# Connecter un compte AWS

Déployer un rôle AWS en lecture seule pour inventorier les ressources cloud et importer les constats Security Hub.

> **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme.

## Prérequis

- Être administrateur de l’entreprise dans CISAPP.
- Pouvoir créer une stack CloudFormation et un rôle IAM dans le compte AWS visé.
- Pour les constats de sécurité : AWS Security Hub activé dans les régions à analyser.

## Déployer le rôle

1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte AWS.
2. Étape **Déployer le rôle** : CISAPP affiche son principal et un **ExternalId** propre à cette connexion.
3. Cliquez **Déployer via CloudFormation**, ou copiez le template et déployez-le vous-même avec ces deux valeurs.
4. Le rôle créé est en lecture seule (SecurityAudit et Security Hub en lecture) : CISAPP ne modifie rien dans votre compte.

## Vérifier et connecter

1. Cliquez **J’ai déployé le rôle**.
2. Collez l’**ARN du rôle** (sortie RoleArn de la stack).
3. Indiquez éventuellement des **Régions** ; laissez vide pour toutes les régions activées.
4. **Vérifier et connecter** : CISAPP teste l’accès, active la connexion et lance la première synchronisation.

Si vous fermez l’assistant avant la vérification, la connexion reste **En attente** : **Reprendre la configuration** depuis sa fiche.

## Suivre la synchronisation

La fiche affiche la dernière synchronisation et, le cas échéant, une synchronisation incomplète (par exemple une région inaccessible). **Synchroniser** relance une analyse ; une synchronisation automatique a aussi lieu chaque nuit. Les ressources sont visibles dans **Voir le patrimoine** et **Voir la cartographie**, les constats Security Hub dans les constats de sécurité.

## Difficultés courantes

| Message | Que faire |
| --- | --- |
| Le connecteur AWS n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. |
| AWS a refusé l’accès | Vérifiez que la stack est déployée, que le principal et l’ExternalId correspondent à ceux affichés. |
| Security Hub n’est activé dans aucune région analysée | Activez Security Hub ou ajustez les régions. |

## Déconnecter

**Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats Security Hub en résolus. Supprimez ensuite la stack CloudFormation dans votre compte AWS.

## Résultat attendu

La connexion est active, l’inventaire cloud est alimenté et les constats Security Hub remontent dans CISAPP.

Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs).