Fiche mémo AWS (compte, IAM, EC2, S3, VPC, budgets, AWS CLI en lecture)

Avant tout (dans l'ordre)

MFA sur le compte racine ; le racine ne sert pas au quotidien.
Budget mensuel bas et alertes (réel et prévision) vers une adresse surveillée.
Accès humain par IAM Identity Center et rôles ; pas de clés permanentes.
Étiquette projet=test sur chaque ressource ; heure de suppression notée.

Attention : clés d'accès. Jamais dans un fichier, un dépôt, une capture, un message ni un prompt. Fuite : désactiver, supprimer, relire le journal d'activité.

Vocabulaire

Terme	En bref
Compte	frontière de permissions, de coûts et de charges
Organizations / OU / SCP	regroupe des comptes ; la SCP plafonne les droits, n'en donne aucun
Région / zone	lieu géographique / centre de données distinct dans la région
Utilisateur, rôle, politique	identité durable / identité temporaire / règles JSON d'autorisation
EC2, AMI, EBS	serveur virtuel, modèle d'image, disque persistant
S3	stockage objet : compartiment (bucket) et objets à clés
VPC	réseau virtuel ; ses sous-réseaux sont chacun dans une zone
Groupe de sécurité	pare-feu virtuel de l'instance

Schéma de repère

Compte, puis région, puis VPC (sous-réseau dans une zone, instance EC2) ; S3 est un service régional hors du VPC.

Bonnes pratiques IAM (page officielle)

Identités fédérées et identifiants temporaires · rôles pour les applications · MFA (de préférence clé de sécurité) · clés longue durée seulement si indispensable · racine protégée · moindre privilège (réduire à partir de l'activité observée) · supprimer ce qui est inutilisé.

S3

Privé par défaut ; blocage de l'accès public actif par défaut (le laisser) ; ACL désactivées par défaut.
Nom et région d'un compartiment non modifiables ; versioning pour restaurer.
Cohérence forte lecture après écriture.

Coûts à surveiller

Poste	Réflexe
Instance en marche	à la seconde (minimum 60 s) : l'arrêter ou la supprimer
Volumes EBS, snapshots, IP réservées	peuvent subsister après l'arrêt : non vérifié, à contrôler
Passerelle NAT, IPv4 publique	facturées ; éviter si inutile
Sortie de données	à compter avant de choisir la région
Budget	alerte, ne bloque rien, retard possible (mises à jour ~3 fois par jour)

AWS CLI v2 : lecture seule

Terminal

aws --versionaws sts get-caller-identity --profile <PROFIL>aws ec2 describe-regions --profile <PROFIL>aws ec2 describe-instances --profile <PROFIL> --region <REGION>aws ec2 describe-vpcs --profile <PROFIL> --region <REGION>aws s3 ls --profile <PROFIL>aws sso logout

Contexte : profil SSO configuré et ouvert (aws sso login --profile <PROFIL>). Syntaxes à confirmer dans la référence CLI de la version installée (non relue).
Droits : lecture seule suffit.
Effet : lecture ; les sorties contiennent des identifiants (numéro de compte, ARN) à ne pas coller dans un message, un dépôt ni un prompt.
Vérification : get-caller-identity d'abord, pour confirmer le compte de test.
Retour arrière : aws sso logout supprime les identifiants en cache.

Création et suppression (coûts : validation obligatoire)

Action	Effet	Retour arrière
lancer une instance (`aws ec2 run-instances`)	machine facturée à la seconde + volume	la supprimer, puis volumes et IP
supprimer une instance (`aws ec2 terminate-instances`)	irréversible	aucun sans sauvegarde
créer un compartiment (`aws s3api create-bucket`)	stockage facturé à l'usage	vider puis `aws s3 rb`
vider ou supprimer en force	détruit les objets	aucun

Nettoyage en fin d'essai

Instances, puis volumes, snapshots, IP élastiques ; compartiments vidés (anciennes versions comprises) puis supprimés ; passerelles NAT en premier ; budget conservé ; le lendemain, plus aucune ligne de facture qui croît.

Non vérifié

Syntaxes exactes de la CLI · facturation d'une instance arrêtée · règles du VPC par défaut · Free Tier (crédits, durées) · coût des appels d'API de Cost Explorer · régions et services par région.