Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Comment Re:post Private fonctionne avec IAM Avant d'utiliser IAM pour gérer l'accès à AWS Re:Post Private, vous devez comprendre quelles fonctionnalités IAM peuvent être utilisées avec Re:Post Private. *Pour obtenir une vue d'ensemble du fonctionnement de Re:Post Private et des autres AWS services avec IAM, consultez la section [AWS Services compatibles avec IAM dans le guide de l'utilisateur d'IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).* ## Re:post Politiques basées sur l'identité privée Avec les politiques basées sur l'identité IAM, vous pouvez spécifier des actions autorisées ou refusées. re:Post Private prend en charge des actions spécifiques. Pour en savoir plus sur les éléments que vous utilisez dans une politique JSON, veuillez consulter [Références des éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) dans le *Guide de l'utilisateur IAM*. ### Actions Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**. L’élément `Action` d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées. Les actions politiques dans Re:post Private utilisent le préfixe suivant avant l'action :. `repostspace:` Par exemple, pour autoriser quelqu'un à exécuter l'opération d'`CreateSpace`API Re:Post Private, vous devez inclure l'`repostspace:CreateSpace`action dans sa politique. Les déclarations de politique doivent inclure un `NotAction` élément `Action` ou. Re:Post Private définit son propre ensemble d'actions décrivant les tâches que vous pouvez effectuer avec ce service. Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit : ``` "Action": [ "repostspace:CreateSpace", "repostspace:DeleteSpace" ``` Vous pouvez aussi spécifier plusieurs actions à l’aide de caractères génériques (\$1). Par exemple, pour spécifier toutes les actions qui commencent par le mot `Describe`, incluez l’action suivante : ``` "Action": "repostspace:Describe*" ``` *Pour consulter la liste des actions Re:Post Private, voir [Actions définies par Re:Post Private](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonworkdocs.html#amazonworkdocs-actions-as-permissions) dans le guide de l'utilisateur IAM.* ### Ressources Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**. L’élément de politique JSON `Resource` indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (\$1) afin d’indiquer que l’instruction s’applique à toutes les ressources. ``` "Resource": "*" ``` ### Clés de condition RE:Post Private ne fournit aucune clé de condition spécifique au service, mais il prend en charge l'utilisation de clés de condition globales. Pour voir toutes les clés de condition AWS globales, voir les clés de [contexte de condition AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dans le *guide de l'utilisateur IAM*. ### Exemples Pour consulter des exemples de politiques basées sur l'identité Re:Post Private, consultez. [Exemples de politiques basées sur l'identité privée AWS Re:POST](security-iam-policy-examples.md) ## Politiques basées sur les ressources privées Re:POST Les politiques basées sur les ressources sont des documents de politique JSON que vous attachez à une ressource. Par exemple, les politiques de confiance de rôle IAM et les politiques de compartiment Amazon S3 sont des politiques basées sur les ressources. Dans les services qui sont compatibles avec les politiques basées sur les ressources, les administrateurs de service peuvent les utiliser pour contrôler l’accès à une ressource spécifique. Pour la ressource dans laquelle se trouve la politique, cette dernière définit quel type d’actions un principal spécifié peut effectuer sur cette ressource et dans quelles conditions. Vous devez [spécifier un principal](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference_policies_elements_principal.html) dans une politique basée sur les ressources. Les principaux peuvent inclure des comptes, des utilisateurs, des rôles, des utilisateurs fédérés ou AWS des services. Les politiques basées sur les ressources sont des politiques en ligne situées dans ce service. Vous ne pouvez pas utiliser les politiques AWS gérées par IAM dans une stratégie basée sur les ressources. re:Post Private ne prend pas en charge les politiques basées sur les ressources. ## Autorisation basée sur les balises Re:post Private permet de baliser les ressources ou de contrôler l'accès en fonction des balises. Pour plus d'informations, consultez la section [Contrôle de l'accès aux ressources AWS à l'aide de balises](https://docs.aws.amazon.com//IAM/latest/UserGuide/access_tags.html). ## Re : publier des rôles IAM privés Un [rôle IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) est une entité de votre AWS compte qui dispose d'autorisations spécifiques. ### Utilisation d'informations d'identification temporaires avec Re:Post Private Nous vous recommandons vivement d'utiliser des informations d'identification temporaires pour vous connecter à la fédération, assumer un rôle IAM ou assumer un rôle multicompte. Vous obtenez des informations d'identification de sécurité temporaires en appelant des opérations d' AWS STS API telles que [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)ou [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html). RE:Post Private prend en charge l'utilisation d'informations d'identification temporaires. ## Rôles liés à un service Les [rôles liés aux](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) AWS services permettent aux services d'accéder aux ressources d'autres services pour effectuer une action à votre place. Les rôles liés à un service s’affichent dans votre compte IAM et sont la propriété du service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service. ## Rôles du service Cette fonctionnalité permet à un service d'assumer un [rôle de service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) à votre place. Ce rôle permet au service d'accéder aux ressources d'autres services pour effectuer une action à votre place. Pour plus d'informations, consultez [Création d'un rôle pour déléguer des autorisations à un service AWS](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-service.html). Les rôles de service s’affichent dans votre compte IAM et sont la propriété du compte. Cela signifie qu’un administrateur IAM peut modifier les autorisations associées à ce rôle. Toutefois, une telle action peut perturber le bon fonctionnement du service. # Utilisation de rôles liés à un service pour Re:Post Private [AWS Re:POST Private utilise des rôles liés à un Gestion des identités et des accès AWS service (IAM).](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Un rôle lié à un service est un type unique de rôle IAM directement lié à Re:Post Private. Les rôles liés à un service sont prédéfinis par Re:Post Private et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom. Un rôle lié à un service facilite la configuration de Re:Post Private, car vous n'avez pas à ajouter manuellement les autorisations nécessaires. Re:Post Private définit les autorisations de ses rôles liés au service et, sauf indication contraire, seul Re:Post Private peut assumer ses rôles. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM. Pour plus d'informations sur les autres services qui prennent en charge les rôles liés à un service, consultez la section [AWS Services qui fonctionnent avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) et recherchez les services dont la valeur est **Oui** dans la colonne Rôles liés à un **service**. Sélectionnez un **Oui** ayant un lien pour consulter la documentation du rôle lié à un service, pour ce service. ## Autorisations de rôle liées au service pour Re:Post Private re:Post Private utilise le rôle lié au service nommé **AWSServiceRoleForrePostPrivate**. re:Post Private utilise ce rôle lié au service pour publier des données sur. CloudWatch Le rôle AWSService RoleForrePostPrivate lié à un service fait confiance aux services suivants pour assumer le rôle : + `repostspace.amazonaws.com` La politique d'autorisation de rôle nommée `AWSrePostPrivateCloudWatchAccess` permet à re:Post Private d'effectuer les actions suivantes sur les ressources spécifiées : + Action sur `cloudwatch` : `PutMetricData` Vous devez configurer les autorisations de manière à permettre à vos utilisateurs, groupes ou rôles de créer, modifier ou supprimer un rôle lié à un service. Pour plus d’informations, consultez [Autorisations de rôles liés à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) dans le *Guide de l’utilisateur IAM*. Pour de plus amples informations, veuillez consulter [AWSrePostPrivateCloudWatchAccess](security-with-iam-managed-policy.md#cloudwatch-metric-manpol). ## Création d'un rôle lié à un service pour Re:Post Private Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous créez votre premier rôle privé Re:POST dans l'API AWS Management Console, le ou l' AWS API AWS CLI, Re:Post Private crée le rôle lié au service pour vous. **Important** Ce rôle lié à un service peut apparaître dans votre compte si vous avez effectué une action dans un autre service qui utilise les fonctions prises en charge par ce rôle. De plus, si vous utilisiez le service Re:Post Private avant le 1er décembre 2023, date à laquelle il a commencé à prendre en charge les rôles liés au service, Re:Post Private a créé le rôle dans votre compte. `AWSServiceRoleForrePostPrivate` Pour en savoir plus, voir [Un nouveau rôle est apparu dans mon Compte AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared). Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous créez votre premier rôle privé Re:post, Re:Post Private crée à nouveau le rôle lié au service pour vous. Dans l'API AWS CLI ou dans l' AWS API, créez un rôle lié à un service avec le nom du `repostspace.amazonaws.com` service. Pour plus d’informations, consultez [Création d’un rôle lié à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) dans le *Guide de l’utilisateur IAM*. Si vous supprimez ce rôle lié à un service, vous pouvez utiliser ce même processus pour créer le rôle à nouveau. ## Modification d'un rôle lié à un service pour Re:Post Private RE:Post Private ne vous permet pas de modifier le rôle lié au `AWSServiceRoleForrePostPrivate` service. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence au rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez [Modification d’un rôle lié à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) dans le *Guide de l’utilisateur IAM*. ## Supprimer un rôle lié à un service pour Re:Post Private Vous n’avez pas besoin de supprimer manuellement le rôle `AWSServiceRoleForrePostPrivate`. Lorsque vous supprimez votre Re:post privé dans l'API AWS Management Console, le ou l' AWS API AWS CLI, Re:Post Private supprime le rôle lié au service pour vous. Vous pouvez également utiliser la console IAM, le AWS CLI, ou l' AWS API pour supprimer manuellement le rôle lié à un service. **Pour supprimer manuellement le rôle lié au service à l’aide d’IAM** Utilisez la console IAM, le AWS CLI, ou l' AWS API pour supprimer le rôle lié au AWSService RoleForrePostPrivate service. Pour plus d’informations, consultez la section [Suppression d’un rôle lié à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) dans le *Guide de l’utilisateur IAM*. ## Régions prises en charge pour les rôles liés au service Re:Post Private Re:post Private prend en charge l'utilisation de rôles liés au service dans les AWS régions où le service est disponible. **** | Nom de la région | Identité de la région | Support dans Re:Post Private | | --- | --- | --- | | USA Est (Virginie du Nord) | us-east-1 | Oui | | USA Est (Ohio) | us-east-2 | Non | | USA Ouest (Californie du Nord) | us-west-1 | Non | | USA Ouest (Oregon) | us-west-2 | Oui | | Afrique (Le Cap) | af-south-1 | Non | | Asie-Pacifique (Hong Kong) | ap-east-1 | Non | | Asie-Pacifique (Jakarta) | ap-southeast-3 | Non | | Asie-Pacifique (Mumbai) | ap-south-1 | Non | | Asie-Pacifique (Osaka) | ap-northeast-3 | Non | | Asie-Pacifique (Séoul) | ap-northeast-2 | Non | | Asie-Pacifique (Singapour) | ap-southeast-1 | Oui | | Asie-Pacifique (Sydney) | ap-southeast-2 | Oui | | Asie-Pacifique (Tokyo) | ap-northeast-1 | Non | | Canada (Centre) | ca-central-1 | Oui | | Europe (Francfort) | eu-central-1 | Oui | | Europe (Irlande) | eu-west-1 | Oui | | Europe (Londres) | eu-west-2 | Non | | Europe (Milan) | eu-south-1 | Non | | Europe (Paris) | eu-west-3 | Non | | Europe (Stockholm) | eu-north-1 | Non | | Moyen-Orient (Bahreïn) | me-south-1 | Non | | Moyen-Orient (EAU) | me-central-1 | Non | | Amérique du Sud (São Paulo) | sa-east-1 | Non | # Exemples de politiques basées sur l'identité privée AWS Re:POST **Note** Pour plus de sécurité, créez des utilisateurs fédérés plutôt que des utilisateurs IAM dans la mesure du possible. Par défaut, Gestion des identités et des accès AWS les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources AWS Re:POST Private. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API AWS Management Console AWS CLI, ou. Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d'API spécifiques sur les ressources spécifiées dont ils ont besoin. Il doit ensuite attacher ces politiques aux utilisateurs ou aux groupes IAM ayant besoin de ces autorisations. Pour apprendre à créer une politique basée sur l'identité IAM à l'aide de ces exemples de documents de politique JSON, consultez [Création de politiques dans l'onglet JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) dans le *Guide de l'utilisateur IAM*. **Topics** + [Bonnes pratiques en matière de politiques](#security_iam_service-with-iam-policy-best-practices) + [Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations](#security-with-iam-policy-examples-view-own-permissions) ## Bonnes pratiques en matière de politiques Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Re:POST Private dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations : + **Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les *politiques AWS gérées* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez [politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [politiques gérées par AWS pour les activités professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*. + **Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*. + **Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politiques avec IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*. + **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Sécurisation de l’accès aux API avec MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*. Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*. ## Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS . ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # Politiques en ligne Les politiques intégrées sont des politiques que vous créez et gérez. Vous pouvez intégrer des politiques intégrées directement dans un utilisateur, un groupe ou un rôle. Les exemples de politiques suivants montrent comment attribuer des autorisations pour effectuer des actions AWS re:POST Private. Pour obtenir des informations générales sur les politiques intégrées, consultez la section [Gestion des politiques IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage.html) dans le guide de l'utilisateur *AWS IAM*. Vous pouvez utiliser l' AWS Management Console interface de ligne de commande AWS Command Line Interface (CLI AWS) ou l' Gestion des identités et des accès AWS API pour créer et intégrer des politiques en ligne. **Topics** + [Accès en lecture seule à Re:Post Private](#read-only-access) + [Accès complet à Re:Post Private](#full-access) ## Accès en lecture seule à Re:Post Private La politique suivante accorde un accès en lecture à un utilisateur pour IAM Identity Center et la console Re:POST Private. Cette politique permet à l'utilisateur d'effectuer des actions Re:POST Private en lecture seule. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "organizations:DescribeOrganization", "organizations:DescribeAccount", "sso:DescribeRegisteredRegions", "sso:ListDirectoryAssociations", "sso:GetSSOStatus", "sso:GetManagedApplicationInstance", "sso:ListProfiles", "sso:GetProfile", "sso:ListProfileAssociations", "sso-directory:DescribeDirectory", "sso-directory:SearchUsers", "sso-directory:SearchGroups", "repostspace:GetSpace", "repostspace:ListSpaces", "repostspace:ListTagsForResource" ], "Resource": "*" } ] } ``` ------ ## Accès complet à Re:Post Private La politique suivante accorde à un utilisateur un accès complet à IAM Identity Center et à la console Re:POST Private. Cette politique permet à l'utilisateur d'effectuer toutes les actions Re:post Private. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "organizations:DescribeOrganization", "organizations:DescribeAccount", "sso:DescribeRegisteredRegions", "sso:ListDirectoryAssociations", "sso:GetSSOStatus", "sso:GetManagedApplicationInstance", "sso:ListProfiles", "sso:GetProfile", "sso:ListProfileAssociations", "sso:CreateManagedApplicationInstance", "sso:DeleteManagedApplicationInstance", "sso:AssociateProfile", "sso:DisassociateProfile", "sso-directory:DescribeDirectory", "sso-directory:SearchUsers", "sso-directory:SearchGroups", "kms:ListAliases", "kms:DescribeKey", "kms:CreateGrant", "kms:RetireGrant", "repostspace:*" ], "Resource": "*" } ] } ``` ------ # AWS politiques gérées pour AWS Re:Post Private L'utilisation de politiques AWS gérées permet d'ajouter des autorisations aux utilisateurs, aux groupes et aux rôles plus facilement que de rédiger vous-même des politiques. Il faut du temps et de l'expertise pour créer des [politiques gérées par le client IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) qui ne fournissent aux équipes que les autorisations dont