Utiliser les balises de session Amazon Web Services pour le contrôle d’accès basé sur les rôles

Découvrez comment utiliser les balises de session Amazon Web Services (AWS) pour mettre en œuvre un contrôle d’accès basé sur les rôles (RBAC) pour les API et les ressources AWS.

Avec les balises de session Amazon Web Services (AWS), vous pouvez ajouter des balises aux ressources et attribuer aux utilisateurs des paires clé-valeur, ce qui vous permet de mettre en œuvre un contrôle d’accès basé sur les rôles (RBAC) pour les API et les ressources AWS.

Dans l’exemple présenté dans ce guide, nous ajouterons des balises de session AWS à nos ressources AWS, puis créerons une stratégie pour un rôle AWS IAM qui permettra aux utilisateurs ayant ce rôle et les balises appropriées d’effectuer des actions précises sur nos ressources AWS. Nous créerons ensuite une règle dans Auth0 qui associera notre rôle AWS IAM et les balises de session AWS appropriées à un utilisateur Auth0, puis les transmettra dans des assertions SAML dans le jeton. Cet exemple s’appuie sur celui fourni dans Configurer Amazon Web Services pour l’authentification unique.

Pour utiliser les balises de session AWS avec les API et les ressources AWS, vous devez :

1. Ajouter des balises aux instances AWS.
2. Créer un rôle AWS IAM spécialisé.
3. Créer une règle Auth0.
4. Tester votre configuration.

​

Prérequis

• Vous aurez besoin d’un compte Amazon Web Services (AWS) dont vous êtes l’administrateur.
• Configurer AWS pour le SSO
• Configurer quelques instances de VM AWS. Dans l’exemple de ce guide, nous utilisons trois instances distinctes.

​

Baliser des instances AWS

Ajoutez des balises à vos ressources AWS. Suivez les instructions dans Amazon Elastic Compute Cloud: Tag your Amazon EC2 resources.

Vous devriez avoir créé trois instances. Ajoutez les balises suivantes :

Instance	Balises
1	Clé : CostCenter, valeur : marketing. Clé : Project, valeur : website.
2	Clé : CostCenter, valeur : engineering. Clé : Project, valeur : management_dashboard.
3	Clé : CostCenter, valeur : marketing. Clé : Project, valeur : community_site.

​

Créer un rôle AWS IAM spécialisé

Créez un rôle IAM à l’aide du fournisseur d’identité SAML AWS que vous avez configuré lors des étapes préalables. Suivez les instructions du AWS Identity and Access Management User Guide: Creating a Role for SAML 2.0 Federation (Console).

Pendant la configuration de votre rôle, assurez-vous d’utiliser les paramètres suivants :

Paramètre	Description et valeur d’exemple
Fournisseur SAML	Nom du fournisseur d’identité que vous avez créé lors des étapes préalables, par exemple auth0SamlProvider. Sélectionnez Allow programmatic and AWS Management Console access.

Lorsqu’on vous demande d’associer des stratégies d’autorisation, créez une stratégie à l’aide du JSON suivant et nommez-la VirtualMachineAccessByCostCenter.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/CostCenter": "<%= "${aws:PrincipalTag/CostCenter}" %>"
                }
            }
        }
    ]
}

Une fois la stratégie créée, actualisez la liste des stratégies pour le rôle, puis filtrez-la et sélectionnez la nouvelle stratégie.

Lorsque vous vérifiez vos paramètres, assurez-vous d’utiliser les paramètres suivants :

Paramètre	Description
Nom du rôle	Nom descriptif de votre rôle, par exemple AccessByCostCenter.
Description du rôle	Description de l’objectif pour lequel votre rôle est utilisé.

​

Créer une règle Auth0

Pour mapper le rôle AWS et les balises à un utilisateur, vous devrez créer une règle dans Auth0. Ces valeurs seront ensuite transmises dans les assertions SAML du jeton. Dans cet exemple :

Remplacez la valeur de la variable awsAccount par votre propre numéro de compte.

function(user, context, callback) {
  var awsAccount = '013823792818';
  var rolePrefix = `arn:aws:iam::` + awsAccount; 
  var samlIdP = rolePrefix + `:saml-provider/auth0SamlProvider`;

  user.awsRole = rolePrefix + `:role/AccessByCostCenter,` + samlIdP;
  user.awsRoleSession = user.email;
  user.awsTagKeys = ['CostCenter', 'Project'];
  user.CostCenter = 'marketing';
  user.Project = 'website';

  context.samlConfiguration.mappings = {
    'https://aws.amazon.com/SAML/Attributes/Role': 'awsRole',
    'https://aws.amazon.com/SAML/Attributes/RoleSessionName': 'awsRoleSession',
    'https://aws.amazon.com/SAML/Attributes/PrincipalTag:CostCenter': 'CostCenter',
    'https://aws.amazon.com/SAML/Attributes/PrincipalTag:Project': 'Project'
  };

  callback(null, user, context);
}

​

Tester la configuration

Vous devriez maintenant être en mesure de vous connecter à la console AWS avec un utilisateur Auth0 et de tester votre mise en œuvre.

Pour vous connecter, vous aurez besoin de l’adresse de connexion SSO de la console AWS. Pour la trouver :

1. Accédez à Dashboard > Applications > Applications et sélectionnez le nom de l’Application pour l’afficher.
2. Dans l’onglet Addons, activez le module complémentaire SAML2 Web App.
3. Dans l’onglet Usage, repérez Identity Provider Login URL.
4. Accédez à l’URL indiquée.
5. Une fois connecté, dans EC2, sélectionnez Instances. Cliquez sur l’une des instances associées à un CostCenter de marketing, puis cliquez sur Actions > Instance State > Stop. Vous constaterez que l’action s’exécute correctement.
6. Cliquez sur l’instance associée à un CostCenter de engineering, puis cliquez sur Actions > Instance State > Stop. Vous constaterez que l’action échoue et renvoie une erreur.

​

En savoir plus

• Configurer Amazon Web Services pour l’authentification unique
• Configurer Amazon Web Services comme fournisseur de services SAML