôle d'accès (ACLs)](#security_iam_service-with-iam-acls) + [Autorisation basée sur les tags Lightsail](#security_iam_service-with-iam-tags) + [Rôles IAM de Lightsail](#security_iam_service-with-iam-roles) + [Exemples de politiques basées sur l’identité](security_iam_id-based-policy-examples.md) + [Exemples de politiques d'autorisations au niveau des ressources](security_iam_resource-based-policy-examples.md) + [Utilisation de rôles liés à un service](amazon-lightsail-using-service-linked-roles.md) + [Gérez les buckets avec IAM](amazon-lightsail-bucket-management-policies.md) # Accordez des autorisations de moindre privilège avec les politiques d'identité IAM dans Lightsail Par défaut, les utilisateurs et les rôles IAM ne sont pas autorisés à créer ou à modifier des ressources Lightsail. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API AWS Management Console AWS CLI, ou. Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d'API spécifiques sur les ressources spécifiées dont ils ont besoin. Il doit ensuite attacher ces politiques aux utilisateurs ou aux groupes IAM ayant besoin de ces autorisations. Pour savoir comment créer une stratégie IAM basée sur l'identité à l'aide de ces exemples de documents de stratégie JSON, veuillez consulter [Création de stratégies dans l'onglet JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) dans le *Guide de l'utilisateur IAM*. ## Bonnes pratiques en matière de politiques Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Lightsail dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations : + **Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les *politiques AWS gérées* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez [politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [politiques gérées par AWS pour les activités professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*. + **Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politiques avec IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*. + **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Sécurisation de l’accès aux API avec MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*. Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*. ## Utilisation de la console Lightsail Pour accéder à la console Amazon Lightsail, vous devez disposer d'une autorisation d'accès complète à toutes les actions et ressources Lightsail. Ces autorisations doivent vous permettre de répertorier et d'afficher les informations relatives aux ressources Lightsail de votre compte. AWS Si vous créez une politique basée sur l'identité qui est plus restrictive que les autorisations minimales requises (c'est-à-dire, qui n'est pas un accès complet), la console ne fonctionnera pas comme prévu pour les entités (utilisateurs et rôles IAM) tributaires de cette politique. Pour garantir que ces entités peuvent utiliser la console Lightsail, associez la politique suivante aux entités. Pour en savoir plus, consultez [Ajouter des autorisations à un utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) dans le *guide de l’utilisateur IAM*. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "lightsail:*" ], "Resource": "*" } ] } ``` ------ Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API que vous tentez d’effectuer. ## Autoriser les utilisateurs à afficher leurs propres autorisations Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS . ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Autoriser la création et la suppression de ressources Lightsail en fonction de balises Vous pouvez utiliser des conditions dans votre politique basée sur l'identité pour contrôler l'accès aux ressources Lightsail en fonction de balises. Cet exemple montre comment vous pouvez créer une politique qui empêche les utilisateurs de créer de nouvelles ressources Lightsail, sauf si un tag clé et une valeur `allow` de sont définis dans la demande `true` de création. Cette stratégie empêche également les utilisateurs de supprimer des ressources, sauf s'ils ont la balise clé-valeur `allow/true`. