الشروط وعلامات البدل ومتغيرات السياسات

إلى جانب الإجراء والمورد، توفر IAM أدوات قوية لجعل السياسات دقيقة وديناميكية: الشروط وأحرف البدل ومتغيرات السياسات. يتيح إتقان هذه الأدوات منح الصلاحيات المطلوبة بالضبط، وفي الظروف المناسبة تمامًا، وهو جوهر مبدأ أقل الصلاحيات وموضوع متكرر في الامتحان.

تحتوي كتلة Condition على اختبار واحد أو أكثر، ويجب أن تكون جميعها صحيحة حتى تنطبق العبارة. يقترن كل اختبار بـعامل ومفتاح شرط وقيمة، مثل StringEquals مع aws:PrincipalTag. وتُربط المفاتيح المتعددة في الكتلة نفسها بعامل AND؛ أما القيم المتعددة للمفتاح الواحد فتُربط بعامل OR.

تظهر مفاتيح الشروط العامة باستمرار في الامتحان:

• aws:SourceIp — التقييد بناءً على نطاق IP للمتصل.
• aws:SecureTransport — اشتراط TLS.
• aws:MultiFactorAuthPresent — اشتراط MFA.
• aws:PrincipalOrgID — التقييد على مؤسستك.

وتوفر المفاتيح الخاصة بالخدمات (مثل s3:prefix) تحكمًا أدق.

من الأنماط الشائعة رفض الوصول ما لم يستخدم الطلب TLS. إذ يمنع شرط سياسة الحاوية هذا أي استدعاء غير HTTPS، ويضمن تشفير البيانات أثناء النقل دائمًا. ويكثر ورود هذا النمط في الامتحان بوصفه إجابة عن سؤال "اشتراط التشفير أثناء النقل في S3".

تحدد العوامل كيفية مقارنة القيم: StringEquals وStringLike (يدعم أحرف البدل) وIpAddress وDateGreaterThan وBool وNull وغير ذلك. تؤدي إضافة IfExists إلى عامل ما إلى نجاحه عند غياب المفتاح. ويُعد اختيار العامل المناسب ضروريًا للحصول على المنطق المقصود.

تجعل أحرف البدل (* لأي تسلسل، و? لحرف واحد) السياسات موجزة، لكنها قد تمنح صلاحيات زائدة. يغطي s3:Get* جميع عمليات القراءة؛ بينما يغطي s3:* كل شيء في S3. استخدم أضيق حرف بدل يفي بالحاجة، وتعامل بحذر مع أحرف البدل الواسعة في أي سياسة تراجعها.

تقبل ARNs الخاصة بالموارد أحرف البدل أيضًا، مثل arn:aws:s3:::logs/2024/* لتقييد النطاق ببادئة واحدة. ويتيح ذلك للسياسة استهداف مجلد أو نمط من دون إدراج كل كائن على حدة. لكن استخدام Resource بالقيمة "*" يمنح نطاقًا على مستوى الحساب بأكمله، لذا تحقّق دائمًا مما إذا كان هذا الاتساع مطلوبًا فعلًا.

تُدرج متغيرات السياسات سياق الطلب وقت التقييم باستخدام الصيغة ${...}. وأكثرها فائدة هو ${aws:username}، إذ يتيح لسياسة واحدة منح كل مستخدم الوصول إلى موارده الخاصة فقط. وتجعل المتغيرات سياسة واحدة قابلة لإعادة الاستخدام تتصرف بشكل مختلف لكل كيان، مما يوسّع تطبيق مبدأ أقل الصلاحيات بأناقة.

تتيح هذه العبارة لكل مستخدم إدارة الكائنات الموجودة فقط ضمن مجلد يحمل اسم المستخدم الخاص به، وهو نمط قوي لسياسة واحدة للجميع.

يستخدم Attribute-Based Access Control (ABAC) الوسوم في الشروط، إذ يقارن وسوم الكيان (aws:PrincipalTag) بوسوم المورد (aws:ResourceTag). وعند تطابقها، يُمنح الوصول. يتميز ABAC بقابلية توسع كبيرة: إذ تمنح الوصول بناءً على الوسم بدلًا من كتابة سياسة جديدة لكل مشروع، وهي أفضل ممارسة حديثة يسلط الامتحان الضوء عليها.

اجمع هذه الأدوات بعناية: استخدم الشروط للتحكم في الوصول بناءً على MFA أو IP أو TLS أو عضوية المؤسسة؛ واستخدم أحرف البدل باعتدال وبأضيق نطاق؛ واستخدم متغيرات السياسات والوسوم لتطبيق مبدأ أقل الصلاحيات لكل كيان على نطاق واسع. وتتيح هذه الأدوات مجتمعة لسياسة واحدة مصممة جيدًا فرض وصول دقيق ومدرك للسياق عبر هويات وموارد متعددة.

اختبر الشروط والمتغيرات.

تتحكم الشروط في انطباق العبارات استنادًا إلى مفاتيح السياق (aws:SourceIp وaws:SecureTransport وaws:MultiFactorAuthPresent وaws:PrincipalOrgID) باستخدام عوامل مثل StringLike وBool. تجعل أحرف البدل (* و?) السياسات موجزة، لكنها قد تمنح صلاحيات زائدة. وتوفر متغيرات السياسات مثل ${aws:username} وABAC المستند إلى الوسوم تطبيقًا قابلًا للتوسع لمبدأ أقل الصلاحيات لكل كيان.