مستخدمو IAM ومجموعاته

يتحكم AWS IAM في من يمكنه تسجيل الدخول وما المسموح له بفعله. وهو مجاني ومبني على ثلاثة عناصر: المستخدمون والمجموعات والأدوار. 🔐

يمثل مستخدم IAM شخصاً واحداً أو تطبيقاً واحداً. يمكن أن يملك كلمة مرور لوحدة التحكم لتسجيل الدخول يدوياً، إلى جانب مفاتيح وصول للكود. أفضل ممارسة: فعّل MFA دائماً.

تجمع مجموعة IAM المستخدمين معاً. أرفق سياسة مرة واحدة، ويحصل جميع من في المجموعة على تلك الأذونات، بدلاً من تعديل كل مستخدم على حدة.

بعض قواعد المجموعات التي ينبغي تذكرها: يمكن للمستخدم الانضمام إلى ما يصل إلى 10 مجموعات، ولا يمكن تداخل المجموعات، وهي ليست هويات حقيقية، بل تجمع الأذونات فقط.

المستخدم الجذر هو البريد الإلكتروني الذي سجلت به، ويتمتع بصلاحيات غير محدودة. أبقه محمياً: فعّل MFA، واحذف مفاتيحه، ولا تستخدمه في عملك اليومي.

مفاتيح الوصول هي معرّف وسر يتيحان للكود استدعاء AWS. لا تضعها أبداً في الشفرة المصدرية، ودوّرها باستمرار، واحذف المفاتيح التي لا تستخدمها.

يعتمد IAM مبدأ الرفض افتراضياً: لا يُسمح بشيء ما لم تنص سياسة على ذلك. لا يستطيع المستخدم الذي لا ترتبط به أي سياسات تنفيذ أي شيء إطلاقاً.

يمكن إعادة استخدام السياسة المُدارة عبر هويات كثيرة، بينما ترتبط السياسة المضمنة بهوية واحدة فقط. فضّل السياسات المُدارة كي لا تكرر عملك.

في وحدة التحكم، يعرض IAM → Users and Groups الهويات وأذوناتها وحالة MFA. ويمنحك تقرير بيانات الاعتماد تدقيقاً كاملاً في ملف CSV واحد.

باستخدام AWS Organizations، تضع سياسات التحكم بالخدمات (SCPs) حواجز حماية عبر الحسابات. لا تمنح هذه السياسات صلاحية أبداً، بل تحد فقط مما يمكن لأي شخص فعله، حتى المستخدم الجذر.

بدلاً من إنشاء مستخدم IAM لكل موظف، تستخدم الفرق الكبيرة اتحاد الهوية: يسجل الأشخاص الدخول بحساب الشركة الخاص بهم (Okta أو Azure AD) ويحصلون على وصول مؤقت إلى AWS.

اختبر فهمك لمفاهيم AWS Solutions Architect ‏(SAA-C03) الواردة في هذا الدرس.

ملخص سريع: المستخدمون هويات فردية، والمجموعات تجمع أذوناتهم، والمستخدم الجذر يبقى محمياً باستخدام MFA. التالي: الأدوار والسياسات.