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "lightsail:Create*", "lightsail:TagResource", "lightsail:UntagResource" ], "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/allow": "true" } } }, { "Effect": "Allow", "Action": [ "lightsail:Delete*", "lightsail:TagResource", "lightsail:UntagResource" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/allow": "true" } } } ] } ``` ------ L'exemple suivant empêche les utilisateurs de changer la balise pour les ressources qui ont une balise clé-valeur différente de `allow/false`. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "lightsail:TagResource" ], "Resource": "*", "Condition": { "StringNotEquals": { "aws:ResourceTag/allow": "false" } } } ] } ``` ------ Vous pouvez attacher ces politiques aux utilisateurs IAM dans votre compte. Pour plus d'informations, consultez [Éléments de politique JSON IAM : Condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*. # Accordez l'accès à des ressources Lightsail spécifiques à l'aide des politiques IAM Le terme *autorisations au niveau des ressources* fait référence à la possibilité de spécifier les ressources sur lesquelles les utilisateurs sont autorisés à exécuter des actions. Amazon Lightsail prend en charge les autorisations au niveau des ressources. Cela signifie que pour certaines actions de Lightsail, vous pouvez contrôler le moment où les utilisateurs sont autorisés à utiliser ces actions en fonction des conditions qui doivent être remplies ou des ressources spécifiques que les utilisateurs sont autorisés à utiliser ou à modifier. Par exemple, vous pouvez accorder aux utilisateurs des autorisations pour gérer une instance ou une base de données avec un Amazon Resource Name (ARN) spécifique. **Important** Lightsail ne prend pas en charge les autorisations au niveau des ressources pour certaines actions d'API. Pour plus d'informations, voir [Prise en charge des autorisations au niveau des ressources et des autorisations basées sur des balises](resource-level-permissions-and-auth-based-on-tags-support.md). *Pour plus d'informations sur les ressources créées ou modifiées par les actions Lightsail, ainsi que sur les clés de condition ARNs et Lightsail que vous pouvez utiliser dans une déclaration de politique IAM, [consultez la section Actions, ressources et clés de condition pour Amazon Lightsail dans le guide de l'utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonlightsail.html) IAM.* ## Autorisation de gestion d'une instance spécifique La politique suivante autorise l'accès à reboot/start/stop une instance, gère les ports d'instance et crée des instantanés d'instance pour une instance spécifique. Il fournit également un accès en lecture seule à d'autres informations et ressources relatives aux instances dans le compte Lightsail. Dans la politique, remplacez-le *InstanceARN* par le Amazon Resource Name (ARN) de votre instance. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "lightsail:GetActiveNames", "lightsail:GetAlarms", "lightsail:GetAutoSnapshots", "lightsail:GetBlueprints", "lightsail:GetBundles", "lightsail:GetCertificates", "lightsail:GetCloudFormationStackRecords", "lightsail:GetContactMethods", "lightsail:GetDisk", "lightsail:GetDisks", "lightsail:GetDiskSnapshot", "lightsail:GetDiskSnapshots", "lightsail:GetDistributionBundles", "lightsail:GetDistributionLatestCacheReset", "lightsail:GetDistributionMetricData", "lightsail:GetDistributions", "lightsail:GetDomain", "lightsail:GetDomains", "lightsail:GetExportSnapshotRecords", "lightsail:GetInstance", "lightsail:GetInstanceAccessDetails", "lightsail:GetInstanceMetricData", "lightsail:GetInstancePortStates", "lightsail:GetInstances", "lightsail:GetInstanceSnapshot", "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceState", "lightsail:GetKeyPair", "lightsail:GetKeyPairs", "lightsail:GetLoadBalancer", "lightsail:GetLoadBalancerMetricData", "lightsail:GetLoadBalancers", "lightsail:GetLoadBalancerTlsCertificates", "lightsail:GetOperation", "lightsail:GetOperations", "lightsail:GetOperationsForResource", "lightsail:GetRegions", "lightsail:GetRelationalDatabase", "lightsail:GetRelationalDatabaseBlueprints", "lightsail:GetRelationalDatabaseBundles", "lightsail:GetRelationalDatabaseEvents", "lightsail:GetRelationalDatabaseLogEvents", "lightsail:GetRelationalDatabaseLogStreams", "lightsail:GetRelationalDatabaseMetricData", "lightsail:GetRelationalDatabaseParameters", "lightsail:GetRelationalDatabases", "lightsail:GetRelationalDatabaseSnapshot", "lightsail:GetRelationalDatabaseSnapshots", "lightsail:GetStaticIp", "lightsail:GetStaticIps", "lightsail:IsVpcPeered" ], "Resource": "*" }, { "Sid": "VisualEditor2", "Effect": "Allow", "Action": [ "lightsail:CloseInstancePublicPorts", "lightsail:CreateInstanceSnapshot", "lightsail:OpenInstancePublicPorts", "lightsail:PutInstancePublicPorts", "lightsail:RebootInstance", "lightsail:StartInstance", "lightsail:StopInstance" ], "Resource": "arn:aws:lightsail:us-east-2:123456789012:Instance/244ad76f-8aad-4741-809f-12345EXAMPLE" } ] } ``` ------ Pour obtenir l'ARN de votre instance, utilisez l'action d'API `GetInstance` Lightsail et spécifiez le nom de l'instance à l'aide du paramètre. `instanceName` L'ARN de l'instance sera répertorié dans les résultats de cette action, comme indiqué dans l'exemple suivant. Pour plus d'informations, consultez le [GetInstance](https://docs.aws.amazon.com/lightsail/2016-11-28/api-reference/API_GetInstance.html)manuel *Amazon Lightsail* API Reference. ![\[Un ARN d'instance dans les GetInstance résultats.\]](http://docs.aws.amazon.com/fr_fr/lightsail/latest/userguide/images/amazon-lightsail-instance-arn.png) ## Autorisation de gestion d'une base de données spécifique La politique suivante autorise l'accès à une base de données spécifique reboot/start/stop et la met à jour. Il fournit également un accès en lecture seule à d'autres informations et ressources relatives à la base de données dans le compte Lightsail. Dans la politique, remplacez-le *DatabaseARN* par le Amazon Resource Name (ARN) de votre base de données. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "lightsail:GetActiveNames", "lightsail:GetAlarms", "lightsail:GetAutoSnapshots", "lightsail:GetBlueprints", "lightsail:GetBundles", "lightsail:GetCertificates", "lightsail:GetCloudFormationStackRecords", "lightsail:GetContactMethods", "lightsail:GetDisk", "lightsail:GetDisks", "lightsail:GetDiskSnapshot", "lightsail:GetDiskSnapshots", "lightsail:GetDistributionBundles", "lightsail:GetDistributionLatestCacheReset", "lightsail:GetDistributionMetricData", "lightsail:GetDistributions", "lightsail:GetDomain", "lightsail:GetDomains", "lightsail:GetExportSnapshotRecords", "lightsail:GetInstance", "lightsail:GetInstanceAccessDetails", "lightsail:GetInstanceMetricData", "lightsail:GetInstancePortStates", "lightsail:GetInstances", "lightsail:GetInstanceSnapshot", "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceState", "lightsail:GetKeyPair", "lightsail:GetKeyPairs", "lightsail:GetLoadBalancer", "lightsail:GetLoadBalancerMetricData", "lightsail:GetLoadBalancers", "lightsail:GetLoadBalancerTlsCertificates", "lightsail:GetOperation", "lightsail:GetOperations", "lightsail:GetOperationsForResource", "lightsail:GetRegions", "lightsail:GetRelationalDatabase", "lightsail:GetRelationalDatabaseBlueprints", "lightsail:GetRelationalDatabaseBundles", "lightsail:GetRelationalDatabaseEvents", "lightsail:GetRelationalDatabaseLogEvents", "lightsail:GetRelationalDatabaseLogStreams", "lightsail:GetRelationalDatabaseMetricData", "lightsail:GetRelationalDatabaseParameters", "lightsail:GetRelationalDatabases", "lightsail:GetRelationalDatabaseSnapshot", "lightsail:GetRelationalDatabaseSnapshots", "lightsail:GetStaticIp", "lightsail:GetStaticIps", "lightsail:IsVpcPeered" ], "Resource": "*" }, { "Sid": "VisualEditor2", "Effect": "Allow", "Action": [ "lightsail:RebootRelationalDatabase", "lightsail:StartRelationalDatabase", "lightsail:StopRelationalDatabase", "lightsail:UpdateRelationalDatabase" ], "Resource": "arn:aws:lightsail:us-east-2:123456789012:RelationalDatabase/244ad76f-8aad-4741-809f-12345EXAMPLE" } ] } ``` ------ Pour obtenir l'ARN de votre base de données, utilisez l'action API `GetRelationalDatabase` Lightsail et spécifiez le nom de la base de données à l'aide du paramètre. `relationalDatabaseName` L'ARN de la base de données sera répertorié dans les résultats de cette action, comme indiqué dans l'exemple suivant. Pour plus d'informations, consultez le [GetRelationalDatabase](https://docs.aws.amazon.com/lightsail/2016-11-28/api-reference/API_GetRelationalDatabase.html)manuel *Amazon Lightsail* API Reference. ![\[Un ARN de base de données dans les GetRelationalDatabase résultats.