InfrastructureCompte de serviceVérifié le 7 septembre 2026
Lutril inventorie les utilisateurs IAM, les rôles IAM et les clés d'accès de chaque compte de votre AWS Organization, cartographie comptes et OU, et accorde des accès just-in-time via les account assignments d'IAM Identity Center. Un utilisateur IAM (ou rôle) pour Lutril dans le compte de management, plus un rôle en lecture seule par compte membre.
Compte de management : organizations:ListAccounts, DescribeAccount, ListRoots, ListOrganizationalUnitsForParent, ListAccountsForParent, DescribeOrganizationalUnit, DescribeOrganization, account:ListRegions, sts:AssumeRole (restreint au rôle membre), sts:GetCallerIdentity
Chaque compte membre (LutrilRole) : iam:GetAccountAuthorizationDetails, iam:GenerateCredentialReport, iam:GetCredentialReport, iam:ListAccessKeys, iam:GetAccessKeyLastUsed
Accès just-in-time (facultatif) : sso:CreateAccountAssignment, sso:DeleteAccountAssignment, sso:DescribeAccountAssignmentCreationStatus, sso:DescribeAccountAssignmentDeletionStatus, sso:ProvisionPermissionSet. Recommandé : restreindre ces deux écritures par Resource aux permission sets et comptes que Lutril peut accorder.
Remédiation réversible (facultatif) : iam:UpdateAccessKey et iam:DeleteLoginProfile sur les comptes où Lutril peut désactiver un utilisateur IAM. Sans elles, l'inventaire fonctionne et le bouton Désactiver signale une erreur de permission.
Remédiation réversible uniquement : Lutril ne supprime jamais un utilisateur IAM ni un rôle. Désactiver signifie désactiver les clés d'accès et retirer le mot de passe console ; la suppression définitive reste un geste humain.
Les account assignments d'Identity Center n'ont pas d'expiration native : Lutril retire chaque assignment just-in-time à son échéance.
Les valeurs Last used viennent du credential report IAM (régénéré au plus toutes les 4 heures, deux premières clés par utilisateur) et de RoleLastUsed pour les rôles ; l'activité très récente peut être décalée.
Étapes de configuration
1
Créez un utilisateur IAM pour Lutril dans votre compte de management (sans accès console) et une clé d'accès. Collez l'Access Key ID et la Secret Access Key dans le formulaire de connexion AWS de Lutril. Attachez-lui la politique de management ci-dessous.
Si l'utilisateur Lutril vit hors du compte de management, créez plutôt un rôle LutrilOrgReader dans le compte de management avec cette politique, faites-lui confiance à l'utilisateur Lutril avec l'External ID affiché dans le formulaire (Condition StringEquals sts:ExternalId), et renseignez son ARN comme Management role ARN dans Lutril.
3
Créez un rôle LutrilRole en lecture seule dans chaque compte membre (CloudFormation StackSets le déploie sur toute l'organisation en une opération). Trust policy : le compte de management (ou le rôle LutrilOrgReader). Permissions :
Ces cinq actions couvrent utilisateurs, rôles, dernier usage des rôles, âge et dernier usage des clés. Les comptes invités dans l'organisation n'ont pas OrganizationAccountAccessRole automatiquement : déployez LutrilRole là aussi, sinon ces comptes apparaissent avec un avertissement et un inventaire vide.Ouvrir StackSets
4
Facultatif, pour l'inventaire Identity Center et les accès just-in-time : attachez la politique Identity Center à l'utilisateur Lutril (ou à LutrilOrgReader), et renseignez la région Identity Center dans le formulaire. Lutril accorde l'accès en créant un account assignment (utilisateur, permission set, compte) et le retire à l'échéance ; les assignments n'ont pas d'expiration native dans AWS.
La troisieme declaration est restreinte aux roles qu'Identity Center cree pour lui-meme (aws-reserved/sso.amazonaws.com) : la premiere fois qu'un permission set arrive sur un compte, AWS y provisionne ce role, et sans ces actions le premier grant sur un compte vierge echoue. Restreindre le chemin est ce qui evite d'accorder une permission generale de creation de roles. Encore plus strict : limitez la Resource de la declaration JustInTimeGrants aux ARN de permission sets et de comptes que Lutril peut accorder, pour exclure d'emblee AdministratorAccess ou le compte de management. Les API d'administration d'Identity Center doivent etre appelees depuis le compte de management ou un administrateur delegue, dans la region ou Identity Center est active.
5
Dans Lutril, ouvrez Settings, puis Integrations, puis AWS. Collez la clé d'accès, renseignez la région, le nom du rôle membre (LutrilRole par défaut), la région Identity Center si utilisée, et éventuellement le Management role ARN. L'External ID à mettre dans la trust policy est affiché dans le formulaire.
Ouvrez Non-Human Identities et cliquez sur Refresh. Le sync parcourt chaque compte actif (quelques minutes sur les grandes organisations) et liste les avertissements par compte injoignable. Les comptes deviennent des access levels demandables de l'app AWS du catalogue pour les accès just-in-time.
