Quotas IAM et AWS STS
AWS Identity and Access Management (IAM) et AWS Security Token Service (STS) ont des quotas qui limitent la taille des objets. Cela affecte la façon dont vous nommez un objet, le nombre d'objets que vous pouvez créer et le nombre de caractères que vous pouvez utiliser lorsque vous transmettez un objet.
Note
Pour obtenir des informations au niveau du compte sur l'utilisation et les quotas d'IAM, utilisez l'opération d'API GetAccountSummary ou la commande get-account-summary de la AWS CLI.
Exigences relatives aux noms IAM
Les noms IAM ont les exigences et restrictions suivantes :
-
Les documents de politique 000A peuvent contenir uniquement les caractères Unicode suivants : tabulation horizontale (U+0009), saut de ligne (U+000A), retour chariot (U+000D) et caractères de la plage U+0020 à U+00FF.
-
Les noms d’utilisateurs, de groupes, de rôles, de politiques, de profils d’instance et de certificats de serveur et de chemins doivent être alphanumériques, comprennant les caractères communs suivants : plus (+), égal (=), virgule (,), point (.), arobase (@), trait de soulignement (_) et trait d’union (-). Les noms de chemins doivent commencer et finir par une barre oblique (/).
-
Les noms des utilisateurs, des groupes, des rôles et des profils d'instance doivent être uniques au sein du compte. La casse majuscules-minuscules ne compte pas. Par exemple, vous ne pouvez pas créer en même temps des groupes nommés
ADMINSetadmins. -
La valeur d'ID externe qu'un tiers utilise pour endosser un rôle doit avoir au minimum 2 caractères et au maximum 1 224 caractères. La valeur doit être alphanumérique sans espaces. Elle peut également inclure les symboles suivants : signe plus (+), signe égal (=), virgule (,), point (.), arobase (@), deux points (:), barre oblique (/) et tiret (-). Pour plus d'informations sur l'ID externe, consultez Accès à des Comptes AWS appartenant à des tiers.
-
Les noms de politique pour les politiques en ligne doivent être uniques pour l'utilisateur, le groupe ou le rôle auquel ils sont intégrés. Les noms peuvent contenir tous les caractères latins de base (ASCII), à l'exception des caractères réservés suivants : barre oblique inversée (\), barre oblique (/), astérisque (*), point d'interrogation (?) et espace. Ces caractères sont réservés conformément à la norme RFC 3986, section 2.2
. -
Les mots de passe des utilisateurs (profils de connexion) peuvent contenir tous les caractères latins (ASCII) de base.
-
Les alias d'ID d'Compte AWS doivent être uniques entre les produits AWS et doivent être alphanumériques conformément aux conventions d'attribution de noms DNS. Un alias doit être en minuscules, ne doit pas commencer ou se terminer par un trait d'union, ne peut pas contenir deux traits d'union consécutifs et ne peut pas être un numéro à 12 chiffres.
Pour obtenir une liste des caractères latins (ASCII) de base, accédez à la Library of Congress Basic Latin (ASCII) Code Table
Quotas d'objet IAM
Les quotas, également appelés limites dans AWS, sont la valeur maximale pour les ressources, actions et éléments de votre Compte AWS. Utilisez Service Quotas pour gérer vos quotas IAM.
Pour obtenir la liste des points de terminaison et des quotas de service IAM, consultez Points de terminaison et quotas de service AWS Identity and Access Management (français non garanti) dans Références générales AWS.
Pour demander une augmentation de quota
-
Suivez la procédure de connexion correspondant à votre type d'utilisateur, comme décrit dans la rubrique Connexion à AWS (français non garanti) du Guide de l'utilisateur Connexion à AWS pour vous connecter à AWS Management Console.
-
Ouvrez la console Service Quotas.
-
Dans le panneau de navigation, choisissez Services AWS.
-
Dans la barre de navigation, sélectionnez la région US East (N. Virginia). Ensuite, recherchez
IAM. -
Sélectionnez AWS Identity and Access Management (IAM), choisissez un quota et suivez les instructions pour demander une augmentation de quota.
Pour de plus amples informations, veuillez consulter Demande d'augmentation de quota dans le Guide de l'utilisateur Service Quotas.
Pour voir un exemple de demande d'augmentation de quota IAM à l'aide de la console Service Quotas, regardez la vidéo suivante.
Vous pouvez demander une augmentation des quotas par défaut pour les quotas ajustables IAM. Les demandes jusqu'à maximum quota sont automatiquement approuvées et terminées en quelques minutes.
Le tableau suivant répertorie les ressources pour lesquelles les augmentations de quotas peuvent être approuvées automatiquement.
| Ressource | Quota par défaut | Quota maximal |
|---|---|---|
| Politiques gérées par le client par compte | 1 500 | 5000 |
| Groupes par compte | 300 | 500 |
| Profils d'instances par compte | 1 000 | 5000 |
| Politiques gérées par rôle | 10 | 20 |
| Politiques gérées par utilisateur | 10 | 20 |
| Politiques gérées par groupe | 10 | 10 |
| Longueur de la politique d'approbation du rôle | 2048 caractères | 4096 caractères |
| Rôles par compte | 1 000 | 5000 |
| Certificats de serveur par compte | 20 | 1 000 |
Quotas de l'IAM Access Analyzer
Pour obtenir la liste des points de terminaison et des quotas de service de l'analyseur d'accès IAM, consultez Points de terminaison et quotas de l'analyseur d'accès IAM (français non garanti) dans Références générales AWS.