\]](http://docs.aws.amazon.com/fr_fr/lightsail/latest/userguide/images/amazon-lightsail-database-arn.png) # Utiliser des rôles liés à un service pour Amazon Lightsail [Amazon Lightsail Gestion des identités et des accès AWS utilise des rôles liés à un service (IAM).](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Un rôle lié à un service est un type unique de rôle IAM directement lié à Amazon Lightsail. Les rôles liés à un service sont prédéfinis par Amazon Lightsail et incluent toutes les autorisations dont Lightsail a besoin pour appeler d'autres services en votre nom. AWS Un rôle lié à un service facilite la configuration d'Amazon Lightsail, car vous n'avez pas à ajouter manuellement les autorisations nécessaires. Amazon Lightsail définit les autorisations associées à ses rôles liés aux services et, sauf indication contraire, seul Amazon Lightsail peut assumer ses rôles. Les autorisations définies comprennent la politique d'approbation et la politique d'autorisation, qui ne peuvent être rattachées à aucune autre entité IAM. Vous pouvez supprimer un rôle lié à un service uniquement après la suppression préalable de ses ressources connexes. Cela protège vos ressources Amazon Lightsail, car vous ne pouvez pas supprimer par inadvertance l'autorisation d'accès aux ressources. Pour de plus amples informations sur les autres services qui prennent en charge les rôles liés à un service, veuillez consulter [Services AWS qui fonctionnent avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) et rechercher les services qui ont **Yes** (Oui) dans la colonne **Service-Linked Role** (Rôle lié à un service). Sélectionnez un **Yes** (Oui) avec un lien permettant de consulter la documentation du rôle lié à un service, pour ce service. ## Autorisations de rôle liées à un service pour Amazon Lightsail Amazon Lightsail utilise le rôle lié au service nommé **AWSServiceRoleForLightsail**— Role pour exporter les instantanés de l'instance Lightsail et du disque de stockage par blocs vers Amazon Elastic Compute Cloud (Amazon EC2), et pour obtenir la configuration actuelle d'accès public par blocs au niveau du compte auprès d'Amazon Simple Storage Service (Amazon S3). Le rôle AWSService RoleForLightsail lié à un service fait confiance aux services suivants pour assumer le rôle : + `lightsail.amazonaws.com` La politique d'autorisation des rôles permet à Amazon Lightsail d'effectuer les actions suivantes sur les ressources spécifiées : + Action : `ec2:CopySnapshot` sur toutes les AWS ressources. + Action : `ec2:DescribeSnapshots` sur toutes les AWS ressources. + Action : `ec2:CopyImage` sur toutes les AWS ressources. + Action : `ec2:DescribeImages` sur toutes les AWS ressources. + Action : `cloudformation:DescribeStacks` sur toutes les CloudFormation piles AWS. + Action : `s3:GetAccountPublicAccessBlock` sur toutes les AWS ressources. ### Autorisations de rôles liés à un service Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, groupe ou rôle) de créer ou modifier la description d'un rôle lié à un service. **Pour permettre à une entité IAM de créer un rôle spécifique lié à un service** Ajoutez la politique suivante à l'entité IAM qui doit créer le rôle lié à un service. