Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Accès à un compte de membre OrganizationAccountAccessRole doté de AWS Organizations
Lorsque vous créez un compte de membre à l'aide de la AWS Organizations console, un rôle IAM est AWS Organizations automatiquement créé OrganizationAccountAccessRole dans le compte. Ce rôle possède les autorisations d'administration complètes du compte membre. La portée de l'accès pour ce rôle inclut tous les principaux du compte de gestion, si bien que le rôle est configuré pour accorder cet accès au compte de gestion de l'organisation.
Vous pouvez créer un rôle identique pour un compte membre invité en suivant les étapes indiquées dans Création OrganizationAccountAccessRole d'un compte invité avec AWS Organizations.
Pour utiliser ce rôle afin d'accéder au compte membre, vous devez vous connecter en tant qu'utilisateur du compte de gestion disposant des autorisations pour assumer le rôle. Pour configurer ces autorisations, exécutez la procédure suivante. Nous vous recommandons d'accorder des autorisations à des groupes plutôt qu'à des utilisateurs pour faciliter la maintenance.
- Console de gestion AWS
-
Pour accorder des autorisations à des membres d'un groupe IAM dans le compte de gestion afin d'accéder au rôle
-
Connectez-vous à la console IAM en https://console.aws.amazon.com/iam/ tant qu'utilisateur disposant de droits d'administrateur sur le compte de gestion. Cette action est obligatoire pour déléguer des autorisations au groupe IAM dont les utilisateurs accéderont au rôle dans le compte membre.
-
Commencez par créer la politique gérée dont vous aurez besoin ultérieurement dans Étape 14.
Dans le panneau de navigation, choisissez Politiques, puis Créer une politique.
-
Choisissez l'option Visuelle.
-
Pour Service, entrez STS dans la zone de recherche pour filtrer la liste, puis choisissez l'option STS.
-
Pour Actions autorisées, entrez assume dans la zone de recherche pour filtrer la liste, puis choisissez l'AssumeRoleoption.
-
Pour Ressources, choisissez Spécifique, puis choisissez Ajouter des ARN.
Dans Ressources disponibles, choisissez Autre compte, puis saisissez l'identifiant du compte membre que vous venez de créer.
Dans le champ Nom du rôle de ressource avec chemin, entrez le nom du rôle que vous avez créé précédemment (nous vous recommandons de le nommerOrganizationAccountAccessRole).
-
Choisissez Ajouter des ARN lorsque la boîte de dialogue affiche l'ARN correct.
-
(Facultatif) Si vous souhaitez exiger une authentification multifacteur (MFA) ou restreindre l'accès au rôle à partir d'une plage d'adresses IP spécifiée, développez les conditions de demande et sélectionnez les options que vous souhaitez appliquer.
-
Choisissez Suivant.
-
Sur la page Réviser et créer, entrez le nom de la nouvelle politique. Par exemple : GrantAccessToOrganizationAccountAccessRole. Vous pouvez également ajouter une description si vous le souhaitez.
-
Choisissez Créer une politique pour enregistrer votre nouvelle politique gérée.
-
Maintenant que vous disposez de la politique, vous pouvez l'attacher à un groupe.
Dans le volet de navigation, choisissez les groupes d'utilisateurs IAM, puis choisissez le nom du groupe (et non la case à cocher) dont vous souhaitez que les membres puissent assumer le rôle dans le compte de membre. Si nécessaire, vous pouvez créer un nouveau groupe.
-
Choisissez l'onglet Autorisations, puis Ajouter des autorisations, et enfin Attacher des politiques.
-
(Facultatif) Dans la zone Rechercher, vous pouvez commencer à taper le nom de votre politique pour filtrer la liste jusqu'à ce que le nom de la politique que vous venez de créer aux étapes Étape 2 à Étape 13 apparaisse. Vous pouvez également filtrer toutes les politiques AWS gérées en choisissant Tous les types, puis en choisissant Gestion par le client.
-
Cochez la case à côté de votre politique, puis choisissez Joindre des politiques.
Les utilisateurs IAM membres du groupe sont désormais autorisés à passer au nouveau rôle dans la AWS Organizations console en suivant la procédure suivante.
- Console de gestion AWS
-
Pour endosser le rôle pour le compte membre
Lorsqu'il utilise le rôle, l'utilisateur dispose des autorisations d'administration dans le nouveau compte membre. Indiquez à vos utilisateurs IAM qui sont membres du groupe d'effectuer les opérations suivantes pour endosser le nouveau rôle.
-
Dans l'angle supérieur droit de la AWS Organizations console, choisissez le lien qui contient votre nom de connexion actuel, puis choisissez Switch Role.
-
Entrez l'ID de compte et le nom de rôle fournis par votre administrateur.
-
Pour Nom d'affichage, entrez le texte que vous souhaitez afficher dans la barre de navigation dans le coin supérieur droit à la place de votre nom d'utilisateur quand vous utilisez ce rôle. Vous pouvez éventuellement choisir une couleur.
-
Choisissez Changer de rôle. À présent, toutes les actions que vous exécutez sont effectuées avec les autorisations accordées au rôle que vous avez endossé. Vous ne disposez plus des autorisations associées à votre utilisateur IAM d'origine jusqu'à ce que vous changiez de nouveau de rôle.
-
Lorsque vous avez terminé d'exécuter les actions qui exigent les autorisations de ce rôle, vous pouvez revenir à votre utilisateur IAM normal. Choisissez le nom du rôle dans le coin supérieur droit (quel que soit le nom d'affichage que vous avez spécifié), puis choisissez Retour à. UserName
