Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Sign-In référence des clés de condition

Cette page répertorie les clés de condition que vous pouvez utiliser dans les politiques AWS Sign-In basées sur les ressources et les politiques de contrôle des ressources (RCP), et indique la phase d'évaluation et les actions auxquelles chaque clé s'applique. Seule signin:PrincipalArn est spécifique à AWS Sign-In ; les autres sont des clés de condition AWS globales. Pour les définitions des clés globales, voir les clés contextuelles des conditions AWS globales.

Pour obtenir la liste complète des actions et des clés de condition dans la référence d'autorisation de service, voir Actions, ressources et clés de condition pour AWS Sign-In.

Network-based clés de condition

Ces clés de condition vérifient l'origine de la demande. AWS Sign-In les évalue pour toutes les AWS Sign-In actions (signin:Authenticate,signin:AuthorizeOAuth2Access, etsignin:CreateOAuth2Token) dans les politiques basées sur les ressources et les RCP.

Identity-based clés de condition

Ces clés de condition vérifient qui fait la demande. Ils ne sont disponibles que pour les actions post-authentification (signin:AuthorizeOAuth2Accessetsignin:CreateOAuth2Token), pour lesquelles l'identité principale a été établie.

Service-specific clé de condition : connexion : PrincipalArn

La clé de condition suivante est spécifique à la clé globale AWS Sign-In et n'est pas une AWS clé globale. Il n'est disponible que lors de l'évaluation préalable à l'authentification. signin:PrincipalArnÀ utiliser pour identifier le principal initiateur de la connexion avant la fin de l'authentification. Il s'agit de l'équivalent de pré-authentification deaws:PrincipalArn, qui n'est disponible qu'après l'authentification.

Utilisez les opérateurs ARN pour comparer les valeurs. Vous pouvez spécifier les types principaux suivants :

Cas d'utilisation : exemptez une identité principale exclue des restrictions du réseau, empêchant ainsi le verrouillage tout en appliquant les contrôles réseau pour toutes les autres tentatives d'accès.

Exemple — Refuser l'accès préalable à l'authentification depuis des réseaux non autorisés, sauf pour l'utilisateur root :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    }
  ]
}

Cette politique interdit l'accès à la console depuis l'extérieur de la plage d'203.0.113.0/24adresses IP, sauf pour l'utilisateur root du compte. L'instruction de pré-authentification est utilisée signin:PrincipalArn pour exempter l'utilisateur root avant la fin de l'authentification. L'instruction de post-authentification est utilisée aws:PrincipalArn pour exempter le même principal après authentification, lors de l'échange de jetons OAuth. Consultez Exemples de politiques.

Disponibilité de la clé de condition par action

Informations connexes