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*", "Condition": {"StringLike": {"iam:AWSServiceName": "lightsail.amazonaws.com"}} }, { "Effect": "Allow", "Action": "iam:PutRolePolicy", "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*" } ] } ``` ------ **Pour permettre à une entité IAM de créer un rôle lié à un service** Ajoutez l'instruction suivante à la politique d'autorisation de l'entité IAM qui doit créer un rôle lié à un service, ou un rôle de service incluant les politiques requises. Cette stratégie attache une stratégie au rôle. ``` { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/*" } ``` **Pour permettre à une entité IAM de modifier la description de rôles liés à un service** Ajoutez l'instruction suivante à la politique d'autorisation de l'entité IAM qui doit modifier la description d'un rôle lié à un service ou d'un rôle de service. ``` { "Effect": "Allow", "Action": "iam:UpdateRoleDescription", "Resource": "arn:aws:iam::*:role/aws-service-role/*" } ``` **Pour permettre à une entité IAM de supprimer un rôle spécifique lié à un service** Ajoutez l'instruction suivante à la politique d'autorisation de l'entité IAM qui doit supprimer le rôle lié à un service. ``` { "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*" } ``` **Pour permettre à une entité IAM de supprimer un rôle de service** Ajoutez l'instruction suivante à la politique d'autorisation de l'entité IAM qui doit supprimer un rôle lié à un service ou toute fonction du service. ``` { "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/*" } ``` Vous pouvez également utiliser une politique AWS gérée pour fournir un accès complet au service. ## Création d'un rôle lié à un service pour Amazon Lightsail Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous exportez votre instance Lightsail ou votre instantané de disque de stockage par blocs vers Amazon EC2, ou que vous créez ou mettez à jour un bucket Lightsail dans l'API AWS , Amazon Lightsail crée AWS AWS Management Console le rôle AWS CLI lié au service pour vous. Si vous supprimez ce rôle lié à un service et que vous devez le recréer, vous pourrez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous exportez votre instance Lightsail ou votre instantané de disque de stockage par blocs vers Amazon EC2, ou que vous créez ou mettez à jour un bucket Lightsail, Amazon Lightsail crée à nouveau le rôle lié au service pour vous. **Important** Vous devez configurer les autorisations IAM pour permettre à Amazon Lightsail de créer le rôle lié au service. Pour ce faire, exécutez les étapes dans la section *Service-Linked Role Permissions (Autorisations de rôles liés à un service)* suivante. ## Modification d'un rôle lié à un service pour Amazon Lightsail Amazon Lightsail ne vous permet pas de modifier AWSService RoleForLightsail le rôle lié au service. Après avoir créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour en savoir plus, consultez [Modification d’un rôle lié à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) dans le *Guide de l’utilisateur IAM*. ## Supprimer un rôle lié à un service pour Amazon Lightsail Si vous n’avez plus besoin d’utiliser une fonctionnalité ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez confirmer qu'aucune instance Amazon Lightsail ou aucun instantané de disque n'est en attente de copie avant de pouvoir supprimer le rôle lié au service. AWSService RoleForLightsail Pour plus d'informations, veuillez consulter [Exporter des instantanés vers Amazon EC2](amazon-lightsail-exporting-snapshots-to-amazon-ec2.md). **Pour supprimer manuellement le rôle lié au service à l’aide d’IAM** Utilisez la console IAM AWS CLI, le ou l' AWS API pour supprimer le rôle lié au AWSService RoleForLightsail service. Pour en savoir plus, consultez [Suppression d’un rôle lié à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) dans le *Guide de l’utilisateur IAM*. ## Régions prises en charge pour les rôles liés au service Amazon Lightsail Amazon Lightsail prend en charge l'utilisation de rôles liés à un service dans toutes les régions où le service est disponible. Pour plus d'informations sur les régions dans lesquelles Lightsail est disponible, consultez la section Régions Amazon [Lightsail](https://docs.aws.amazon.com/general/latest/gr/rande.html#lightsail_region). # Gérez les buckets Lightsail à l'aide d'une politique IAM La politique suivante accorde à un utilisateur l'accès à la gestion d'un compartiment spécifique dans le service de stockage d'objets Amazon Lightsail. Cette politique autorise l'accès aux buckets via la console Lightsail, AWS Command Line Interface le AWS