Quotas des rôles Anywhere IAM
Pour obtenir la liste des points de terminaison et des quotas de service des rôles Anywhere IAM, consultez Points de terminaison et quotas de service des rôles Anywhere AWS Identity and Access Management (français non garanti) dans Références générales AWS.
Quotas de requête STS
L’AWS Security Token Service (AWS STS) applique les quotas de demandes suivants.
Pour les demandes AWS STS effectuées à l’aide des informations d’identification AWS, le quota de demandes par défaut est de 600 demandes par seconde, par compte et par région. Les opérations AWS STS suivantes partagent ce quota :
-
AssumeRole
-
DecodeAuthorizationMessage
-
GetAccessKeyInfo
-
GetCallerIdentity
-
GetFederationToken
-
GetSessionToken
Note
Les requêtes AWS STS par les principaux du service AWS, telles que celles utilisées pour assumer des rôles à utiliser avec un service AWS, ne consomment pas le quota de requêtes STS par seconde dans vos comptes.
Par exemple, si un Compte AWS effectue 100 requêtes GetCallerIdentity par seconde et 100 appels AssumeRole par seconde dans la même région, il consomme 200 des 600 requêtes STS disponibles par seconde pour cette région.
Pour les requêtes de prise en charge par plusieurs comptes, seul le compte qui fait la requête de prise en charge a un impact sur le quota STS. Le compte cible n’a pas de quota consommé.
Pour demander une augmentation des quotas de requêtes STS, veuillez ouvrir un ticket auprès de l’assistance AWS.
Note
Avec les modifications à venir apportées au point de terminaison global AWS STS (https://sts.amazonaws.com), les demandes adressées au point de terminaison global ne partageront pas de quota de demandes par seconde (RPS) avec les points de terminaison régionaux AWS STS des régions activées par défaut. Lorsqu’une demande adressée au point de terminaison global AWS STS provient d’une seule région, elle sera comptabilisée dans le quota RPS du point de terminaison global. Toutefois, lorsque les demandes proviennent de plusieurs régions, chaque région supplémentaire recevra son propre quota RPS indépendant. Pour plus d’informations sur les changements apportés au point de terminaison global AWS STS, consultez Modifications du point de terminaison global AWS STS.
Limites des caractères d'IAM et de STS
Le nombre maximal de caractères et les limites de taille pour IAM et AWS STS sont les suivants. Vous ne pouvez pas demander une augmentation pour les limites suivantes.
| Description | Limite |
|---|---|
| Alias d'un ID d'Compte AWS | 3–63 caractères |
| Pour les politiques en ligne | Vous pouvez ajouter autant de politiques en ligne que désiré à un utilisateur, un rôle ou un groupe IAM. Toutefois, la taille totale de la politique agrégée (la somme de toutes les politiques en ligne) par entité ne peut pas dépasser les limites suivantes :
NoteIAM ne compte pas les espaces lors du calcul de la taille d'une politique au regard de ces limites. |
| Pour les politiques gérées |
NoteIAM ne compte pas les espaces lors du calcul de la taille d'une politique au regard de cette limite. |
| Nom du groupe | 128 caractères |
| Nom du profil d'instance | 128 caractères |
| Mot de passe pour un profil de connexion | 1–128 caractères |
| Chemin | 512 caractères |
| Nom de la politique | 128 caractères |
| Nom de rôle | 64 caractèresImportantToutefois, si vous avez l'intention d'utiliser un rôle avec la fonction Changer de rôle dans AWS Management Console, la combinaison de |
| Durée de la session de rôle |
12 heures Lorsque vous endossez un rôle à partir de l’interface AWS CLI ou de l'API, vous pouvez utiliser le paramètre CLI |
| Nom de la session de rôle | 64 caractères |
| Politiques de session du rôle |
|
| Balises de session du rôle |
|
| Réponse d'authentification SAML codée en base64 | 100 000 caractères Cette limite de caractères s'applique à l'opération CLI |
| Clé de balise | 128 caractères Cette limite de caractères s'applique aux balises des ressources IAM et des balises de session. |
| Valeur de balise | 256 caractères Cette limite de caractères s'applique aux balises des ressources IAM et des balises de session. Les valeurs de balise peuvent être vides, ce qui signifie que les valeurs de balise peuvent ne comporter aucun caractère. |
|
ID uniques créés par IAM |
128 caractères Par exemple :
NoteCette liste n'est pas exhaustive. Elle ne garantit pas non plus que les ID d'un certain type commencent uniquement par la combinaison de lettres indiquée. |
| Nom utilisateur | 64 caractères |
