Services AWS

La connexion repose sur un rôle IAM dans votre compte AWS et un External ID fourni par Persyst. Elle ne demande pas de clé d’accès AWS permanente à saisir ou à transmettre.

Répartir les étapesCopier le lien de la section

L’administrateur Persyst prépare les ressources et les bénéficiaires. Le responsable AWS doit pouvoir créer un rôle et ses permissions dans le compte cible ; il peut réaliser cette partie sans compte Persyst.

Les services disponibles dans le pilote sont S3, DynamoDB, CloudWatch Logs, CloudTrail, Budgets, Cost Explorer et les métriques CloudWatch. Activez uniquement les services nécessaires. Les lectures et requêtes restent soumises à la facturation AWS du compte connecté.

Préparer le dossier dans PersystCopier le lien de la section

1. Dans Sources de données → Ajouter une source, choisissez le service AWS souhaité.
2. Préparez une connexion avec un nom, l’identifiant du compte AWS à 12 chiffres, les régions et les services utiles. L’ARN du rôle peut être ajouté après cette préparation.
3. Dans Ressources, renseignez les références exactes : bucket et préfixe S3, table DynamoDB, groupe de logs ou autre ressource demandée.
4. Dans Connexion → Configuration IAM, copiez ou téléchargez le dossier qui contient la policy de confiance, les permissions et le manifeste des ressources.
5. Transmettez ce dossier au responsable AWS.

Créer le rôle dans AWSCopier le lien de la section

1. Vérifiez dans le dossier le compte cible, l’ARN du principal technique Persyst, l’External ID et les ressources demandées.
2. Créez un rôle IAM dédié dans le compte cible et installez la policy de confiance fournie, avec le principal et l’External ID exacts.
3. Attachez les permissions fournies pour les seules ressources sélectionnées. Pour des objets S3 chiffrés avec KMS, vérifiez aussi les droits sur la clé concernée.
4. Remettez l’ARN complet du rôle à l’administrateur Persyst.

Ne remplacez pas le principal par * et ne retirez pas la condition External ID. Les permissions de découverte globale sont facultatives si vous fournissez les références exactes des ressources.

Vérifier et attribuer les ressourcesCopier le lien de la section

L’administrateur renseigne l’ARN du rôle, enregistre, puis clique sur Tester le rôle et vérifier les ressources. Le résultat distingue l’identité AWS vérifiée et les ressources dont l’accès a été confirmé. Une identité vérifiée ne prouve pas toutes les permissions de lecture.

Dans Gestion des accès, attribuez ensuite les ressources vérifiées et leurs outils aux bénéficiaires. Une référence préparée, ou un outil coché globalement, n’ouvre pas à lui seul les autres ressources.

Retirer la délégationCopier le lien de la section

Retirez les accès Persyst pour un membre ou désactivez la connexion pour tous ses bénéficiaires. Le responsable AWS peut aussi retirer les permissions ou supprimer le rôle. Pour rappeler des sessions IAM déjà émises, suivez la procédure AWS de révocation des sessions du rôle.

Références : délégation AWS à un tiers et External ID, révocation des sessions IAM.