Beslutningsforløbet ved politikevaluering

Når en forespørgsel når frem til AWS, gennemfører IAM-motoren et præcist evalueringsforløb for at afgøre, om den skal tillades eller afvises. At huske denne rækkefølge er noget af det mest værdifulde, du kan gøre for SCS-C02-eksamen, fordi vanskelige scenariespørgsmål afhænger af, hvilken politiktype der vinder, når flere er i spil.

Udgangspunktet er altid en implicit afvisning. Hvis intet i evalueringen giver adgang, afvises anmodningen. Denne tilgang med afvisning som standard betyder, at du udtrykkeligt skal tillade en handling et sted, for at den kan lykkes; tavshed er lig med afvisning.

Den vigtigste regel er: En udtrykkelig afvisning hvor som helst i en gældende politik tilsidesætter enhver tilladelse. Uanset hvor mange erklæringer der giver tilladelse til handlingen, blokerer én matchende afvisning den. Sådan håndhæver sikkerhedsregler og SCP'er hårde grænser, som politikker på lavere niveauer ikke kan tilsidesætte.

AWS evaluerer i denne konceptuelle rækkefølge: 1) Se efter en udtrykkelig afvisning i enhver politik (SCP'er, grænser, identitet, ressource, session) — hvis der findes en, afvises anmodningen. 2) Hvis en SCP gælder og ikke tillader handlingen, afvises den. 3) Kontrollér tilladelsesgrænser, sessionspolitikker og identitets-/ressourcepolitikker for en tilladelse. Ethvert hul resulterer i en implicit afvisning.

Service Control Policies (SCP'er) i AWS Organizations fastsætter de maksimale tilladelser for en konto. En handling skal være tilladt af SCP'en og af en IAM-politik for at lykkes. SCP'er giver aldrig adgang i sig selv; de sætter kun en grænse eller afviser. Hvis SCP'en ikke tillader en handling, kan ingen IAM-tilladelse redde den.

En tilladelsesgrænse er en avanceret politik, der fastsætter de maksimale tilladelser for en bestemt bruger eller rolle. De effektive tilladelser er snittet mellem grænsen og identitetspolitikken. Ligesom SCP'er kan en grænse kun begrænse; den udvider aldrig det, som en identitetsbaseret politik giver tilladelse til.

Når en rolle antages med en sessionspolitik, begrænser denne politik tilladelserne yderligere, men kun for den pågældende session. Resultatet er igen et snit: Sessionen kan ikke gøre mere, end både rollens politikker og sessionspolitikken tillader. Sessionspolitikker er måden, du begrænser omfanget på, når rollen antages.

For anmodninger inden for samme konto kan en ressourcebaseret tilladelse give adgang, selv uden en identitetsbaseret tilladelse (forening). På tværs af konti kræves begge dele. Og hele vejen igennem vinder enhver udtrykkelig afvisning i en af disse stadig. Ressourcepolitikken indgår i det samme overordnede forløb.

Antag, at en identitetspolitik tillader s3:DeleteObject, men at en SCP afviser alle s3:Delete* i produktion. Resultatet er: afvist, fordi den udtrykkelige afvisning i SCP'en tilsidesætter identitetens tilladelse. Omvendt: Hvis SCP'en tillader handlingen, men ingen identitetspolitik giver tilladelse til den, afvises den også på grund af implicit afvisning. Begge lag skal være enige om at tillade handlingen.

Opgaver til eksamen kombinerer SCP'er, grænser, identitets- og ressourcepolitikker og spørger derefter til resultatet. Den pålidelige metode er først at lede efter en udtrykkelig afvisning, bekræfte, at SCP'en tillader handlingen, bekræfte, at grænsen og sessionen tillader den, og bekræfte, at der findes en identitets- eller ressourcetilladelse. Hvis alt stemmer overens uden en afvisning, er svaret, at handlingen tillades.

Husk denne tjekliste: (1) Findes der en udtrykkelig afvisning? Afvis. (2) Tillader SCP'en handlingen? Hvis ikke, afvis. (3) Tillader grænsen/sessionen handlingen? Hvis ikke, afvis. (4) Findes der en identitets- eller ressourcetilladelse? Hvis ja og der ikke er nogen afvisning, tillad; ellers er resultatet en implicit afvisning. Anvend den mekanisk, så bliver selv spørgsmål med flere politikker ligetil.

IAM-evaluering starter med implicit afvisning, og en udtrykkelig afvisning vinder altid. For at tillade en handling må der ikke være nogen udtrykkelig afvisning, SCP'en skal tillade den, tilladelsesgrænser og sessionspolitikker (snit) skal tillade den, og der skal findes en identitets- eller ressourcetilladelse. SCP'er og grænser begrænser kun; de giver aldrig tilladelser.