Comment créer un utilisateur IAM avec des permissions minimales pour un panneau externe (depuis CloudShell)

Tôt ou tard, un outil externe vous demande « une clé AWS » : un panneau de contrôle, un système de sauvegarde, un outil de supervision. La tentation est de copier la clé de votre utilisateur administrateur. Ne le faites jamais. Quiconque possède cette clé peut faire tout ce que vous pouvez faire, y compris effacer le compte entier. La bonne méthode est de créer un utilisateur IAM à part avec une politique qui n'autorise que les actions précises dont cet outil a besoin, et de lui donner sa clé.

Nous le ferons depuis AWS CloudShell, le terminal intégré à la console web, parce que ce sont quatre commandes à copier-coller et que le résultat est exact. Rien à installer sur votre ordinateur.

Pas à pas

1. Décidez des actions dont l'outil a besoin

   Avant d'écrire quoi que ce soit, faites la liste. Un panneau qui gère des machines Lightsail aura besoin, par exemple : de voir les machines et leur état, de démarrer, arrêter et redémarrer, et peut-être de créer et de voir des instantanés. Il n'a pas besoin de créer ni de supprimer des machines, ni de voir la facturation, ni de toucher aux utilisateurs. Chaque action absente de la liste est une action que vous ne donnerez pas. Si l'outil est sérieux, il vous dira exactement quelles permissions il demande ; s'il vous demande « AdministratorAccess », méfiez-vous.

2. Ouvrez CloudShell

   Dans la console AWS, cliquez sur l'icône de terminal de la barre supérieure (CloudShell) ou cherchez-le par son nom. Il met quelques secondes à démarrer. Vous disposez alors d'un terminal Linux avec l'outil aws configuré avec vos identifiants actuels : tout ce que vous y faites, vous le faites en tant que l'utilisateur avec lequel vous êtes connecté à la console (qui doit avoir la permission de gérer IAM).

3. Écrivez la politique

   Créez un fichier avec la politique au format JSON. Cet exemple permet de voir, démarrer, arrêter et redémarrer des machines Lightsail et de gérer leurs instantanés, rien de plus. Collez le bloc entier dans CloudShell :

   cat > politica.json <<'FIN'
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:GetInstanceMetricData", "lightsail:GetRegions",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceSnapshot",
         "lightsail:CreateInstanceSnapshot", "lightsail:DeleteInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }
   FIN

   Chaque action s'appelle servicio:Operación. Si vous voulez seulement que l'outil voie, retirez les lignes Start, Stop, Reboot, Create et Delete. Pour EC2, S3 ou RDS, les actions portent d'autres noms, mais la mécanique est identique. Dans Lightsail, la plupart des actions ne peuvent pas être limitées à une machine précise, c'est pourquoi le Resource est * ; dans EC2 ou S3, vous pouvez indiquer l'identifiant exact de la ressource.

4. Créez la politique, l'utilisateur et associez-les

   Trois commandes. Changez le nom si vous voulez, mais qu'il dise à quoi il sert :

   aws iam create-policy --policy-name PanelMaquinas --policy-document file://politica.json
   aws iam create-user --user-name panel-maquinas
   CUENTA=$(aws sts get-caller-identity --query Account --output text)
   aws iam attach-user-policy --user-name panel-maquinas \
     --policy-arn arn:aws:iam::$CUENTA:policy/PanelMaquinas

   La première commande renvoie l'ARN de la politique ; la troisième le reconstruit avec le numéro de votre compte pour que vous n'ayez pas à le copier. Remarquez que nous ne donnons pas de mot de passe de console à l'utilisateur : il n'existera que pour la clé d'accès.

5. Générez la clé d'accès

   aws iam create-access-key --user-name panel-maquinas

   La réponse contient deux valeurs : AccessKeyId (commence par AKIA) et SecretAccessKey. Le secret n'est affiché que cette fois-ci. Copiez-le directement dans l'outil qui va l'utiliser. Ne le collez pas dans un e-mail, un chat ni un document partagé. Si vous le perdez, ce n'est pas grave : vous supprimez cette clé et vous en créez une autre.

6. Supprimez le fichier et vérifiez

   rm politica.json
   aws iam list-attached-user-policies --user-name panel-maquinas

   Seul PanelMaquinas doit apparaître. Configurez l'outil avec la clé et testez une action autorisée (voir les machines) et une action non autorisée (en créer une) : la seconde doit échouer avec « not authorized ». Cette erreur est la preuve que vous avez bien fait le travail.

Ce qui peut mal tourner