Wie SCPs mit IAM-Berechtigungen zusammenwirken

Der Zugriff in einer Organisation wird durch zwei Schichten gesteuert: die von AWS Organizations festgelegte SCP-Obergrenze und die im Konto gewährten IAM-Berechtigungen. Zu verstehen, wie diese zusammenwirken, gehört zu den am häufigsten geprüften Themen im Bereich Governance, da das Ergebnis von der Übereinstimmung beider Schichten abhängt.

Die Regel ist einfach, aber strikt: Eine Aktion ist nur erlaubt, wenn sie sowohl durch die zutreffenden SCPs als auch durch die IAM-Richtlinien des Kontos erlaubt wird. Die effektive Berechtigung ist der Schnitt beider Mengen. Ein SCP ohne passende IAM-Allow-Berechtigung gewährt nichts; eine durch ein SCP blockierte IAM-Allow-Berechtigung gewährt ebenfalls nichts.

Wenn das SCP eine Aktion erlaubt, aber keine IAM-Richtlinie sie gewährt, wird sie aufgrund der impliziten Verweigerung durch IAM abgelehnt. Das SCP hat die Aktion lediglich ermöglicht; IAM muss sie weiterhin tatsächlich gewähren. Viele Lernende vergessen, dass ein SCP eine Obergrenze und keine Berechtigung ist.

Umgekehrt gilt: Wenn eine IAM-Richtlinie eine Aktion erlaubt, ein SCP sie aber verweigert, wird die Aktion abgelehnt. Die Deny-Berechtigung des SCPs begrenzt das Konto unabhängig davon, wie großzügig IAM konfiguriert ist. So erzwingt eine Organisation feste Grenzen, die lokale Administratoren nicht überschreiben können.

Nur wenn sowohl das SCP als auch eine IAM-Richtlinie die Aktion erlauben und nirgendwo eine explizite Verweigerung vorhanden ist, wird die Anfrage erlaubt. Diese Schnittmengenlogik entspricht der Funktionsweise von Berechtigungsgrenzen. Beide können gleichzeitig gelten und die Berechtigungen weiter einschränken.

In einer vollständig verwalteten Umgebung wirken mehrere Begrenzungen zusammen: das SCP (Kontoebene), die Berechtigungsgrenze (Identitätsebene), eine mögliche Sitzungsrichtlinie (Sitzungsebene) und die Identitätsrichtlinie (Gewährung). Die effektive Berechtigung ist der Schnitt aller Begrenzungen plus der Gewährung, abzüglich jeder expliziten Verweigerung.

Stellen Sie sich eine IAM-Richtlinie vor, die s3:* und ec2:* gewährt, eine Berechtigungsgrenze, die nur s3:* erlaubt, und ein SCP, das nur s3:GetObject erlaubt. Die effektive Berechtigung ist lediglich s3:GetObject, also der Schnitt aller drei Schichten. Jede Begrenzung schränkt die Berechtigungen weiter ein.

Über alle Schichten hinweg blockiert eine explizite Deny-Berechtigung in einer beliebigen Richtlinie, einem SCP, einer Berechtigungsgrenze, einer Sitzung, einer Identitäts- oder Ressourcenrichtlinie die Aktion sofort. Keine Kombination von Allow-Berechtigungen kann sie überschreiben. Suchen Sie bei der Analyse eines Szenarios zuerst nach einer expliziten Verweigerung; wenn Sie eine finden, lautet die Antwort „abgelehnt“.

Ressourcenbasierte Richtlinien können unabhängig von der Identitätsrichtlinie Zugriff innerhalb desselben Kontos gewähren, aber SCPs begrenzen weiterhin das Konto des Prinzipals. Bei kontenübergreifendem Zugriff gelten die Kontrollen beider Konten sowie die Richtlinien beider Seiten. Die Schnittmengenregel wird dadurch erweitert, aber die Grundidee bleibt bestehen: Jede zutreffende Begrenzung muss die Aktion erlauben.

Wenn der Zugriff in einer Organisation unerwartet fehlschlägt, arbeiten Sie sich von innen nach außen vor: Prüfen Sie zunächst, ob die Identitätsrichtlinie die Aktion gewährt, dann die Berechtigungsgrenze, anschließend die SCPs des Kontos und jeder übergeordneten OU, danach eine mögliche Sitzungsrichtlinie und schließlich alle Schichten auf eine explizite Verweigerung. Die erste Begrenzung, in der die Aktion fehlt, oder jede Verweigerung ist die Ursache.

SCPs und IAM werden durch den Schnitt kombiniert: Eine Aktion benötigt eine Allow-Berechtigung von beiden sowie die Erlaubnis durch alle Berechtigungsgrenzen und Sitzungsbegrenzungen; außerdem darf nirgendwo eine explizite Verweigerung vorliegen. SCPs und Berechtigungsgrenzen begrenzen nur; IAM-Richtlinien gewähren Berechtigungen. Damit eine Aktion erlaubt wird, muss jede Begrenzung sie zulassen und mindestens eine Gewährung vorhanden sein.

SCPs und IAM werden durch den Schnitt kombiniert: Eine Aktion ist nur erlaubt, wenn beide sie zulassen und außerdem alle Berechtigungsgrenzen und Sitzungsrichtlinien sie erlauben; nirgendwo darf eine explizite Verweigerung vorliegen. SCPs und Berechtigungsgrenzen begrenzen nur; IAM-Richtlinien gewähren Berechtigungen. Eine explizite Verweigerung in jeder beliebigen Schicht hat immer Vorrang vor allen Allow-Berechtigungen.