Configurer l’accès à l’aide d’informations d’identification temporaires basées sur des comptes de confiance AWS avec AWS informations d’identification

Configurez le compte d'approbation dont les ressources doivent être accessibles, pour faire confiance au compte approuvé à l'aide du rôle IAM.

Avant de commencer

• Familiarisez-vous avec la création d'un rôle pour déléguer des autorisations à un utilisateur IAM dans la documentation de Amazon.
• Décidez quel AWS compte sera le compte approuvé. Vous utilisez le compte approuvé pour configurer des informations d’identification temporaires pour Découverte dans le cloud l’utilisation des rôles IAM. Le compte de confiance que vous utilisez pour accéder à d'autres comptes à l'aide des rôles IAM est appelé compte d'accesseur.
• Si vous configurez une chaîne de confiance où un compte de membre fait confiance à un compte de gestion et où le compte de gestion approuve un compte d’accesseur, vérifiez que vous avez configuré le compte de membre pour approuver le compte de gestion. Pour plus d'informations, consultez Configurer l’accès à l’aide d’informations d’identification temporaires pour approuver les comptes de membres dans la AWS chaîne de confiance de gestion-accesseur.
• Confirmez que Espace de travail de l'administrateur de Découverte utilise au moins la version 1.10.0. Le Découverte > Comptes de services dans le cloud Le module de navigation n’est pas disponible avec les versions antérieures. Pour accéder aux comptes de service dans le cloud dotés d’une version antérieure, saisissez dans le filtre de navigation : cmdb_ci_cloud_service_account.list.

Rôle requis :

• Pour Découverte dans le cloud: discovery_admin
• Pour Mise en service et gouvernance du cloud: administrateur ou sn_cmp.cloud_admin

Pourquoi et quand exécuter cette tâche

Au cours de cette configuration, vous créez un rôle IAM pour le compte d’approbation, puis configurez le compte de service approuvé pour le compte d’approbation à l’adresse ServiceNow AI Platform. Enfin, vous associez le rôle IAM que vous avez créé pour le compte de confiance au compte de confiance lui-même.

Figure 1. Configurer n'importe quel compte AWS de façon à utiliser un compte approuvé avec des informations d'identification AWS

Procédure

1. Créez un rôle IAM pour le compte d'approbation et configurez la relation de confiance entre l'utilisateur assumant ce rôle et le compte approuvé (d'accesseur).
   1. Connectez-vous au compte d'approbation sur la console de gestion d'AWS.
   2. Créez et configurez le rôle IAM en spécifiant l'ID de compte approuvé (d'accesseur) dans le champ ID de compte.
      Pour plus d’informations sur la création de AWS rôles, voir le Amazon documentation.
   3. Sur la page Résumé du rôle IAM, sélectionnez l'onglet Relations de confiance.
   4. Sélectionnez Modifier la relation de confiance.
      La page Modifier la relation de confiance s'ouvre et affiche le document de politique.
   5. Définissez le paramètre AWS sur l'ARN d'utilisateur complet du compte approuvé (d'accesseur).

      
      
      

   6. Vérifiez que la valeur Action est définie sur sts:AssumeRole.
   7. Sélectionnez Mettre à jour la politique de confiance.
2. Sur le ServiceNow AI Platform, configurez le compte de service approuvé.
   1. Accédez à la Tous > Découverte > Comptes de services dans le cloud.
   2. Selelct Nouveau.
   3. Remplissez les champs du formulaire.
      Pour obtenir une description des valeurs de champ, consultez la rubrique Créer des AWS comptes de service.
   4. Sélectionnez Soumettre.
3. Sur la ServiceNow AI Platform, configurez le compte de service d’approbation.
   1. Accédez à la Tous > Découverte > Comptes de services dans le cloud.
   2. Sélectionnez Nouveau.
   3. Dans le champ Compte d’accesseur , saisissez le nom du compte approuvé.
   4. Renseignez les champs restants du formulaire.
      Pour obtenir une description des valeurs de champ, consultez la rubrique Créer des AWS comptes de service.
   5. Sélectionnez Soumettre.
4. ServiceNow AI Platform Le , affectez le AWS rôle IAM au compte de confiance, à l’aide du formulaire approprié, en fonction de la relation avec le compte de confiance.

   Type de compte approuvé	Étapes
   Compte de gestion	Accédez à la Tous > Mise en service et gouvernance du cloud > Paramètres d’accès à l’organisation > Endosser les paramètres de rôle org AWS. Sélectionnez Nouveau. Sur le formulaire, configurez uniquement les champs suivants pour le compte du membre qui approuve : Tableau 1. Endosser le formulaire des paramètres de rôle org AWS de compte de services dans le cloud Champ Définition Nom du rôle d'accès Nom du rôle IAM créé pour le compte de confiance. Si les rôles IAM sont les mêmes pour tous les comptes membres : saisissez l’ARN complet à l’aide d’un astérisque (*) comme caractère générique pour l’ID de compte au format : arn :aws :iam ::* :role/MemberRoleName. Par exemple : arn :aws :iam ::* :role/SN_MEMBER_ACCOUNT_ROLE. Si les rôles IAM sont différents d’un compte membre à l’autre : saisissez l’ARN complet du rôle IAM spécifique pour chaque compte membre dans une entrée distincte. Compte de services dans le cloud Nom du compte de confiance pour lequel vous fournissez l'accès à l'aide du rôle IAM. Si les rôles IAM sont les mêmes pour tous les comptes membres : Saisissez le nom du compte de gestion. Si les rôles IAM sont différents d’un compte membre à l’autre : saisissez chaque compte membre dans une entrée distincte. Sélectionnez Soumettre.
   Membre ou compte discret	Accédez à la Tous > Mise en service et gouvernance du cloud > Paramètres d’accès à l’organisation > Endosser les paramètres de rôle Cross AWS. Sélectionnez Nouveau. Sur le formulaire, configurez uniquement les champs suivants pour le compte d’approbation : Tableau 2. Endosser le formulaire des paramètres de rôle Cross AWS de compte de services dans le cloud Champ Description Nom du rôle d'accès Nom du rôle IAM créé pour le compte de confiance. Compte de services dans le cloud Nom du compte de confiance pour lequel vous fournissez l'accès à l'aide du rôle IAM. Sélectionnez Soumettre.

Que faire ensuite

Vérifiez que ServiceNow les applications peuvent accéder au compte de service d’approbation à l’aide du rôle IAM :

1. Accédez à la Tous > Découverte > Comptes de services dans le cloud.
2. Sélectionnez le compte de service d’approbation AWS .
3. Sous Liens connexes, sélectionnez Créer un calendrier de découverte.
4. Sur la page Découverte dans le cloud du gestionnaire de découverte, sélectionnez Compte de test.
   • Si la connexion aboutit, un message s’affiche indiquant que la validation du compte est réussie.
   • Si la connexion échoue, un message d’erreur s’affiche indiquant la cause de l’échec.