Sammenligning af IAM-brugere og -grupper

AWS Identity and Access Management (IAM) er tjenesten, der styrer, hvem der må gøre hvad på din konto. To af de mest grundlæggende byggesten er brugere og grupper. En bruger er en permanent identitet, der er knyttet til en person eller et program, mens en gruppe blot er en beholder, der samler brugere, så de deler de samme tilladelser. At forstå forskellen er grundlaget for alt andet på eksamen.

En IAM-bruger er en langsigtet identitet med et navn, der er unikt på din konto. Den kan have to slags legitimationsoplysninger:

• En konsoladgangskode til at logge ind via nettet.
• Adgangsnøgler (et ID for adgangsnøglen og en hemmelig nøgle) til programmatisk brug af API- og CLI-kald.

Da disse legitimationsoplysninger har lang levetid, betragter AWS dem som en større risiko. Bedste praksis er at foretrække roller og midlertidige legitimationsoplysninger frem for at oprette mange brugere med permanente nøgler.

En IAM-gruppe er en samling af brugere, der deler tilladelser gennem tilknyttede politikker. Grupper gør adgangsstyring skalerbar: I stedet for at knytte den samme politik til ti udviklere knytter du den én gang til gruppen "Developers" og tilføjer brugerne. Vigtige oplysninger, som eksamen forventer, at du kender:

• En gruppe har ingen legitimationsoplysninger og kan ikke være en principal i en politik.
• En bruger kan tilhøre flere grupper.
• Grupper kan ikke indlejres i andre grupper.

Når en bruger sender en anmodning, kombinerer IAM alle relevante politikker: dem, der er knyttet direkte til brugeren, samt dem, der er knyttet til hver gruppe, brugeren tilhører. Resultatet er foreningen af alle tilladte handlinger, medmindre der findes et eksplicit afslag et sted. Det betyder, at gruppemedlemskab kun kan tilføje tilladelser, aldrig fjerne dem, bortset fra gennem en eksplicit afvisningserklæring.

Styring af tilladelser pr. bruger indbyder til konfigurationsafvigelser: Med tiden opbygger hver bruger et lidt anderledes og svært reviderbart sæt politikker. Grupper centraliserer tilladelser, så én ændring af en politik anvendes ensartet på alle i en rolle. For en revisor er det langt nemmere at se, hvem der tilhører gruppen "Admins", end at undersøge snesevis af individuelle brugere én efter én.

Du kan undersøge medlemskab fra CLI'en for at kontrollere, hvem der har udvidet adgang. Kommandoen nedenfor viser alle brugere i en gruppe, hvilket er et almindeligt første skridt, når man håndterer et fund af for omfattende adgang.

Forveksl ikke IAM-brugere med root-brugeren. Root-brugeren er den kontoejeridentitet, der oprettes, når kontoen åbnes, og den har ubegrænset adgang, som ikke kan begrænses af IAM-politikker. AWS anbefaler kraftigt, at du låser root-legitimationsoplysningerne væk, aktiverer multifaktorgodkendelse (MFA) for den og aldrig bruger den til dagligt arbejde. Opret individuelle IAM-brugere (eller brug endnu bedre federation) i stedet.

Alle IAM-brugere bør have MFA aktiveret, hvilket kræver en ekstra faktor, f.eks. en hardware-nøgle eller en godkendelsesapp, ud over adgangskoden. Du kan håndhæve MFA gennem politiske betingelser som aws:MultiFactorAuthPresent. Eksamen tester ofte brugen af MFA til at beskytte følsomme handlinger som sletning af ressourcer eller ændring af sikkerhedsindstillinger.

En almindelig fejl er at oprette IAM-brugere med statiske adgangsnøgler til applikationer, der kører på EC2 (Elastic Compute Cloud). Det indlejrer langsigtede hemmeligheder, som kan lække. Det sikre mønster er en IAM-rolle, der er knyttet til instansen, hvilket vi gennemgår næste gang. For menneskelige teams bør du foretrække federation med IAM Identity Center frem for individuelt administrerede brugere.

IAM-rapporten over legitimationsoplysninger er en CSV-fil, der kan downloades, og som viser alle brugere, hvornår deres adgangskode og adgangsnøgler sidst blev brugt, samt om MFA er aktivt. Sammen med IAM Access Analyzer og data om seneste adgang hjælper den dig med at finde forældede brugere, ubrugte nøgler og grupper med for brede tilladelser. Regelmæssig gennemgang er en central del af en god praksis for mindst mulige privilegier, og det belønnes på eksamen.

Brug brugere, når du har brug for en særskilt identitet med legitimationsoplysninger til en person eller en ældre applikation. Brug grupper til at tildele fælles tilladelser på en enkel måde og undgå forskelle mellem individuelle brugere. I moderne designs minimerer du helt brugere, der altid er aktive, og stoler i stedet på roller til arbejdsbelastninger og federation til mennesker. Brugere og grupper er stadig vigtig terminologi, men de er udgangspunktet, ikke målet.

Du har lært, at en IAM-bruger er en identitet med langsigtede legitimationsoplysninger, mens en IAM-gruppe er en beholder uden legitimationsoplysninger, der samler brugere, så de kan dele politikker. Tilladelser er foreningen af brugerens og gruppens politikker, grupper kan ikke indlejres i hinanden, og root-brugeren bør låses væk med MFA. Foretræk roller til arbejdsbelastninger og federation til mennesker for at undgå langsigtede hemmeligheder og konfigurationsafvigelser.