AWS Cross-Account Access
cloudDéfinition
Pattern IAM permettant d'accorder des permissions à des entités d'un autre compte AWS via des rôles IAM et politiques de confiance, sans partage de credentials long-terme.
Description
Le Cross-Account Access AWS permet d'accorder des permissions à des identités d'autres comptes AWS via des rôles IAM avec politique de confiance croisée, sans partager de credentials long-terme. C'est le pattern fondamental des architectures AWS Organizations multi-comptes.
Contexte cloud
Le compte cible crée un rôle avec Principal: {"AWS": "arn:aws:iam::SOURCE_ACCOUNT:role/ROLE"} dans sa trust policy. Le compte source assume ce rôle via STS. En Organizations, les SCPs limitent les actions permises même avec le rôle assumé.
Points clés
- Utiliser
aws:PrincipalOrgIDpour restreindre l'AssumeRole aux membres de l'organisation uniquement - Condition
sts:ExternalIdobligatoire pour les intégrations tierces (évite le confused deputy attack) - Audit :
aws iam get-role --role-name ROLE | jq .Role.AssumeRolePolicyDocumentpour vérifier les trusts
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis