Betingelser, wildcards og politikvariabler

Ud over handling og ressource tilbyder IAM effektive værktøjer til at gøre politikker præcise og dynamiske: betingelser, jokertegn og politikvariabler. Når du behersker dem, kan du give præcis den nødvendige adgang under præcis de rigtige omstændigheder. Det er essensen af mindst mulige privilegier og et tilbagevendende tema til eksamen.

En blok med Condition indeholder en eller flere test, som alle skal være sande, for at erklæringen gælder. Hver test kombinerer en operator med en betingelsesnøgle og en værdi, f.eks. StringEquals på aws:PrincipalTag. Flere nøgler i én blok kombineres med AND; flere værdier for én nøgle kombineres med OR.

Globale betingelsesnøgler optræder konstant til eksamen:

• aws:SourceIp — begræns efter den kaldende parts IP-interval.
• aws:SecureTransport — kræv TLS.
• aws:MultiFactorAuthPresent — kræv MFA.
• aws:PrincipalOrgID — begræns til din organisation.

Servicespecifikke nøgler (f.eks. s3:prefix) giver endnu finere kontrol.

Et klassisk mønster afviser adgang, medmindre anmodningen bruger TLS. Denne betingelse i bucket-politikken blokerer alle kald, der ikke bruger HTTPS, og sikrer dermed, at data under overførsel altid er krypteret. Til eksamen bruges dette ofte som svaret på "kræv kryptering under overførsel for S3".

Operatorer definerer, hvordan værdier sammenlignes: StringEquals, StringLike (understøtter jokertegn), IpAddress, DateGreaterThan, Bool og Null med flere. Hvis du tilføjer IfExists til en operator, lykkes den, når nøglen mangler. Det er afgørende at vælge den rigtige operator for at opnå den tilsigtede logik.

Jokertegn (* for en vilkårlig sekvens, ? for ét tegn) gør politikker kortfattede, men kan give for brede tilladelser. s3:Get* omfatter alle handlinger af læsetypen; s3:* omfatter alt i S3. Brug det smalleste jokertegn, der opfylder behovet, og vær skeptisk over for brede jokertegn i enhver politik, du gennemgår.

Ressource-ARN'er accepterer også jokertegn, f.eks. arn:aws:s3:::logs/2024/* for at begrænse omfanget til ét præfiks. Det gør det muligt for en politik at målrette en mappe eller et mønster uden at angive hvert objekt. Men en Resource, der kun er "*", giver adgang til hele kontoen, så overvej altid, om et så bredt omfang virkelig er nødvendigt.

Politikvariabler indsætter anmodningens kontekst under evalueringen ved hjælp af syntaksen ${...}. Den mest nyttige er ${aws:username}, som lader én politik give hver bruger adgang udelukkende til egne ressourcer. Variabler får en enkelt genanvendelig politik til at opføre sig forskelligt for hver identitet og gør mindst mulige privilegier skalerbare på elegant vis.

Denne erklæring lader hver bruger kun administrere objekter under en mappe, der er opkaldt efter brugerens brugernavn. Det er et effektivt mønster, hvor én politik bruges til alle.

Attribute-Based Access Control (ABAC) bruger mærker i betingelser og sammenligner identitetens mærker (aws:PrincipalTag) med en ressources mærker (aws:ResourceTag). Når de matcher, gives adgangen. ABAC skalerer fremragende: Du giver adgang efter mærke i stedet for at skrive en ny politik for hvert projekt. Det er en moderne bedste praksis, som eksamen fremhæver.

Kombinér disse værktøjer bevidst: Brug betingelser til at kræve MFA, IP, TLS eller medlemskab af en organisation; brug jokertegn sparsomt og snævert; og brug politikvariabler og mærker til skalerbare mindst mulige privilegier pr. identitet. Tilsammen lader de én velformuleret politik håndhæve præcis, kontekstafhængig adgang på tværs af mange identiteter og ressourcer.

Betingelser styrer erklæringer ud fra kontekstnøgler (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) ved hjælp af operatorer som StringLike og Bool. Jokertegn (* og ?) holder politikker kortfattede, men kan give for brede tilladelser. Politikvariabler som ${aws:username} og mærkebaseret ABAC giver skalerbare mindst mulige privilegier pr. identitet.