elles ont besoin. Utilisez des politiques AWS gérées pour démarrer rapidement. Ces politiques couvrent les cas d'utilisation courants et sont disponibles dans votre AWS compte. Pour plus d'informations sur les politiques AWS gérées, voir les [politiques AWS gérées](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) dans le *guide de l'utilisateur IAM*. AWS les services maintiennent et mettent à jour les politiques AWS gérées. Vous ne pouvez pas modifier les autorisations dans les politiques AWS gérées. Les services peuvent parfois ajouter des autorisations supplémentaires à une politique AWS gérée pour prendre en charge de nouvelles fonctionnalités. Ce type de mise à jour affecte toutes les identités (utilisateurs, groupes et rôles) auxquelles la politique est attachée. Les services sont plus susceptibles de mettre à jour une politique AWS gérée lorsqu'une nouvelle fonctionnalité est lancée ou lorsque de nouvelles opérations sont disponibles. Les services ne suppriment pas les autorisations d'une politique AWS gérée. Les mises à jour des politiques ne portent donc pas atteinte à vos autorisations existantes. En outre, AWS prend en charge les politiques gérées pour les fonctions professionnelles qui couvrent plusieurs services. Par exemple, la politique `ReadOnlyAccess` AWS gérée fournit un accès en lecture seule à tous les AWS services et ressources. Lorsqu'un service lance une nouvelle fonctionnalité, il AWS ajoute des autorisations en lecture seule pour les nouvelles opérations et ressources. Pour plus d’informations, consultez [Politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) dans le *Guide de l’utilisateur IAM*. **Topics** + [AWS politique gérée : AWSRepost SpaceSupportOperationsPolicy](#support-case-manpol) + [AWS politique gérée : AWSre PostPrivateCloudWatchAccess](#cloudwatch-metric-manpol) + [AWS Re:Post : Mises à jour privées des politiques gérées AWS](#security-iam-awsmanpol-updates) ## AWS politique gérée : AWSRepost SpaceSupportOperationsPolicy Cette politique permet au service AWS Re:Post Private de créer, de gérer et de résoudre les Support cas créés via l'application Web Re:Post Private. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "RepostSpaceSupportOperations", "Effect": "Allow", "Action": [ "support:AddAttachmentsToSet", "support:AddCommunicationToCase", "support:CreateCase", "support:DescribeCases", "support:DescribeCommunications", "support:ResolveCase" ], "Resource": "*" } ] } ``` ------ ## AWS politique gérée : AWSre PostPrivateCloudWatchAccess Cette politique permet au service Re:Post Private de publier des données sur. CloudWatch ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CloudWatchPublishMetrics", "Effect": "Allow", "Action": [ "cloudwatch:PutMetricData" ], "Resource": "*", "Condition": { "StringEquals": { "cloudwatch:namespace": [ "AWS/rePostPrivate", "AWS/Usage" ] } } } ] } ``` ------ ## AWS Re:Post : Mises à jour privées des politiques gérées AWS Consultez les détails des mises à jour des politiques AWS gérées pour Re:Post Private depuis que ce service a commencé à suivre ces modifications. Pour obtenir des alertes automatiques sur les modifications apportées à cette page, abonnez-vous au flux RSS de la page [Historique du document](doc-history.md). Le tableau suivant décrit les mises à jour importantes apportées aux politiques gérées par Re:POST Private depuis le 26 novembre 2023. | Modifier | Description | Date | | --- | --- | --- | | Nouvelle politique - [AWSrePostPrivateCloudWatchAccess](https://docs.aws.amazon.com//repostprivate/latest/caguide/security-with-iam-managed-policy.html#cloudwatch-metric-manpol) | Nouvelle politique gérée pour la publication de données sur CloudWatch | 26 novembre 2023 | | Nouvelle politique - [AWSRepostSpaceSupportOperationsPolicy](https://docs.aws.amazon.com//repostprivate/latest/caguide/security-with-iam-managed-policy.html#support-case-manpol) | Nouvelle politique gérée pour la fonctionnalité AWS Support dans AWS re:Post Private | 26 novembre 2023 | | Re:Post Private a commencé à suivre les modifications | Re:Post Private a commencé à suivre les modifications apportées à ses politiques gérées AWS | 26 novembre 2023 | # Résolution des problèmes liés à l'identité et à l'accès privés d'AWS re:POST Utilisez les informations suivantes pour vous aider à diagnostiquer et à résoudre les problèmes courants que vous pouvez rencontrer lorsque vous travaillez avec re:Post