CLI() AWS , l'API et. AWS SDKs Dans la politique, remplacez ** par le nom du bucket à gérer. Pour obtenir des informations sur les politiques IAM, veuillez consulter [Création de politiques IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) dans le *Guide de l'utilisateur Gestion des identités et des accès AWS *. Pour plus d'informations sur la création d'utilisateurs et de groupes d'utilisateurs IAM, veuillez consulter [Creating your first IAM delegated user and user group](https://docs.aws.amazon.com/IAM/latest/UserGuide/getting-started_create-delegated-user.html) dans le *Guide de l'utilisateur Gestion des identités et des accès AWS *. **Important** Les utilisateurs qui ne disposent pas de cette politique rencontreront des erreurs lors de l'affichage de l'onglet **Objets** de la page de gestion des compartiments dans la console Lightsail. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "LightsailAccess", "Effect": "Allow", "Action": "lightsail:*", "Resource": "*" }, { "Sid": "S3BucketAccess", "Effect": "Allow", "Action": "s3:*", "Resource": [ "arn:aws:s3:::/*", "arn:aws:s3:::" ] } ] } ``` ------ ## Gérer des compartiments et des objets Voici les étapes générales à suivre pour gérer votre bucket de stockage d'objets Lightsail : 1. Découvrez les objets et les compartiments dans le service de stockage d'objets Amazon Lightsail. Pour de plus amples informations, veuillez consulter [Stockage d'objets dans Amazon Lightsail](buckets-in-amazon-lightsail.md). 1. Découvrez les noms que vous pouvez attribuer à vos compartiments dans Amazon Lightsail. Pour plus d'informations, consultez les [règles de dénomination des compartiments dans Amazon Lightsail](bucket-naming-rules-in-amazon-lightsail.md). 1. Commencez à utiliser le service de stockage d'objets Lightsail en créant un bucket. Pour plus d'informations, consultez la section [Création de buckets dans Amazon Lightsail](amazon-lightsail-creating-buckets.md). 1. Découvrez les bonnes pratiques de sécurité pour les compartiments et les autorisations d'accès que vous pouvez configurer pour votre compartiment. Vous pouvez rendre publics ou privés tous les objets de votre compartiment, ou choisir de rendre publics des objets individuels. Vous pouvez également accorder l'accès à votre compartiment en créant des clés d'accès, en attachant des instances à votre compartiment et en accordant l'accès à d'autres comptes AWS. Pour plus d'informations, consultez les [meilleures pratiques de sécurité pour le stockage d'objets Amazon Lightsail](amazon-lightsail-bucket-security-best-practices.md) [et la section Comprendre les autorisations des compartiments dans Amazon](amazon-lightsail-understanding-bucket-permissions.md) Lightsail. Après avoir pris connaissance des autorisations d'accès aux compartiments, veuillez consulter les guides suivants pour accorder l'accès à votre compartiment : + [Bloquer l'accès public aux buckets dans Amazon Lightsail](amazon-lightsail-block-public-access-for-buckets.md) + [Configuration des autorisations d'accès au bucket dans Amazon Lightsail](amazon-lightsail-configuring-bucket-permissions.md) + [Configuration des autorisations d'accès pour des objets individuels dans un compartiment dans Amazon Lightsail](amazon-lightsail-configuring-individual-object-access.md) + [Création de clés d'accès pour un compartiment dans Amazon Lightsail](amazon-lightsail-creating-bucket-access-keys.md) + [Configuration de l'accès aux ressources pour un bucket dans Amazon Lightsail](amazon-lightsail-configuring-bucket-resource-access.md) + [Configuration de l'accès entre comptes pour un compartiment dans Amazon Lightsail](amazon-lightsail-configuring-bucket-cross-account-access.md) 1. Découvrez comment activer la journalisation des accès pour votre compartiment et comment utiliser les journaux d'accès pour vérifier la sécurité de votre compartiment. Pour plus d'informations, veuillez consulter les guides suivants. + [Journalisation des accès pour les buckets dans le service de stockage d'objets Amazon Lightsail](amazon-lightsail-bucket-access-logs.md) + [Format de journal d'accès pour un compartiment