Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Comment Réponse aux incidents de sécurité AWS fonctionne avec IAM
Gestion des identités et des accès AWS (IAM) est un AWS service qui aide un administrateur à contrôler en toute sécurité l'accès aux AWS ressources. Les administrateurs IAM contrôlent qui peut être *authentifié* (connecté) et *autorisé (autorisé*) à utiliser Réponse aux incidents de sécurité AWS les ressources. IAM est un AWS service que vous pouvez utiliser sans frais supplémentaires.
| Fonctionnalités IAM que vous pouvez utiliser avec Réponse aux incidents de sécurité AWS | |
| --- | --- |
| *Fonctionnalité IAM* | *Harmonisation des services* |
| Politiques basées sur l’identité | Oui |
| Politiques basées sur les ressources | Non |
| Actions de politique | Oui |
| Ressources de politique | Oui |
| Clés des conditions de politique | Oui (mondial) |
| ACLs | Non |
| ABAC (étiquettes dans les politiques) | Oui |
| Informations d’identification temporaires | Oui |
| Transmission des sessions d’accès (FAS) | Oui |
| Rôles du service | Non |
| Rôles liés à un service | Oui |
**Topics**
+ [Politiques basées sur l'identité pour Réponse aux incidents de sécurité AWS](identity-based-policies.md)
+ [Clés de conditions de politique pour Réponse aux incidents de sécurité AWS](policy-condition-keys-for-aws-security-incident-response.md)
+ [Listes de contrôle d'accès (ACLs) dans Réponse aux incidents de sécurité AWS](access-control-lists-acls-in-aws-security-incident-response.md)
# Politiques basées sur l'identité pour Réponse aux incidents de sécurité AWS
Les politiques basées sur l’identité sont des documents de politique d’autorisations JSON que vous pouvez attacher à une identité telle qu’un utilisateur, un groupe d’utilisateurs ou un rôle IAM. Ces politiques contrôlent quel type d’actions des utilisateurs et des rôles peuvent exécuter, sur quelles ressources et dans quelles conditions. Pour découvrir comment créer une politique basée sur l’identité, consultez [Création de politiques IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) dans le *Guide de l’utilisateur IAM*.
Avec les politiques IAM basées sur l’identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Vous ne pouvez pas spécifier le principal dans une politique basée sur une identité, car celle-ci s’applique à l’utilisateur ou au rôle auquel elle est attachée. Pour découvrir tous les éléments que vous utilisez dans une politique JSON, consultez [Références des éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) dans le *Guide de l’utilisateur IAM*.
**Topics**
+ [Exemples de politiques basées sur l’identité](iam-examples.md)
+ [Bonnes pratiques en matière de politiques](policy-best-practices.md)
+ [Utilisation de la Réponse aux incidents de sécurité AWS console](using-the-amazon-aws-security-incident-response-console.md)
+ [Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations](allow-users-to-view-their-own-permissions.md)
+ [Politiques basées sur une ressource](resource-based-policies.md)
+ [Actions de stratégie](policy-actions.md)
# Exemples de politiques basées sur l’identité
Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier Réponse aux incidents de sécurité AWS des ressources. Ils ne peuvent pas non plus effectuer de tâches à l'aide de la console AWS de gestion, de l'interface de ligne de AWS commande (AWS CLI) ou de AWS l'API. Un administrateur IAM peut créer des politiques IAM pour autoriser les utilisateurs à effectuer des actions sur les ressources dont ils ont besoin. L’administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.
Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez [Création de politiques dans l’onglet JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) dans le *Guide de l’utilisateur IAM*.
Pour plus de détails sur les actions et les types de ressources définis par AWS Security Incident Response, y compris le format de chaque type de ressource, voir *Actions, ressources et clés de condition Réponse aux incidents de sécurité AWS* dans la *référence d'autorisation de service*. ARNs
# Bonnes pratiques en matière de politiques
Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer Réponse aux incidents de sécurité AWS des ressources dans votre compte. Ces actions peuvent entraîner des frais pour votre AWS compte. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :
**Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les *politiques AWS gérées* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Elles sont disponibles dans votre compte AWS . Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez [politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [politiques gérées par AWS pour les activités professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*.
**Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*.
**Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un AWS service spécifique, tel que AWS CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*.
**Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politique IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*.
**Exigez l’authentification multifactorielle (MFA)** : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur racine dans votre compte AWS , activez la MFA pour plus de sécurité. Pour exiger le MFA lorsque des opérations d'API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Configuration de l’accès aux API protégé par MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*.
Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*.
# Utilisation de la Réponse aux incidents de sécurité AWS console
Pour y accéder https://console.aws.amazon.com/security-ir/, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les informations relatives Réponse aux incidents de sécurité AWS aux ressources de votre AWS compte. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.
Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement la AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.
Joignez la politique Réponse aux incidents de sécurité AWS d'accès ou la politique ReadOnly AWS gérée pour garantir que les utilisateurs et les rôles peuvent utiliser la console de service. Pour plus d’informations, consultez [Ajout d’autorisations à un utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) dans le *Guide de l’utilisateur IAM*.
# Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations
Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de la AWS CLI ou AWS de l'API.
# Politiques basées sur une ressource
***Politiques basées sur les ressources dans le cadre de la réponse aux incidents AWS de sécurité***
Prend en charge les politiques basées sur les ressources : non
Les politiques basées sur les ressources sont des documents de politique JSON que vous attachez à une ressource. Par exemple, les *politiques de confiance de rôle* IAM et les *politiques de compartiment* Amazon S3 sont des politiques basées sur les ressources. Dans les services qui sont compatibles avec les politiques basées sur les ressources, les administrateurs de service peuvent les utiliser pour contrôler l’accès à une ressource spécifique. Pour la ressource dans laquelle se trouve la politique, cette dernière définit quel type d’actions un principal spécifié peut effectuer sur cette ressource et dans quelles conditions. Vous devez [spécifier un principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) dans une politique basée sur les ressources. Les mandataires peuvent inclure des comptes, des utilisateurs, des rôles, des utilisateurs fédérés ou des services AWS .
Pour plus d'informations, reportez-vous à [la section Accès aux ressources entre comptes dans IAM dans](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) le Guide de l'*utilisateur d'IAM*.
# Actions de stratégie
***Actions politiques pour Réponse aux incidents de sécurité AWS***
Support aux actions politiques : Oui
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L'élément Action d'une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l'accès dans une politique. Les actions de stratégie portent généralement le même nom que l'opération AWS d'API associée. Il existe quelques exceptions, telles que les *actions avec autorisations uniquement* qui n’ont pas d’opération API correspondante. Certaines opérations nécessitent également plusieurs actions dans une politique. Ces actions supplémentaires sont nommées *actions dépendantes*.
Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.
Pour consulter la liste des Réponse aux incidents de sécurité AWS actions, voir Actions définies par Réponse aux incidents de sécurité AWS dans la *référence d'autorisation de service*.
Les actions de politique en Réponse aux incidents de sécurité AWS cours utilisent le préfixe suivant avant l'action :
Réponse aux incidents de sécurité AWS -identité
Pour indiquer plusieurs actions dans une seule déclaration, séparez-les par des virgules.
« Action » : ["Réponse aux incidents de sécurité AWS -identity:action1", « -identity:action2"]Réponse aux incidents de sécurité AWS
***Ressources relatives aux politiques pour Amazon AWS Security Incident Response***
**Prend en charge les ressources relatives aux politiques :** Oui, les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L'élément de politique Resource JSON indique le ou les objets auxquels s'applique l'action. Les instructions doivent inclure une ressource ou un NotResource élément. Il est recommandé de définir une ressource à l’aide de son [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Vous pouvez le faire pour des actions qui prennent en charge un type de ressource spécifique, connu sous la dénomination *autorisations de niveau ressource*.
Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, telles que les opérations de liste, utilisez un caractère générique (\$1) afin d’indiquer que l’instruction s’applique à toutes les ressources.
"Resource": "\$1"
# Clés de conditions de politique pour Réponse aux incidents de sécurité AWS
**Prend en charge les clés de condition de politique spécifiques au service :** non
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L'élément Condition (ou *bloc* Condition) vous permet de spécifier les conditions dans lesquelles une instruction est effective. L’élément Condition est facultatif. Vous pouvez créer des expressions conditionnelles qui utilisent des [opérateurs de condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande.
Si vous spécifiez plusieurs éléments de condition dans une instruction ou plusieurs clés dans un seul élément de condition, vous les AWS évaluez à l'aide d'une opération logique ET. Si vous spécifiez plusieurs valeurs pour une seule clé de condition, AWS évalue la condition à l'aide d'une opération OR logique. Toutes les conditions doivent être remplies avant que les autorisations associées à l’instruction ne soient accordées.
Vous pouvez aussi utiliser des variables d’espace réservé quand vous spécifiez des conditions. Par exemple, vous pouvez accorder à un utilisateur IAM l’autorisation d’accéder à une ressource uniquement si elle est balisée avec son nom d’utilisateur IAM. Pour plus d’informations, consultez [Éléments d’une politique IAM : variables et identifications](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html) dans le *Guide de l’utilisateur IAM*.
AWS prend en charge les clés de condition globales et les clés de condition spécifiques au service. Pour voir toutes les clés de condition AWS globales, voir les clés de [contexte de condition AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dans le *guide de l'utilisateur IAM*.
# Listes de contrôle d'accès (ACLs) dans Réponse aux incidents de sécurité AWS
**Supports ACLs :** Non
Les listes de contrôle d'accès (ACLs) contrôlent les principaux (membres du compte, utilisateurs ou rôles) autorisés à accéder à une ressource. ACLs sont similaires aux politiques basées sur les ressources, bien qu'elles n'utilisent pas le format de document de politique JSON.
***Contrôle d'accès basé sur les attributs (ABAC) avec AWS réponse aux incidents de sécurité***
**Prise en charge d’ABAC (balises dans les politiques) :** Oui
Le contrôle d’accès par attributs (ABAC) est une stratégie d’autorisation qui définit des autorisations en fonction des attributs. Dans AWS, ces attributs sont appelés *balises*. Vous pouvez attacher des étiquettes à des entités IAM (utilisateurs ou rôles), ainsi qu’à de nombreuses ressources AWS . L’étiquetage des entités et des ressources est la première étape d’ABAC. Vous concevez ensuite des politiques ABAC pour autoriser des opérations quand l’identification du principal correspond à celle de la ressource à laquelle il tente d’accéder. L’ABAC est utile dans les environnements qui connaissent une croissance rapide et pour les cas où la gestion des politiques devient fastidieuse.
Pour contrôler l'accès en fonction des balises, vous devez fournir des informations sur les balises dans l'[élément condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) d'une politique à l'aide des clés AWS : ResourceTag /key-name, AWS : RequestTag /key-name ou : condition. AWS TagKeys Si un service prend en charge les trois clés de condition pour tous les types de ressources, alors la valeur pour ce service est **Oui**. Si un service prend en charge les trois clés de condition pour certains types de ressources uniquement, la valeur est **Partielle**. Pour plus d’informations sur l’ABAC, consultez [Qu’est-ce que le contrôle d’accès basé sur les attributs (ABAC) ?](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) dans le *Guide de l’utilisateur IAM*. Pour accéder à un didacticiel décrivant les étapes de configuration de l’ABAC, consultez [Utilisation du contrôle d’accès par attributs (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) dans le *Guide de l’utilisateur IAM*.
***Informations d'identification temporaires avec Réponse aux incidents de sécurité AWS***
**Prend en charge les informations d’identification temporaires :** oui
AWS les services ne fonctionnent pas lorsque vous vous connectez à l'aide d'informations d'identification temporaires. Pour plus d'informations, notamment sur les AWS services qui fonctionnent avec des informations d'identification temporaires, consultez la section [AWS Services compatibles avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) dans le Guide de l'*utilisateur IAM*. Vous utilisez des informations d'identification temporaires si vous vous connectez à la console de AWS gestion à l'aide d'une méthode autre que le nom d'utilisateur et le mot de passe. Par exemple, lorsque vous accédez à AWS l'aide du lien d'authentification unique (SSO) de votre entreprise, ce processus crée automatiquement des informations d'identification temporaires. Vous créez également automatiquement des informations d’identification temporaires lorsque vous vous connectez à la console en tant qu’utilisateur, puis changez de rôle. Pour plus d’informations sur le changement de rôle, consultez [Changement de rôle (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) dans le *Guide de l’utilisateur IAM*.
Vous pouvez créer manuellement des informations d'identification temporaires à l'aide de la AWS CLI ou de AWS l'API. Vous pouvez ensuite utiliser ces informations d'identification temporaires pour y accéder AWS. AWS recommande de générer dynamiquement des informations d'identification temporaires au lieu d'utiliser des clés d'accès à long terme. Pour plus d’informations, consultez [Informations d’identification de sécurité temporaires dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html).
***Transférer les sessions d'accès pour Réponse aux incidents de sécurité AWS***
**Prend en charge les sessions d’accès direct (FAS) :** oui
Lorsque vous utilisez un utilisateur ou un rôle IAM pour effectuer des actions AWS, vous êtes considéré comme un mandant. Lorsque vous utilisez certains services, vous pouvez effectuer une action qui initie une autre action dans un autre service. Le FAS utilise les autorisations du principal appelant un AWS service, associées au AWS service demandeur pour adresser des demandes aux services en aval. Les demandes FAS ne sont effectuées que lorsqu'un service reçoit une demande qui nécessite des interactions avec d'autres AWS services ou ressources pour être traitée. Dans ce cas, vous devez disposer d’autorisations nécessaires pour effectuer les deux actions. Pour plus de détails sur une politique lors de la formulation de demandes FAS, consultez [Transfert des sessions d’accès](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).