01
Identifier la forme de Statement
Un objet unique et une liste d’objets sont acceptés. L’exemple de confiance de rôle illustre Principal sans Resource ; une déclaration d’identité ordinaire dépourvue de Resource est signalée.
Outils cloud
Validation de politique IAM
Collez un document JSON et comparez l’arbre des statements, le formatage et le rapport statique.
Validation de politique IAM
JSON de politique
Arbre et résultats
Déclaration 1 · ReadReports
- Effet
- Allow
- Action
- s3:GetObject s3:ListBucket
- Resource
- arn:aws:s3:::example-reports arn:aws:s3:::example-reports/*
- Condition
StringEquals · aws:RequestedRegion: ["us-east-1"]
À vérifier (1)
- Vérifiez le joker dans Resource. Chemin /Statement/0/Resource/1
Le texte reste dans ce navigateur ; aucune requête AWS n’est envoyée.
Options
Déclarations : 1 ; erreurs : 0 ; points à vérifier : 1.
Une politique qui contient plusieurs Statement est difficile à relire dans un seul bloc. La Validation de politique IAM regroupe Action, Resource et Condition par déclaration, tout en conservant NotAction et NotResource comme des champs inverses.
Ce résultat concerne uniquement le document présent. La Validation de politique IAM n’a ni les autres politiques ni le contexte de la requête : un Allow visible ne prouve pas l’accès réel. Un éditeur de politiques JSON peut modifier le texte ; ici les sorties restent séparées.
Pourquoi utiliser la Validation de politique IAM
Suivre les déclarations sans les modifier
La Validation de politique IAM conserve l’ordre des Statement et les noms AWS. L’opérateur, la clé et les valeurs de chaque Condition restent liés à la déclaration source ; on peut confronter l’arbre au JSON.
Séparer erreur et vigilance
JSON mal formé et éléments incompatibles sont des erreurs. Un joker ou un champ inverse est une invitation à vérifier la portée, non la preuve d’un accès administrateur. Certaines actions AWS imposent même Resource "*".
Trois repères pour lire le rapport
02
Comparer les trois vues
L’arbre est la vue initiale. Le JSON formaté est une sortie séparée à deux espaces, et le rapport contient les chemins des éléments extraits. Changer l’indentation rend immédiatement les anciens exports périmés.
03
Vérifier avant de télécharger
Le statut compte erreurs et points de vigilance séparément. Une syntaxe JSON invalide bloque la sortie formatée. Même si l’écran commence par 50 éléments, le rapport téléchargé contient toutes les déclarations.
Ce que l’analyse locale extrait
Arbre des déclarations
Chaque Statement présente Sid, Effect, Action ou NotAction, Resource ou NotResource, Principal et Condition. L’ordre des tableaux est préservé.
Diagnostics situés
Une erreur JSON donne ligne et colonne ; une incohérence de structure donne un chemin JSON Pointer. La Validation de politique IAM permet de retrouver la déclaration concernée. Une vérification de politique IAM liée à AWS peut aller au-delà de ces diagnostics locaux.
Formatage sans réécriture
L’entrée reste intacte. Les clés dupliquées et les grands nombres non sûrs empêchent de produire un JSON qui écraserait ou arrondirait silencieusement une valeur.
Rapport JSON entier
Portée statique, déclarations extraites, codes et chemins figurent dans l’export. Replier un nœud ou paginer l’affichage ne coupe pas les données.
Portée exacte de ce contrôle
- Pas de droits effectifs
- La Validation de politique IAM ne combine pas politiques de ressource, SCP, limites de permissions, sessions et contexte de requête. Un Allow isolé ne garantit rien.
- Pas de catalogue de services
- Action et Condition sont affichés tels quels. L’outil ne confirme pas qu’un service accepte aujourd’hui une opération ou une clé de condition particulière.
- Pas de développement des jokers
- * et ? restent littéraux. NotAction et NotResource gardent leur sens inverse ; un avertissement ne signifie ni erreur de syntaxe ni privilège administrateur.
- Un seul document JSON strict
- Commentaires, virgules finales, YAML et documents concaténés sont rejetés. Une politique de confiance avec Principal peut omettre Resource. La grammaire de politique IAM définit ces formes.
- Ni réparation ni appel AWS
- Le formatage ne remplace pas l’entrée. L’outil ne supprime pas Deny, n’exécute pas Condition et ne vérifie pas l’existence d’une ressource.
Questions sur la Validation de politique IAM
Cet outil confirme-t-il mes autorisations effectives ?
Non. Ce contrôle lit un document isolé. Les autres politiques et les conditions d’une vraie requête AWS peuvent modifier le résultat final.
Un caractère générique dans Action ou Resource est-il une erreur de syntaxe ?
Non. Les caractères génériques sont admis dans plusieurs positions. L’outil garde Action ou Resource tel quel et invite à examiner si la portée convient au service et au besoin.
Mon document de politique est-il envoyé à un serveur ?
Non. L’analyse et le formatage se font dans le navigateur, sans appel AWS ni envoi du texte à un LLM.
Quels types de politiques peut-on examiner ?
On peut examiner des documents JSON d’identité et de ressource, dont les déclarations de confiance de rôle. Cela ne certifie pas tous les types ni les règles propres à chaque service.
Ces avertissements constituent-ils un audit de sécurité complet ?
Non. Ces alertes ne couvrent qu’un ensemble limité de structures et de jokers. AWS Access Analyzer et le contexte du compte restent nécessaires pour une revue plus large.
Une question reste ouverte ?
Lancer la Validation de politique IAM
Lisez d’abord ce que dit le document, puis vérifiez les droits réels dans le contexte AWS approprié.