dans le service de stockage d'objets Amazon Lightsail](amazon-lightsail-bucket-access-log-format.md) + [Activation de la journalisation des accès pour un compartiment dans le service de stockage d'objets Amazon Lightsail](amazon-lightsail-enabling-bucket-access-logs.md) + [Utilisation des journaux d'accès pour un compartiment dans Amazon Lightsail afin d'identifier les demandes](amazon-lightsail-using-bucket-access-logs.md) 1. Créez une politique IAM qui autorise un utilisateur à gérer un bucket dans Lightsail. Pour plus d'informations, consultez la [politique IAM pour gérer les buckets dans Amazon Lightsail](#amazon-lightsail-bucket-management-policies). 1. Découvrez comment les objets de votre compartiment sont étiquetés et identifiés. Pour plus d'informations, consultez [Comprendre les noms de clés d'objets dans Amazon Lightsail](understanding-bucket-object-key-names-in-amazon-lightsail.md). 1. Découvrez comment charger des fichiers et gérer des objets dans vos compartiments. Pour plus d'informations, veuillez consulter les guides suivants. + [Chargement de fichiers dans un compartiment dans Amazon Lightsail](amazon-lightsail-uploading-files-to-a-bucket.md) + [Chargement de fichiers vers un compartiment dans Amazon Lightsail à l'aide du chargement partitionné](amazon-lightsail-uploading-files-to-a-bucket-using-multipart-upload.md) + [Afficher les objets d'un compartiment dans Amazon Lightsail](amazon-lightsail-viewing-objects-in-a-bucket.md) + [Copier ou déplacer des objets dans un compartiment dans Amazon Lightsail](amazon-lightsail-copying-moving-bucket-objects.md) + [Téléchargement d'objets depuis un bucket dans Amazon Lightsail](amazon-lightsail-downloading-bucket-objects.md) + [Filtrer les objets d'un compartiment dans Amazon Lightsail](amazon-lightsail-filtering-bucket-objects.md) + [Marquer des objets dans un compartiment dans Amazon Lightsail](amazon-lightsail-tagging-bucket-objects.md) + [Supprimer des objets dans un compartiment dans Amazon Lightsail](amazon-lightsail-deleting-bucket-objects.md) 1. Vous pouvez activer la gestion des versions d'objet pour préserver, récupérer et restaurer chaque version de chaque objet stocké dans votre compartiment. Pour plus d'informations, consultez [Activation et suspension de la gestion des versions d'objets dans un compartiment dans Amazon Lightsail](amazon-lightsail-managing-bucket-object-versioning.md). 1. Après avoir activé la gestion des versions d'objet, vous pouvez restaurer les versions précédentes des objets de votre compartiment. Pour plus d'informations, consultez [Restaurer les versions précédentes des objets d'un compartiment dans Amazon Lightsail](amazon-lightsail-restoring-bucket-object-versions.md). 1. Surveillez l'utilisation de votre compartiment. Pour plus d'informations, consultez la section [Affichage des statistiques de votre compartiment dans Amazon Lightsail](amazon-lightsail-viewing-bucket-metrics.md). 1. Configurez une alarme pour que les métriques du compartiment soient notifiées lorsque l'utilisation de votre compartiment franchit un seuil. Pour plus d'informations, consultez la section [Création d'alarmes métriques relatives aux compartiments dans Amazon Lightsail](amazon-lightsail-adding-bucket-metric-alarms.md). 1. Modifiez le plan de stockage de votre compartiment s'il manque de stockage et de transfert réseau. Pour plus d'informations, consultez [Modifier le plan de votre compartiment dans Amazon Lightsail](amazon-lightsail-changing-bucket-plans.md). 1. Découvrez comment connecter votre compartiment à d'autres ressources. Pour plus d'informations, veuillez consulter les didacticiels suivants. + [Tutoriel : Connexion d'une WordPress instance à un bucket Amazon Lightsail](amazon-lightsail-connecting-buckets-to-wordpress.md) + [Tutoriel : Utilisation d'un bucket Amazon Lightsail avec un réseau de distribution de contenu Lightsail](amazon-lightsail-using-distributions-with-buckets.md) 1. Supprimez votre compartiment si vous ne l'utilisez plus. Pour plus d'informations, consultez [Supprimer des compartiments dans Amazon Lightsail](amazon-lightsail-deleting-buckets.md).