« Je te passe mon identifiant et mon mot de passe AWS, connecte-toi et regarde. » C'est ce que tout le monde fait et c'est la pire idée possible : cette personne peut tout faire, vous ne saurez pas ce qu'elle a fait, et quand elle cessera de collaborer vous devrez changer votre mot de passe en espérant qu'elle ne l'a pas noté. AWS est conçu pour que chaque personne ait son propre utilisateur avec les permissions justes : le technicien externe qui doit seulement regarder, le cabinet comptable qui n'a besoin que des factures, le collègue qui gère deux machines. Ce guide crée un de ces utilisateurs et le verrouille correctement.
Avant de commencer : ce que signifie chaque chose
- IAM
- Le service d'AWS où l'on crée les utilisateurs et où on leur attribue des permissions.
- Utilisateur IAM
- Une identité propre à l'intérieur de votre compte, avec son nom, son mot de passe et ses permissions. Ce n'est pas un autre compte AWS : c'est une personne à l'intérieur du vôtre.
- Politique
- La liste de permissions attribuée à un utilisateur. AWS en fournit beaucoup toutes prêtes (lecture seule, facturation, administrateur...) et vous pouvez écrire les vôtres.
- Groupe
- Un ensemble d'utilisateurs qui partagent les mêmes politiques. Plus pratique que d'attribuer les permissions une par une.
- Double authentification (MFA)
- Le code du téléphone à la connexion. Vous pouvez l'exiger de chaque utilisateur.
- Alias de compte
- Un nom facile pour l'adresse de connexion de votre compte, à la place du numéro à douze chiffres.
- IAM Identity Center
- Le système le plus moderne d'AWS pour gérer des personnes, pensé pour les entreprises avec plusieurs comptes. Pour un compte et quelques personnes, les utilisateurs IAM suffisent.
Pas à pas
Décidez ce qu'il doit pouvoir faire
Trois profils couvrent presque tout : seulement regarder (un technicien qui diagnostique, un auditeur) : politique
ReadOnlyAccess; facturation (le cabinet comptable) : politiqueAWSBillingReadOnlyAccessouBilling, et vous devrez activer dans Compte « l'accès des utilisateurs IAM à la facturation » ; manipuler quelques machines (un collègue) : une politique à vous avec les actions voir, démarrer et arrêter, comme celle du guide sur les permissions minimales. JamaisAdministratorAccess, sauf s'il s'agit vraiment d'un administrateur.Donnez un alias au compte
Dans IAM, sur le tableau de bord principal à droite, Alias de compte, Créer :
miempresa. L'adresse de connexion de vos utilisateurs devienthttps://miempresa.signin.aws.amazon.com/console, bien plus facile à communiquer qu'un numéro.Créez un groupe avec les permissions
IAM, Groupes d'utilisateurs, Créer un groupe : nom
solo-lectura(ou le profil qui convient), et dans la liste des politiques cochez celle qui correspond. Créer. Les permissions sont attribuées au groupe ; les personnes, vous les mettez simplement dans le groupe. Quand il faudra changer une permission, on la change une fois pour tous.Créez l'utilisateur
Utilisateurs, Créer un utilisateur. Nom : celui de la personne (
ana.garcia), pas « externe1 ». Cochez Fournir un accès à la console, choisissez mot de passe généré automatiquement et laissez cochée l'option l'utilisateur doit créer un nouveau mot de passe à la prochaine connexion. Suivant : Ajouter l'utilisateur au groupe et cochez le groupe. Créer. Le dernier écran affiche l'adresse de connexion, l'utilisateur et le mot de passe temporaire : envoyez-les par deux canaux différents (l'adresse et l'utilisateur par e-mail, le mot de passe par message), jamais ensemble.Exigez la double authentification
Demandez-lui, une fois connecté, d'aller sur son nom en haut à droite, Informations d'identification de sécurité, et d'associer un dispositif MFA avec l'application de son téléphone. Pour la rendre vraiment obligatoire, il existe une politique connue d'AWS qui refuse tout tant que l'utilisateur n'a pas configuré la MFA ; la documentation d'IAM la fournit prête à copier (« Autoriser les utilisateurs à gérer leurs propres informations d'identification avec MFA »). Ajoutez-la au groupe.
Retirez-lui l'accès quand c'est terminé
Quand la collaboration prend fin : IAM, Utilisateurs, sélectionnez la personne, Supprimer. Si vous préférez le conserver au cas où elle reviendrait, Informations d'identification de sécurité, Désactiver l'accès à la console. Et une fois par trimestre, regardez la colonne Dernière activité de la liste des utilisateurs : qui ne s'est pas connecté depuis des mois n'en a probablement plus besoin.
Ce qui peut mal tourner
L'utilisateur se connecte mais ne voit rien ou reçoit des erreurs de permission
C'est le comportement attendu en dehors de ce que sa politique autorise. S'il lui manque quelque chose de légitime, le message d'erreur indique quelle action, et vous l'ajoutez à la politique du groupe. S'il est en lecture seule et voit « non autorisé » dans la facturation, il manque l'activation de l'accès IAM à la facturation dans les paramètres du compte.
Il doit faire une chose précise qui ne figure dans aucune politique d'AWS
Écrivez une politique à vous avec cette action (guide sur les permissions minimales). C'est généralement plus facile qu'il n'y paraît : le nom de l'action figure dans le message d'erreur.
Nous sommes plus de dix personnes et plusieurs comptes
C'est le moment de passer à IAM Identity Center : une seule connexion pour tous les comptes, avec des permissions par ensemble. Plus de mise en place au début, beaucoup moins de travail ensuite.
Un prestataire externe me demande une clé d'accès au lieu d'un utilisateur de console
S'il va utiliser des programmes, c'est raisonnable ; donnez-lui un utilisateur sans mot de passe de console, avec une clé d'accès et des permissions minimales, ou mieux un rôle entre comptes (guides dans cette section). Et qu'il la renouvelle régulièrement.
Dans Simplio
Dans Simplio, vous invitez une personne par e-mail et vous cochez des cases pour indiquer ce qu'elle peut faire (voir, démarrer et arrêter, instantanés, fichiers, terminal) et sur quelles machines, buckets ou bases de données ; elle se connecte avec son propre utilisateur et sa double authentification obligatoire, sans jamais toucher à votre compte AWS ni connaître aucune clé. Quand elle cesse de collaborer, vous la désactivez en un clic et tout ce qu'elle a fait reste dans le journal d'activité.
La même chose, dans AWS et dans Simplio
| Dans la console AWS | Dans Simplio | |
|---|---|---|
| Donner un accès limité à une personne | Alias, groupe, politique, utilisateur, MFA, deux canaux : 6 étapes, 15 minutes en sachant quelle politique choisir | Inviter par e-mail et cocher des cases : voir, démarrer/arrêter, instantanés, terminal, et quelles machines. 1 minute |
| Double authentification | La demander et faire confiance, ou une politique avancée | Obligatoire pour tous les utilisateurs de Simplio |
| Retirer l'accès | IAM, chercher, supprimer | Désactiver l'utilisateur ; ses actions restent dans le journal d'activité |