4.1Identité et accèsschéma 19

AWS IAM — décider d’un accès

Schéma de décision : les règles diffèrent selon le principal, le service et le compte ; un Deny explicite prime.

Faire défiler le schéma →

AWS IAM — décider d’un accèsUne requête signée et son contexte (principal, action, ressource) traversent trois décisions : un Deny explicite, mis en avant, refuse aussitôt ; sinon les plafonds SCP et RCP applicables, mis en avant, puis les politiques d’identité, de ressource et de session doivent produire un Allow effectif ; chaque échec mène à l’accès refusé, l’Allow effectif à l’accès autorisé, journalisé selon la couverture de CloudTrail. AUCUN DENYDANS PLAFONDSALLOW EFFECTIFDENY TROUVÉHORS PLAFONDPAS DE DROIT REQUÊTE1 · Appel APIrequête signée (SigV4) CONDITIONS2 · Contexteprincipal, action, ressource GAGNE TOUJOURS3 · Deny expliciteune politique refuse SI APPLICABLE4 · SCP / RCPplafonds applicables PRINCIPAL CIBLÉ5 · Politiquesidentité, ressource, session DENYAccès refusérefus explicite ou droit absent 6 · Accès autoriséAllow valide,conditions remplies TRAÇABILITÉ7 · JournalCloudTrail selon couverture LÉGENDEévaluation suivanterefusle refus explicite, puis les plafonds