Sådan kombineres SCP'er med IAM-tilladelser

Adgang i en organisation styres af to lag: den SCP-grænse, som AWS Organizations fastsætter, og de IAM-tilladelser, der tildeles i kontoen. At forstå, hvordan de kombineres, er en af de vigtigste ting at kunne inden for styringsområdet, fordi resultatet afhænger af, at begge tillader handlingen.

Reglen er enkel, men streng: En handling er kun tilladt, hvis den er tilladt af både de relevante SCP'er og kontoens IAM-politikker. Den effektive tilladelse er snittet mellem dem. En SCP uden en tilsvarende IAM-tilladelse giver ingenting; en IAM-tilladelse, som blokeres af en SCP, giver også ingenting.

Hvis SCP'en tillader en handling, men ingen IAM-politik tildeler den, bliver resultatet afvist på grund af IAM's implicitte afslag. SCP'en gjorde kun handlingen mulig; IAM skal stadig faktisk tildele den. Mange elever glemmer, at en SCP er en grænse og ikke en tilladelse.

Omvendt bliver resultatet afvist, hvis en IAM-politik tillader en handling, men en SCP afviser den. SCP'ens afslag sætter en grænse for kontoen, uanset hvor generøs IAM er. På den måde kan en organisation håndhæve faste grænser, som lokale administratorer ikke kan tilsidesætte.

En forespørgsel er kun tilladt, når både SCP'en og en IAM-politik tillader handlingen, og der ikke findes et eksplicit afslag noget sted. Denne snitlogik svarer til den måde, tilladelsesgrænser fungerer på, og begge kan gælde samtidig, så tilladelserne begrænses yderligere.

I et fuldt styret miljø stables flere grænser: SCP'en (kontoniveau), tilladelsesgrænsen (identitetsniveau), en eventuel sessionspolitik (sessionsniveau) og identitetspolitikken (tildeling). Den effektive tilladelse er snittet af alle grænser plus tildelingen minus ethvert eksplicit afslag.

Forestil dig en IAM-politik, der tildeler s3:* og ec2:*, en tilladelsesgrænse, der kun tillader s3:*, og en SCP, der kun tillader s3:GetObject. Den effektive tilladelse er blot s3:GetObject, altså snittet af alle tre lag. Hver grænse reducerer tilladelserne yderligere.

På tværs af alle lag blokerer et eksplicit afslag i en politik, SCP, grænse, session, identitet eller ressource straks handlingen. Ingen kombination af tilladelser kan tilsidesætte det. Når du analyserer et scenarie, skal du først lede efter et eksplicit afslag; hvis du finder et, er svaret afvist.

Ressourcebaserede politikker kan uafhængigt tildele adgang i den samme konto, men SCP'er sætter stadig en grænse for den kaldende identitets konto. Ved adgang på tværs af konti gælder begge kontis styring og begge siders politikker. Snitreglen udvides, men grundideen er den samme: Alle relevante grænser skal tillade handlingen.

Når adgang uventet mislykkes i en organisation, skal du arbejde udefra: Bekræft, at identitetspolitikken tildeler handlingen, kontrollér derefter tilladelsesgrænsen, så SCP'erne på kontoen og i hver overordnet OU, derefter en eventuel sessionspolitik, og gennemgå til sidst alle lag for et eksplicit afslag. Den første grænse, der ikke omfatter handlingen, eller ethvert afslag, er årsagen.

SCP'er og IAM kombineres ved hjælp af snittet: En handling kræver en tilladelse fra begge samt eventuelle grænser for tilladelser og sessioner, uden noget eksplicit afslag. SCP'er og grænser begrænser kun; IAM-politikker tildeler. For at tillade en handling skal alle grænser tillade den, og mindst én tildeling skal findes.

SCP'er og IAM kombineres ved hjælp af snittet: En handling er kun tilladt, hvis begge tillader den, samt eventuelle grænser for tilladelser og sessioner, uden noget eksplicit afslag. SCP'er og grænser begrænser kun; IAM-politikker tildeler. Et eksplicit afslag i ethvert lag trumfer altid alle tilladelser.