> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/outils-de-prevention/cloud-scan/aws.md).

# Configuration : AWS

Accordez au scan cloud un accès en lecture seule à un compte AWS en créant une politique et un rôle, puis en collant l'ARN du rôle dans Stoïk Protect.

## Prérequis

* Un compte administrateur sur le compte AWS à analyser.
* Si vous utilisez AWS Organizations, vos Service Control Policies (SCP) ne doivent pas bloquer les autorisations en lecture seule ci-dessous. Les SCP sont la cause la plus fréquente des échecs de configuration, voir [Dépannage](#troubleshooting).
* Un conseiller technique est requis pour la supervision continue et la remédiation des vulnérabilités.
* Une seule personne effectue toute la configuration, du début à la fin : un utilisateur Stoïk Protect autorisé à modifier les outils de prévention, qui est aussi administrateur du compte AWS.

## Configuration

{% stepper %}
{% step %}

### Sélectionnez Amazon Web Services

Accédez à `Scan Cloud` > `Paramètres`, cliquez `Nouveau fournisseur`, puis sélectionnez `AWS`.

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FL48UGpzqbZCjyJWwIZd1%2FScreenshot%202026-04-07%20at%2018.48.29.png?alt=media&amp;token=205ab9b0-31ea-4328-8a16-2afa1bdc2162" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Créer une nouvelle politique

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FivaUKKzBa0gW0H6BRi2M%2FScreenshot%202026-04-07%20at%2018.48.55.png?alt=media&amp;token=a8b07550-2f4f-439f-a88b-17314ceeac29" alt=""><figcaption></figcaption></figure>

#### Configurer la politique

1. Allez sur le [Créateur de politique AWS](https://console.aws.amazon.com/iam/home?#/policies$new?step=edit) et connectez-vous avec votre compte administrateur.
2. Cliquez sur `JSON` onglet et collez la politique suivante dans l'éditeur :

   ```json
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ecr:BatchGetRepositoryScanningConfiguration",
           "ecr:DescribeImageScanFindings",
           "ecr:DescribeImages",
           "dynamodb:ListTagsOfResource",
           "ecr:ListTagsForResource",
           "inspector2:BatchGet*",
           "inspector2:Get*",
           "inspector2:Describe*",
           "inspector2:List*",
           "sqs:ListQueueTags",
           "sso:Describe*",
           "sso:List*"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Deny",
         "Action": [
           "datapipeline:EvaluateExpression",
           "datapipeline:QueryObjects",
           "rds:DownloadDBLogFilePortion"
         ],
         "Resource": "*"
       }
     ]
   }
   ```
3. Cliquez sur `Suivant`.

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fx9ykOc6VoV6cuAGIaXYb%2Faws-create-policy.png?alt=media&amp;token=140fe2ed-5cbd-43b0-b296-6efb60a60018" alt=""><figcaption></figcaption></figure>

#### Enregistrez la politique

1. Nommez la politique `StoikAdditionalPermissions`.
2. Cliquez sur `Créer la politique`.

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FNpe6hR0vOQiCv87lK1DO%2Faws-create-policy-validation.png?alt=media&amp;token=855b079e-873d-4582-a215-e170c64249c7" alt=""><figcaption></figcaption></figure>

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FoANQIZUox1pOS263nogA%2Faws-create-policy-button.png?alt=media&amp;token=2d52294d-7aeb-4ee8-92cb-fcd24c57a328" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Créer un nouveau rôle

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FfUh2nx1vfzxqe3rKTvTZ%2FScreenshot%202026-04-07%20at%2018.50.39.png?alt=media&amp;token=0307ddd7-b07d-4d5e-9c08-addbf5814ebc" alt=""><figcaption></figcaption></figure>

#### Configurer la relation d'approbation du rôle

1. Allez sur le [Créateur de rôle AWS](https://us-east-1.console.aws.amazon.com/iamv2/home#/roles/create?step=selectEntities).
2. Cliquez sur `Compte AWS`, puis `Un autre compte AWS`, puis saisissez l'ID de compte suivant :

   ```
   436578779424
   ```
3. Sélectionner `Exiger un ID externe` et copiez la valeur affichée dans la console Stoïk Protect.
4. Cliquez sur `Suivant`.

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FPtqCLbhc6EubRg0FAKJh%2Faws-create-role.png?alt=media&amp;token=ec01ef82-a562-4c76-9029-3af1904bcad2" alt=""><figcaption></figcaption></figure>

#### Attribuer les autorisations et finaliser

1. Sélectionner `StoikAdditionalPermissions` et `SecurityAudit` comme autorisations.
2. Cliquez sur `Suivant`.
3. Saisissez `stoik-auditor` comme nom du rôle.
4. Cliquez sur `Créer le rôle`.