Private et IAM. **Topics** + [Je ne suis pas autorisé à effectuer une action dans Re:Post Private](#security_iam_troubleshoot-no-permissions) + [Je ne suis pas autorisé à effectuer iam : PassRole](#security_iam_troubleshoot-passrole) + [Je souhaite permettre à des personnes extérieures Compte AWS à moi d'accéder à mes ressources privées Re:post](#security_iam_troubleshoot-cross-account-access) ## Je ne suis pas autorisé à effectuer une action dans Re:Post Private Si vous recevez une erreur qui indique que vous n’êtes pas autorisé à effectuer une action, vos politiques doivent être mises à jour afin de vous permettre d’effectuer l’action. L’exemple d’erreur suivant se produit quand l’utilisateur IAM `mateojackson` tente d’utiliser la console pour afficher des informations détaillées sur une ressource `my-example-widget` fictive, mais ne dispose pas des autorisations `repostPrivate:GetWidget` fictives. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: repostPrivate:GetWidget on resource: my-example-widget ``` Dans ce cas, la politique qui s’applique à l’utilisateur `mateojackson` doit être mise à jour pour autoriser l’accès à la ressource `my-example-widget` à l’aide de l’action `repostPrivate:GetWidget`. Si vous avez besoin d'aide, contactez votre AWS administrateur. Votre administrateur vous a fourni vos informations d’identification de connexion. ## Je ne suis pas autorisé à effectuer iam : PassRole Si vous recevez un message d'erreur indiquant que vous n'êtes pas autorisé à effectuer l'`iam:PassRole`action, vos politiques doivent être mises à jour pour vous permettre de transmettre un rôle à re:Post Private. Certains vous Services AWS permettent de transmettre un rôle existant à ce service au lieu de créer un nouveau rôle de service ou un rôle lié à un service. Pour ce faire, vous devez disposer des autorisations nécessaires pour transmettre le rôle au service. L'exemple d'erreur suivant se produit lorsqu'un utilisateur IAM nommé `marymajor` essaie d'utiliser la console pour effectuer une action dans RE:Post Private. Toutefois, l’action nécessite que le service ait des autorisations accordées par un rôle de service. Mary n'est pas autorisée à transmettre le rôle au service. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` Dans ce cas, les politiques de Mary doivent être mises à jour pour lui permettre d’exécuter l’action `iam:PassRole`. Si vous avez besoin d'aide, contactez votre AWS administrateur. Votre administrateur vous a fourni vos informations d’identification de connexion. ## Je souhaite permettre à des personnes extérieures Compte AWS à moi d'accéder à mes ressources privées Re:post Vous pouvez créer un rôle que les utilisateurs provenant d’autres comptes ou les personnes extérieures à votre organisation pourront utiliser pour accéder à vos ressources. Vous pouvez spécifier qui est autorisé à assumer le rôle. Pour les services qui prennent en charge les politiques basées sur les ressources ou les listes de contrôle d'accès (ACLs), vous pouvez utiliser ces politiques pour autoriser les utilisateurs à accéder à vos ressources. Pour plus d’informations, consultez les éléments suivants : + Pour savoir si RE:Post Private prend en charge ces fonctionnalités, consultez. [Comment Re:post Private fonctionne avec IAM](security_iam_service-with-iam.md) + Pour savoir comment fournir l'accès à vos ressources sur celles Comptes AWS que vous possédez, consultez la section [Fournir l'accès à un utilisateur IAM dans un autre utilisateur Compte AWS que vous possédez](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) dans le Guide de l'*utilisateur IAM*. + Pour savoir comment fournir l'accès à vos ressources à des tiers Comptes AWS, consultez la section [Fournir un accès à des ressources Comptes AWS détenues par des tiers](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) dans le *guide de l'utilisateur IAM*. + Pour savoir comment fournir un accès par le biais de la fédération d’identité, consultez [Fournir un accès à des utilisateurs authentifiés en externe (fédération d’identité)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) dans le *Guide de l’utilisateur IAM*. + Pour en savoir plus sur la différence entre l’utilisation des rôles et des politiques basées sur les ressources pour l’accès intercompte, consultez [Accès intercompte aux ressources dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) dans le *Guide de l’utilisateur IAM*.