Comment donner accès à un outil externe avec un rôle IAM entre comptes (sans clés)

Quand un outil externe doit entrer dans votre compte AWS, il y a deux chemins. Le connu : créer un utilisateur IAM et lui donner une clé d'accès, c'est-à-dire un mot de passe qui n'expire pas et qui peut finir dans un fichier de configuration, un dépôt ou un e-mail. Le bon : créer un rôle que l'outil assume depuis son propre compte AWS. Il n'y a aucune clé à conserver ni à faire fuiter ; AWS fournit des identifiants temporaires qui expirent d'eux-mêmes, et vous pouvez couper l'accès en une seconde en supprimant le rôle.

Pour cela, l'outil doit le prendre en charge (il vous demandera un « accès par rôle », un « cross-account role » ou l'« ARN du rôle ») et vous fournir deux données : le numéro de son compte AWS et un identifiant externe (external ID). Avec cela, c'est fait en dix minutes.

Pas à pas

1. Réunissez les données du fournisseur

   Notez l'ID de compte de l'outil (douze chiffres) et l'external ID qu'il vous attribue, une chaîne unique pour vous. L'external ID évite ce qu'on appelle le « problème de l'adjoint confus » : qu'un autre client du même outil puisse lui faire utiliser votre rôle. Ne le partagez pas et ne le réutilisez pas.

2. Créez la politique de permissions minimales

   Dans la console IAM, Politiques, Créer une politique, onglet JSON. Collez uniquement les actions dont l'outil a besoin ; un fournisseur sérieux vous donne la liste exacte. Par exemple, pour voir et gérer des machines Lightsail :

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:CreateInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }

   Donnez-lui un nom reconnaissable, comme PanelExterno-Maquinas. Si l'on vous demande AdministratorAccess, demandez pourquoi.

3. Créez le rôle avec l'autre compte comme entité de confiance

   IAM, Rôles, Créer un rôle. Type d'entité de confiance : Compte AWS, option Un autre compte AWS, et saisissez l'ID de compte du fournisseur. Cochez Exiger un ID externe et collez l'external ID. Ne cochez pas « Exiger la MFA » : l'outil est un programme, pas une personne. Suivant.

4. Attachez la politique et nommez le rôle

   Cherchez la politique créée à l'étape 2, cochez-la et continuez. Nom du rôle : quelque chose qui dise à quoi il sert et à qui, par exemple PanelExterno-Simplio. Vérifiez le résumé : la politique de confiance doit afficher le compte du fournisseur et la condition sts:ExternalId. Créez le rôle.

5. Transmettez l'ARN du rôle

   Ouvrez le rôle que vous venez de créer et copiez son ARN, de la forme arn:aws:iam::123456789012:role/PanelExterno-Simplio. C'est la seule chose dont l'outil a besoin ; collez-le là où il vous le demande. Ce n'est pas un secret en soi (sans l'external ID et sans être dans le compte de confiance, il ne sert à rien), mais inutile non plus de le publier.

6. Vérifiez l'accès et le journal

   L'outil devrait se connecter immédiatement. Pour voir ce qu'il fait, dans CloudTrail, historique des événements, filtrez par le nom du rôle : chaque action qu'il exécute apparaît avec le rôle comme identité. Si un jour vous voulez couper l'accès, supprimez le rôle ou changez l'external ID ; l'effet est immédiat dès que les identifiants temporaires en cours expirent, ce qui prend au maximum une heure sauf si vous avez allongé cette durée.

Ce qui peut mal tourner