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-2794beb9987fd6c3fbc6d1381d782094e37a0f5c%2FCapture%20d%E2%80%99%C3%A9cran%202026-05-29%20%C3%A0%2017.34.12.png?alt=media" alt=""><figcaption></figcaption></figure>

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-8eb6ce6816a9efa007029ca8e39e3a2ba30a5bfd%2FCapture%20d%E2%80%99%C3%A9cran%202026-05-29%20%C3%A0%2017.36.16.png?alt=media" alt=""><figcaption></figcaption></figure>

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-89e73e7eac5001395f4b17220469b4dd16428864%2FCapture%20d%E2%80%99%C3%A9cran%202026-05-29%20%C3%A0%2017.40.03.png?alt=media" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Ajoutez un identifiant ARN

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2F94ToUKwUHjDp3oDbMGwC%2FScreenshot%202026-04-07%20at%2018.51.37.png?alt=media&amp;token=a0b5b107-57e3-44a2-a094-164fac87050b" alt=""><figcaption></figcaption></figure>

1. Allez sur le `stoik-auditor` du rôle que vous venez de créer.
2. Copiez la `ARN` référence.

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-694a0c3196cb783df765b0e5e51364bfdedd2556%2FCapture%20d%E2%80%99%C3%A9cran%202026-05-29%20%C3%A0%2017.44.21.png?alt=media" alt=""><figcaption></figcaption></figure>

<figure><img src="https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-1f1c9950b3489ea4d1572e1acb6c4e87f34a3f33%2FCapture%20d%E2%80%99%C3%A9cran%202026-05-29%20%C3%A0%2017.45.04.png?alt=media" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Terminer la configuration

1. Collez la `ARN` référence dans le champ dédié de la console Stoïk Protect.
2. Cliquez sur `Terminer la configuration`.

{% hint style="info" %}
Actualisez la page Stoïk Protect si nécessaire.
{% endhint %}
{% endstep %}
{% endstepper %}

## AWS Organizations

Avec AWS Organizations, créez le `stoik-auditor` rôle dans chaque compte membre que vous souhaitez analyser, et pas seulement dans le compte de gestion. Toutes les autorisations demandées sont en lecture seule : la politique gérée par AWS `SecurityAudit` plus la politique `StoikAdditionalPermissions`. Il n'existe pas d'ensemble plus restreint.

## Dépannage

<details>

<summary>"L'intégration avec AWS a échoué" / "Impossible d'assumer le rôle"</summary>

Vérifiez-les dans cet ordre, en commençant par les plus fréquents :

1. **ID externe :** la valeur dans Stoïk Protect doit correspondre exactement à `sts:ExternalId` dans la politique d'approbation du rôle. La casse et les espaces comptent. Un ID externe provenant d'une tentative précédente échoue également.
2. **Compte de confiance :** la politique d'approbation fait confiance au compte `436578779424`.
3. **Rôle :** `stoik-auditor` existe dans ce compte, et l'ARN collé dans Stoïk Protect est bien son ARN. Pour un rôle qui n'existe pas, AWS répond « accès refusé », pas « introuvable ».
4. **Politiques :** les deux `SecurityAudit` et `StoikAdditionalPermissions` sont attachées, et la seconde correspond au JSON ci-dessus. Les anciennes configurations omettent souvent `sso:Describe*` et `sso:List*`.

</details>

<details>

<summary>Tout est correct, mais la configuration affiche toujours « rôles mal configurés »</summary>

Il s'agit généralement d'une politique de contrôle des services (SCP). Avant d'accepter un compte, Stoïk vérifie son rôle avec le simulateur d'autorisations d'AWS, et certaines SCP font refuser au simulateur chaque autorisation, même si l'analyse réelle fonctionne. Contactez <protect@stoik.io> avec l'ID de votre compte AWS.

</details>

<details>

<summary>L'analyse a fonctionné, puis s'est arrêtée</summary>

Quelque chose a changé de votre côté : le rôle a été supprimé ou renommé, une politique a été détachée, l'ID externe a changé ou une nouvelle SCP a été ajoutée. Passez en revue les quatre vérifications dans ["L'intégration avec AWS a échoué" / "Impossible d'assumer le rôle"](#integration-with-aws-failed--unable-to-assume-role).

</details>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-center-fr/outils-de-prevention/cloud-scan/aws.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.