IAM-Benutzer und -Gruppen vergleichen

AWS Identity and Access Management (IAM) ist der Dienst, der steuert, wer in Ihrem Konto was tun darf. Zwei grundlegende Bausteine sind Benutzer und Gruppen. Ein Benutzer ist eine dauerhafte Identität, die an eine Person oder Anwendung gebunden ist. Eine Gruppe ist dagegen lediglich ein Container, der Benutzer zusammenfasst, damit sie dieselben Berechtigungen erhalten. Das Verständnis dieses Unterschieds bildet die Grundlage für alle weiteren Themen der Prüfung.

Ein IAM-Benutzer ist eine langfristige Identität mit einem innerhalb Ihres Kontos eindeutigen Namen. Sie kann über zwei Arten von Anmeldedaten verfügen:

• Ein Konsolenpasswort für die Anmeldung über das Web.
• Zugriffsschlüssel (eine Zugriffsschlüssel-ID und ein geheimer Schlüssel) für programmatische API- und CLI-Aufrufe.

Da diese Anmeldedaten langfristig gültig sind, stuft AWS sie als risikoreicher ein. Best Practice ist, Rollen und temporäre Anmeldedaten zu bevorzugen, statt viele Benutzer mit dauerhaften Schlüsseln anzulegen.

Eine IAM-Gruppe ist eine Sammlung von Benutzern, die über angehängte Richtlinien gemeinsame Berechtigungen erhalten. Gruppen machen die Zugriffsverwaltung skalierbar: Statt dieselbe Richtlinie zehn Entwicklern einzeln zuzuweisen, hängen Sie sie einmal an die Gruppe „Developers“ an und fügen die Benutzer hinzu. Wichtige Fakten, die Sie für die Prüfung kennen sollten:

• Eine Gruppe hat keine Anmeldedaten und kann in einer Richtlinie kein Principal sein.
• Ein Benutzer kann mehreren Gruppen angehören.
• Gruppen können nicht verschachtelt werden.

Wenn ein Benutzer eine Anfrage stellt, kombiniert IAM alle zutreffenden Richtlinien: sowohl die direkt an den Benutzer angehängten als auch die Richtlinien jeder Gruppe, der der Benutzer angehört. Das Ergebnis ist die Vereinigung aller erlaubten Aktionen, sofern nicht an irgendeiner Stelle ein explizites Deny vorhanden ist. Die Gruppenmitgliedschaft kann daher nur Berechtigungen hinzufügen, nicht entziehen – außer durch eine explizite Deny-Anweisung.

Eine benutzerbezogene Verwaltung von Berechtigungen begünstigt Konfigurationsdrift: Mit der Zeit sammelt jeder Benutzer einen etwas anderen und schwer prüfbaren Satz von Richtlinien an. Gruppen zentralisieren Berechtigungen, sodass eine einzelne Richtlinienänderung konsistent für alle Personen mit einer bestimmten Rolle gilt. Für einen Auditor ist es wesentlich einfacher, die Mitglieder der Gruppe „Admins“ aufzulisten, als Dutzende einzelne Benutzer nacheinander zu überprüfen.

Sie können die Mitgliedschaft über die CLI überprüfen, um festzustellen, wer über erhöhte Zugriffsrechte verfügt. Der folgende Befehl listet alle Benutzer innerhalb einer Gruppe auf. Dies ist ein üblicher erster Schritt bei der Untersuchung eines Befunds zu übermäßig weitreichenden Zugriffsrechten.

Verwechseln Sie IAM-Benutzer nicht mit dem Root-Benutzer. Der Root-Benutzer ist die Identität des Kontoinhabers, die beim Eröffnen des Kontos erstellt wird, und verfügt über uneingeschränkten Zugriff, der sich nicht durch IAM-Richtlinien begrenzen lässt. AWS empfiehlt dringend, die Anmeldedaten des Root-Benutzers sicher zu verwahren, dafür die Multi-Faktor-Authentifizierung (MFA) zu aktivieren und ihn niemals für alltägliche Arbeiten zu verwenden. Erstellen Sie stattdessen individuelle IAM-Benutzer oder verwenden Sie besser Federation.

Für jeden IAM-Benutzer sollte MFA aktiviert sein. Dabei ist zusätzlich zum Passwort ein zweiter Faktor erforderlich, beispielsweise ein Hardware-Schlüssel oder eine Authenticator-App. Sie können MFA über Bedingungen in Richtlinien wie aws:MultiFactorAuthPresent erzwingen. In der Prüfung wird häufig untersucht, wie MFA zum Schutz sensibler Vorgänge eingesetzt wird, etwa beim Löschen von Ressourcen oder Ändern von Sicherheitseinstellungen.

Ein häufiger Fehler besteht darin, IAM-Benutzer mit statischen Zugriffsschlüsseln für Anwendungen zu erstellen, die auf EC2 (Elastic Compute Cloud) ausgeführt werden. Dadurch werden langfristig gültige Geheimnisse eingebettet, die nach außen gelangen können. Das sichere Muster ist eine der Instanz zugewiesene IAM-Rolle, die wir als Nächstes behandeln. Für menschliche Teams sollten Sie die Föderation über das IAM Identity Center gegenüber individuell verwalteten Benutzern bevorzugen.

Der IAM-Berechtigungsbericht ist eine herunterladbare CSV-Datei, in der jeder Benutzer, die letzte Verwendung seines Passworts und seiner Zugriffsschlüssel sowie der MFA-Status aufgeführt sind. Zusammen mit IAM Access Analyzer und den Daten zur letzten Nutzung hilft er Ihnen, veraltete Benutzer, ungenutzte Schlüssel und zu weit gefasste Gruppen zu finden. Eine regelmäßige Überprüfung ist ein zentraler Bestandteil der Umsetzung des Prinzips der geringsten Berechtigungen, die in der Prüfung berücksichtigt wird.

Verwenden Sie Benutzer, wenn Sie eine eigenständige Identität mit Anmeldedaten für eine Person oder eine Legacy-Anwendung benötigen. Verwenden Sie Gruppen, um gemeinsame Berechtigungen sauber zuzuweisen und Abweichungen zwischen einzelnen Benutzern zu vermeiden. In modernen Designs minimieren Sie Benutzer mit dauerhaftem Zugriff vollständig und setzen stattdessen auf Rollen für Workloads und auf Föderation für Menschen. Benutzer und Gruppen bleiben wichtige Grundbegriffe, sind aber der Ausgangspunkt und nicht das Ziel.

Testen Sie Ihr Verständnis von Benutzern und Gruppen.

Sie haben gelernt, dass ein IAM-Benutzer eine Identität mit langfristig gültigen Anmeldedaten ist, während eine IAM-Gruppe ein Container ohne eigene Anmeldedaten ist, der Benutzer bündelt, damit diese Richtlinien gemeinsam nutzen können. Berechtigungen sind die Vereinigung der Benutzer- und Gruppenrichtlinien. Gruppen können nicht verschachtelt werden, und der Root-Benutzer sollte mit MFA gesichert und nicht für den täglichen Zugriff verwendet werden. Bevorzugen Sie Rollen für Workloads und Föderation für Menschen, um langlebige Geheimnisse und Konfigurationsabweichungen zu vermeiden.