مقارنة مستخدمي IAM ومجموعاته

إن AWS Identity and Access Management (IAM) هي الخدمة التي تتحكم في من يمكنه تنفيذ ماذا في حسابكم. ومن أبسط مكوناتها الأساسية المستخدمون والمجموعات. المستخدم هوية دائمة مرتبطة بشخص أو تطبيق، أما المجموعة فهي حاوية تجمع المستخدمين معًا كي يتشاركوا الأذونات نفسها. ويُعد فهم هذا الفرق أساسًا لكل ما يأتي بعده في الاختبار.

مستخدم IAM هوية طويلة الأمد لها اسم فريد داخل حسابكم. ويمكن أن يمتلك نوعين من بيانات الاعتماد:

• كلمة مرور وحدة التحكم لتسجيل الدخول عبر الويب.
• مفاتيح الوصول (معرّف مفتاح الوصول والسر) لاستدعاءات API وCLI البرمجية.

وبما أن بيانات الاعتماد هذه طويلة الأمد، فإن AWS تعتبرها أعلى خطورة. وتتمثل أفضل ممارسة في تفضيل الأدوار وبيانات الاعتماد المؤقتة بدلًا من إنشاء عدد كبير من المستخدمين ذوي المفاتيح الدائمة.

مجموعة IAM مجموعة من المستخدمين يتشاركون الأذونات من خلال السياسات المرفقة. تجعل المجموعات إدارة الوصول قابلة للتوسع: فبدلًا من إرفاق السياسة نفسها بعشرة مطورين، تُرفق مرة واحدة بمجموعة "Developers" ثم تُضاف إليها حسابات المستخدمين. ومن الحقائق الأساسية التي يتوقعها الاختبار:

• لا تملك المجموعة بيانات اعتماد، ولا يمكن أن تكون principal في سياسة.
• يمكن للمستخدم الانتماء إلى مجموعات متعددة.
• لا يمكن تداخل المجموعات داخل مجموعات أخرى.

عندما يرسل المستخدم طلبًا، يجمع IAM كل السياسات المنطبقة: السياسات المرفقة مباشرةً بالمستخدم، إضافةً إلى السياسات المرفقة بكل مجموعة ينتمي إليها المستخدم. وتكون النتيجة اتحاد جميع الإجراءات المسموح بها، ما لم يظهر رفض صريح في أي موضع. وهذا يعني أن عضوية المجموعة لا تؤدي إلا إلى إضافة الأذونات، ولا تنتقص منها، باستثناء حالة وجود عبارة رفض صريح.

تؤدي إدارة الأذونات لكل مستخدم إلى ظهور انحراف في التهيئة؛ إذ تتراكم لدى كل مستخدم بمرور الوقت مجموعة سياسات مختلفة قليلًا ويصعب تدقيقها. وتُركّز المجموعات الأذونات، بحيث ينطبق تغيير سياسة واحدة بصورة متسقة على جميع أفراد الدور. وبالنسبة إلى المدقق، فإن سرد أعضاء مجموعة "Admins" أسهل بكثير من فحص عشرات المستخدمين الفرديين واحدًا تلو الآخر.

يمكنكم فحص العضوية من CLI لتدقيق من يملك وصولًا ذا امتيازات مرتفعة. يسرد الأمر أدناه كل مستخدم داخل مجموعة، وهي خطوة أولى شائعة عند التعامل مع نتيجة تشير إلى وصول مفرط الامتيازات.

لا تخلطوا بين مستخدمي IAM ومستخدم الجذر. مستخدم الجذر هو هوية مالك الحساب التي تُنشأ عند فتح الحساب، ويتمتع بوصول غير مقيّد لا يمكن الحد منه باستخدام سياسات IAM. وتوصي AWS بشدة بأن تقوموا بحفظ بيانات اعتماد الجذر في مكان آمن، وتمكين المصادقة متعددة العوامل (MFA) له، وعدم استخدامه مطلقًا للعمل اليومي. أنشئوا بدلًا من ذلك مستخدمي IAM فرديين، أو الأفضل، استخدموا federation.

ينبغي تمكين MFA لكل مستخدم IAM، إذ يتطلب ذلك عاملًا ثانيًا، مثل مفتاح عتادي أو تطبيق مصادقة، بالإضافة إلى كلمة المرور. ويمكنكم فرض MFA من خلال شروط السياسة مثل aws:MultiFactorAuthPresent. وغالبًا ما يختبر الامتحان استخدام MFA لحماية العمليات الحساسة، مثل حذف الموارد أو تغيير إعدادات الأمان.

من الأخطاء الشائعة إنشاء مستخدمي IAM بمفاتيح وصول ثابتة للتطبيقات التي تعمل على EC2 (Elastic Compute Cloud). فهذا يضمّن أسرارًا طويلة الأجل قد تتسرّب. النمط الآمن هو إرفاق دور IAM بالمثيل، وهو ما سنشرحه لاحقًا. وبالنسبة إلى فرق العمل، يُفضَّل استخدام federation عبر IAM Identity Center بدلًا من إدارة المستخدمين فرديًا.

يُعد تقرير بيانات اعتماد IAM ملف CSV قابلًا للتنزيل، ويسرد كل مستخدم، ووقت آخر استخدام لكلمة المرور ومفاتيح الوصول الخاصة به، وما إذا كان MFA مفعّلًا. وبالاقتران مع IAM Access Analyzer وبيانات آخر استخدام، يساعدك ذلك على العثور على المستخدمين غير النشطين، والمفاتيح غير المستخدمة، والمجموعات ذات الصلاحيات الواسعة أكثر من اللازم. وتُعد المراجعة الدورية جزءًا أساسيًا من الحفاظ على مبدأ أقل صلاحية، وهو أمر يكافئ عليه الاختبار.

استخدم المستخدمين عندما تحتاج إلى هوية مميّزة لها بيانات اعتماد لشخص أو لتطبيق قديم. واستخدم المجموعات لتعيين الصلاحيات المشتركة بطريقة منظمة وتجنب اختلاف الإعدادات بين المستخدمين. في التصاميم الحديثة، تقلّل استخدام المستخدمين الدائمين إلى أدنى حد، وتعتمد على الأدوار لأحمال العمل وعلى federation للبشر. يظل المستخدمون والمجموعات من المصطلحات الأساسية، لكنهما نقطة البداية لا الوجهة النهائية.

اختبر مدى فهمك للفروق بين المستخدمين والمجموعات.

تعلّمت أن مستخدم IAM هو هوية لها بيانات اعتماد طويلة الأجل، بينما مجموعة IAM حاوية بلا بيانات اعتماد تجمع المستخدمين لمشاركة السياسات. والصلاحيات هي اتحاد سياسات المستخدم والمجموعة، ولا يمكن تداخل المجموعات، كما ينبغي تأمين المستخدم الجذر وإبعاده مع تفعيل MFA. ويُفضَّل استخدام الأدوار لأحمال العمل وfederation للبشر لتجنب الأسرار طويلة الأجل وانحراف الإعدادات.