Hvad en IAM-rolle egentlig er

En IAM-rolle er en identitet, du kan påtage dig for at få et sæt tilladelser, men i modsætning til en bruger har den ingen permanente legitimationsoplysninger. Når en entitet påtager sig en rolle, udsteder AWS i stedet midlertidige sikkerhedslegitimationsoplysninger, der udløber efter et bestemt tidsrum. Roller er den sikre, moderne måde at give adgang til AWS på og optræder gennem hele SCS-C02-eksamenen.

Alle roller har to politikdele:

• En tillidspolitik (også kaldet politikken for at påtage sig rollen), som angiver hvem der må påtage sig rollen.
• En eller flere tilladelsespolitikker, som angiver hvad rollen må gøre, når den er påtaget.

Denne adskillelse er kernen i, hvordan roller muliggør sikker delegering: Du beslutter, hvem der må låne identiteten, og separat hvad denne identitet må gøre.

Når en rolle påtages, udsteder Security Token Service (STS) et sæt legitimationsoplysninger, der indeholder et id til en adgangsnøgle, en hemmelig nøgle og et sessions-token, som alle er gyldige i et begrænset tidsrum (fra 15 minutter til 12 timer). Fordi de automatisk udløber, bliver lækkede midlertidige legitimationsoplysninger hurtigt ubrugelige, hvilket reducerer risikoen markant sammenlignet med langsigtede adgangsnøgler.

Tillidspolitikken angiver de principaler, der må påtage sig rollen. Det kan være:

• En AWS-tjeneste (f.eks. EC2 eller Lambda), der giver en arbejdsbelastning en identitet.
• En IAM-bruger eller -rolle i den samme eller en anden konto til adgang på tværs af konti.
• En federeret identitet fra en SAML- eller OIDC-udbyder.

Hvis en principal ikke er angivet i tillidspolitikken, kan den aldrig påtage sig rollen, uanset hvad tilladelsespolitikkerne tillader.

Den mest almindelige anvendelse er at lade en AWS-tjeneste handle på dine vegne. En EC2-instans med en tilknyttet rolle kan f.eks. kalde S3 uden indlejrede nøgler; AWS skifter automatisk legitimationsoplysningerne i baggrunden. Eksamenen forventer, at du kan genkende, at tjenesteroller fjerner statiske hemmeligheder fra dine applikationer.

Nedenfor ser du et udsnit af en tillidspolitik, der giver EC2-tjenesten lov til at påtage sig en rolle. Principal identificerer, hvem der må påtage sig den, og handlingen er altid sts:AssumeRole.

Roller er særligt nyttige til adgang på tværs af konti. Konto A opretter en rolle, der har tillid til konto B; en principal i B påtager sig den og modtager midlertidige legitimationsoplysninger til at handle i A. Ingen nøgler deles, adgangen begrænses af tilladelsespolitikken, og begge sider kan til enhver tid tilbagekalde tilliden. Dette er det anbefalede alternativ til at udlevere langsigtede nøgler mellem konti.

Eksterne identiteter, f.eks. virksomhedsbrugere, der godkendes via SAML, eller appbrugere via federation med webidentitet, påtager sig også roller. Identitetsudbyderen bekræfter brugeren, hvorefter AWS udsteder midlertidige legitimationsoplysninger, der er knyttet til en rolle. Det betyder, at mennesker slet ikke behøver IAM-brugere, men kun en bekræftet identitet, der knyttes til en rolle.

Den største sikkerhedsfordel ved roller er, at der ikke findes permanente legitimationsoplysninger, som kan stjæles, skiftes ud eller ved en fejl gemmes i et kodelager. Tilladelser eksisterer kun som en midlertidig session. Det stemmer overens med princippet om mindst mulige privilegier over tid: Adgang gives kun, når der er behov for den, og udløber af sig selv.

En vigtig detalje er, at tilladelse til at påtage sig en rolle kun giver dig rollens tilladelser, ikke dine egne tilladelser kombineret med rollens. Når du påtager dig en rolle, får du en ny identitet. Dine oprindelige tilladelser sættes til side under denne session, så rolledesignet skal indeholde alt det, opgaven kræver.

Vælg en rolle, når en arbejdsbelastning har brug for AWS-adgang, når en konto skal handle i en anden, eller når mennesker godkendes via en ekstern udbyder. Roller er svaret på næsten alle spørgsmål på eksamenen om, hvordan du giver adgang uden langsigtede nøgler. De kombinerer en tillidspolitik (hvem) med tilladelsespolitikker (hvad) for at levere sikker, midlertidig og kontrollerbar adgang.

En IAM-rolle er en identitet uden legitimationsoplysninger, som påtages for at få midlertidige tilladelser fra STS. Den kombinerer en tillidspolitik (hvem der må påtage sig den) med tilladelsespolitikker (hvad den må gøre). Roller muliggør adgang til tjenester, delegering på tværs af konti og federation, så langsigtede hemmeligheder undgås. Når du påtager dig en rolle, erstatter den din identitet under sessionen.