Rollenerstellung sicher delegieren

Teams arbeiten schneller, wenn sie eigene IAM-Rollen und -Richtlinien erstellen können. Ein uneingeschränkter IAM-Zugriff ist jedoch gefährlich: Ein Entwickler könnte sich selbst Administratorrechte gewähren. Die Herausforderung besteht darin, Teams das Erstellen von Rollen zu ermöglichen und gleichzeitig zu garantieren, dass diese Rollen innerhalb sicherer Grenzen bleiben. Berechtigungsgrenzen machen dies möglich – ein häufig geprüftes Prüfungsszenario.

Ohne Schutzmaßnahmen bedeutet die Vergabe von iam:CreateRole und iam:AttachRolePolicy praktisch, dass die betreffende Person Administratorrechte erhält. Sie könnte eine Rolle mit AdministratorAccess erstellen und diese übernehmen. Dieser Weg zur Rechteausweitung muss durch sichere Delegierung geschlossen werden, während die legitime Erstellung von Rollen weiterhin möglich bleibt.

Die Lösung: Verlangen Sie, dass jede Rolle, die ein delegierter Benutzer erstellt, mit einer bestimmten Berechtigungsgrenze versehen wird. Selbst wenn der Benutzer AdministratorAccess an die neue Rolle anhängt, begrenzt die Berechtigungsgrenze deren effektive Berechtigungen. Die erstellte Rolle kann niemals über das hinausgehen, was die Berechtigungsgrenze erlaubt, wodurch das Risiko der Rechteausweitung neutralisiert wird.

Eine Richtlinie für sichere Delegierung verwendet zwei Bedingungsprüfungen: Eine stellt sicher, dass die neue Rolle über die erforderliche Berechtigungsgrenze verfügt (über iam:PermissionsBoundary), und eine andere hindert den Benutzer daran, die Berechtigungsgrenze selbst zu ändern oder zu löschen. Beide sind erforderlich, da ein cleverer Entwickler die Berechtigungsgrenze andernfalls einfach anschließend entfernen könnte.

Diese Bedingung erzwingt, dass jeder Aufruf von CreateRole die benannte Berechtigungsgrenze anhängt. Ohne sie wird die Erstellungsaktion abgelehnt.

Sie müssen dem delegierten Benutzer außerdem verbieten, die Richtlinie der Berechtigungsgrenze zu bearbeiten oder die Berechtigungsgrenze von Rollen zu trennen. Fügen Sie für Aktionen wie iam:DeleteRolePermissionsBoundary und iam:CreatePolicyVersion explizite Deny-Anweisungen für die ARN der Berechtigungsgrenze hinzu. Andernfalls kann die Schutzmaßnahme unbemerkt entfernt werden, wodurch das gesamte Design wirkungslos wird.

Richtlinien für Delegierung beschränken häufig den Pfad oder die Benennung der Rollen, die ein Benutzer erstellen darf, beispielsweise nur unter /developers/. Dadurch werden die Rollen in einem bekannten Namensraum gehalten, lassen sich leicht prüfen und können privilegierte Rollen an anderer Stelle im Konto nicht beeinträchtigen.

Behalten Sie trotz einer Berechtigungsgrenze die Vertrauensrichtlinie der neuen Rolle im Blick. Ein Entwickler könnte eine Rolle erstellen, die einem externen Konto vertraut. Beschränken Sie, welche Principals als vertrauenswürdig festgelegt werden dürfen, oder kombinieren Sie die Delegierung mit SCPs und Access Analyzer, damit unerwartete externe Vertrauensbeziehungen erkannt und blockiert werden.

Richtig umgesetzt ermöglicht Delegierung Teams echten Self-Service: Sie erstellen und verwalten Rollen innerhalb der Berechtigungsgrenze frei, während das Sicherheitsteam beruhigt sein kann, weil keine Rolle die Obergrenze überschreiten kann. Dieses Gleichgewicht zwischen Geschwindigkeit und Sicherheit ist genau das, was die SCS-C02-Prüfung von Ihnen verlangt.

Kombinieren Sie in Umgebungen mit mehreren Konten identitätsbezogene Berechtigungsgrenzen mit kontenweiten SCPs. Das SCP legt eine Obergrenze für das gesamte Konto fest, während Berechtigungsgrenzen die Einschränkungen pro delegiertem Benutzer verfeinern. Die Kombination beider Ebenen sorgt für Defense in Depth, sodass eine Lücke in einer Kontrolle durch die andere aufgefangen wird.

Die sichere Delegierung der Rollenerstellung erfordert: Für jede erstellte Rolle eine Berechtigungsgrenze verlangen, die Berechtigungsgrenze durch explizite Deny-Anweisungen vor Änderung oder Entfernung schützen, Pfade und Namen begrenzen und das Vertrauen neuer Rollen einschränken. Kombinieren Sie dies mit SCPs für kontenweite Obergrenzen. So werden Wege zur Rechteausweitung geschlossen, während der Self-Service der Teams erhalten bleibt.

Testen Sie die sichere Delegierung.

Die sichere Delegierung der IAM-Rollenerstellung bedeutet, über die Bedingung iam:PermissionsBoundary für jede erstellte Rolle eine Berechtigungsgrenze zu verlangen, Änderungen an dieser Berechtigungsgrenze zu verbieten, Pfade und Namen von Rollen zu begrenzen und die Vertrauensrichtlinien neuer Rollen einzuschränken. Kombinieren Sie dies mit SCPs für kontenweite Obergrenzen, um Wege zur Rechteausweitung zu schließen und gleichzeitig Self-Service zu ermöglichen.