سياسات الجلسات وتحديد النطاق المستند إلى العلامات

قد ترغبون أحيانًا في منح دور مع تقييد ما يمكن لجلسة معينة فعله دون تعديل الدور نفسه. تتيح لكم سياسات الجلسات وعلامات الجلسات تقليص الصلاحيات في اللحظة التي يُفترض فيها الدور بالضبط. وتدعم ميزات STS المتقدمة هذه تطبيق مبدأ الحد الأدنى من الصلاحيات بدقة وعلى نطاق واسع، وهو ما يقدّره الاختبار.

سياسة الجلسة هي سياسة مضمنة أو مُدارة تُمرر إلى AssumeRole (عبر Policy أو PolicyArns). وهي لا تمنح صلاحيات جديدة؛ بل يمكنها فقط تصفية الصلاحيات الحالية للدور في تلك الجلسة. وتكون الصلاحيات الفعلية هي تقاطع سياسات الدور وسياسة الجلسة.

بما أن النتيجة هي تقاطع، فلا يمكن لسياسة الجلسة أن تسمح للجلسة بأكثر مما يسمح به الدور أصلًا. فإذا منح الدور s3:*، بينما سمحت سياسة الجلسة فقط بـ s3:GetObject، فلن تتمكن الجلسة إلا من جلب الكائنات. وهذا يجعل سياسات الجلسات طريقة آمنة لمنح جزء محدود من دور أوسع.

من الاستخدامات الشائعة: افتراض أداة تنسيق لدور واحد قوي، ثم إرفاق سياسة جلسة بكل مهمة لتقييدها بحاوية واحدة أو مجموعة موارد واحدة. تكون كل جلسة محددة النطاق بدقة رغم اتساع الدور الأساسي. ويجنبكم ذلك إنشاء عشرات الأدوار المخصصة بدقة.

يوضح مقتطف CLI هذا تمرير سياسة جلسة مضمنة تقيّد الجلسة أكثر. ويجب أن يسمح الدور بهذه الإجراءات مسبقًا حتى يصبح تنفيذها ممكنًا.

علامات الجلسات هي سمات على شكل مفتاح وقيمة تُرفق بالجلسة عند افتراض الدور. وتُمرر عبر المعلمة Tags، فتصبح جزءًا من سياق الطلب ويمكن قراءة قيمها في السياسات من خلال aws:PrincipalTag. وتحمل علامات الجلسات سمات حول هوية من يفترض الدور إلى كل قرار متعلق بالتفويض.

تُعد علامات الجلسات العمود الفقري لـالتحكم في الوصول المستند إلى السمات (ABAC) للأدوار المفترضة. ويمكن لسياسة ما أن تشترط أن تساوي قيمة aws:PrincipalTag/Project الخاصة بالجلسة قيمة aws:ResourceTag/Project الخاصة بالمورد، فلا تمنح الوصول إلا عند تطابق علامات المشروع. وهكذا تخدم سياسة واحدة مشاريع عديدة بطريقة قابلة للتوسع بسلاسة.

عند تتابع الأدوار، لا تنتقل علامات الجلسات العادية إلى الأمام. ويؤدي وضع علامة باعتبارها انتقالية إلى استمرارها خلال عمليات افتراض الأدوار اللاحقة في السلسلة. ويضمن ذلك انتقال سمات مثل قسم المستخدم الأصلي مع الهوية عبر عدة مراحل، وهو أمر مهم للحفاظ على اتساق ABAC.

يتطلب تمرير علامات الجلسة إذن sts:TagSession بالإضافة إلى sts:AssumeRole. ويمكن لسياسة الثقة أيضًا تقييد مفاتيح العلامات أو القيم المسموح بها. ويمنع التحكم فيمن يمكنه تعيين علامات جلسة معينة المستخدمين من منح أنفسهم صلاحيات وصول عبر تعيين قيم علامات مميزة لأنفسهم.

تعمل سياسات الجلسة وعلامات الجلسة معًا: تعبّر العلامات عن هوية الجلسة عند مطابقة ABAC، بينما تحدد سياسات الجلسة سقفًا لما يمكن للجلسة فعله. ويسمح الجمع بينهما لدور واحد واسع الصلاحيات بخدمة جلسات متعددة محددة النطاق بأمان، وهو نوع التصميم الأنيق والقابل للتوسع الذي يركّز عليه الاختبار.

استخدم سياسات الجلسة لإجراء تقاطع مع صلاحيات الدور وتقليصها لكل جلسة، وليس لإضافة صلاحيات. واستخدم علامات الجلسة (مع sts:TagSession) لتفعيل ABAC عبر aws:PrincipalTag، واجعل العلامات انتقالية عند تسلسل الأدوار. وتوفر ميزات STS هذه أقل الصلاحيات لكل جلسة انطلاقًا من عدد صغير من الأدوار القابلة لإعادة الاستخدام.

تُجري سياسات الجلسة التي يتم تمريرها إلى AssumeRole تقاطعًا مع صلاحيات الدور، فتقلصها ولا توسعها أبدًا. وتغذي علامات الجلسة (التي تتطلب sts:TagSession) تقنية ABAC عبر aws:PrincipalTag، بينما تستمر العلامات الانتقالية عبر تسلسل الأدوار. ويتيح الجمع بينها تطبيق أقل الصلاحيات لكل جلسة باستخدام عدد قليل من الأدوار القابلة لإعادة الاستخدام.