Bedingungen, Platzhalter und Richtlinienvariablen

Über Aktion und Ressource hinaus bietet IAM leistungsfähige Werkzeuge, mit denen sich Richtlinien präzise und dynamisch gestalten lassen: Bedingungen, Platzhalter und Richtlinienvariablen. Wenn Sie diese beherrschen, können Sie genau die benötigten Zugriffsrechte unter genau den richtigen Umständen gewähren. Das ist der Kern des Prinzips der geringsten Rechte und ein wiederkehrendes Prüfungsthema.

Ein Condition-Block enthält einen oder mehrere Tests, die alle erfüllt sein müssen, damit die Anweisung angewendet wird. Jeder Test verknüpft einen Operator mit einem Condition Key und einem Wert, zum Beispiel StringEquals für aws:PrincipalTag. Mehrere Schlüssel in einem Block werden mit AND verknüpft; mehrere Werte für einen Schlüssel mit OR.

Globale Condition Keys kommen in Prüfungen sehr häufig vor:

• aws:SourceIp — Zugriff nach IP-Adressbereich des Aufrufers einschränken.
• aws:SecureTransport — TLS voraussetzen.
• aws:MultiFactorAuthPresent — MFA voraussetzen.
• aws:PrincipalOrgID — Zugriff auf Ihre Organisation beschränken.

Servicespezifische Schlüssel (wie s3:prefix) ermöglichen eine noch feinere Steuerung.

Ein klassisches Muster verweigert den Zugriff, sofern die Anfrage nicht TLS verwendet. Diese Bedingung in einer Bucket-Richtlinie blockiert jeden Aufruf ohne HTTPS und stellt sicher, dass Daten während der Übertragung immer verschlüsselt sind. In Prüfungen ist dies häufig die richtige Antwort auf die Frage, wie sich „Verschlüsselung während der Übertragung für S3 voraussetzen“ lässt.

Operatoren legen fest, wie Werte verglichen werden: StringEquals, StringLike (unterstützt Platzhalter), IpAddress, DateGreaterThan, Bool und Null sowie weitere. Wenn Sie einem Operator IfExists hinzufügen, ist der Test auch dann erfolgreich, wenn der Schlüssel fehlt. Die Wahl des richtigen Operators ist entscheidend, damit die gewünschte Logik umgesetzt wird.

Platzhalter (* für eine beliebige Zeichenfolge, ? für genau ein Zeichen) machen Richtlinien kompakter, können aber zu weitreichende Berechtigungen gewähren. s3:Get* umfasst alle Leseoperationen; s3:* umfasst alles in S3. Verwenden Sie den engsten Platzhalter, der die Anforderungen erfüllt, und prüfen Sie weit gefasste Platzhalter in jeder Richtlinie besonders kritisch.

Auch Ressourcen-ARNs akzeptieren Platzhalter, zum Beispiel arn:aws:s3:::logs/2024/*, um den Zugriff auf ein Präfix zu beschränken. So kann eine Richtlinie einen Ordner oder ein Muster ansprechen, ohne jedes Objekt einzeln aufzulisten. Ein Resource-Wert von „*“ gewährt jedoch kontoübergreifend weitreichenden Zugriff. Hinterfragen Sie daher immer, ob diese Breite wirklich erforderlich ist.

Richtlinienvariablen fügen bei der Auswertung den Kontext der Anfrage ein. Dafür wird die Syntax ${...} verwendet. Besonders nützlich ist ${aws:username}, mit der eine Richtlinie jedem Benutzer ausschließlich Zugriff auf die eigenen Ressourcen gewähren kann. Variablen sorgen dafür, dass sich eine einzige wiederverwendbare Richtlinie je nach Principal unterschiedlich verhält, und ermöglichen so eine elegante Umsetzung des Prinzips der geringsten Rechte.

Diese Anweisung ermöglicht es jedem Benutzer, nur Objekte in einem nach seinem Benutzernamen benannten Ordner zu verwalten — ein leistungsfähiges Muster mit einer Richtlinie für alle.

Attribute-Based Access Control (ABAC) verwendet Tags in Bedingungen und vergleicht die Tags des Principals (aws:PrincipalTag) mit den Tags einer Ressource (aws:ResourceTag). Stimmen sie überein, wird Zugriff gewährt. ABAC lässt sich hervorragend skalieren: Sie gewähren Zugriff anhand von Tags, statt für jedes Projekt eine neue Richtlinie zu schreiben — eine moderne Best Practice, die in Prüfungen häufig hervorgehoben wird.

Kombinieren Sie diese Werkzeuge bewusst: Verwenden Sie Bedingungen, um den Zugriff an MFA, IP-Adresse, TLS oder die Zugehörigkeit zu einer Organisation zu knüpfen; setzen Sie Platzhalter sparsam und möglichst eng gefasst ein; nutzen Sie Richtlinienvariablen und Tags für skalierbare, auf einzelne Principals zugeschnittene Berechtigungen nach dem Prinzip der geringsten Rechte. Zusammen ermöglichen diese Werkzeuge, mit einer gut gestalteten Richtlinie präzise, kontextabhängige Zugriffsrechte für viele Identitäten und Ressourcen durchzusetzen.

Testen Sie Bedingungen und Variablen.

Bedingungen knüpfen die Anwendung von Anweisungen mithilfe von Operatoren wie StringLike und Bool an Kontextschlüssel (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID). Platzhalter (* und ?) halten Richtlinien kompakt, können aber zu weitreichende Berechtigungen gewähren. Richtlinienvariablen wie ${aws:username} und tag-basiertes ABAC ermöglichen skalierbare, auf einzelne Principals zugeschnittene Berechtigungen nach dem Prinzip der geringsten Rechte.