Was eine Berechtigungsgrenze beschränkt

Eine Berechtigungsgrenze ist eine fortgeschrittene IAM-Funktion, die die maximalen Berechtigungen festlegt, über die ein Benutzer oder eine Rolle jemals verfügen kann. Sie gewährt selbst keine Berechtigungen, sondern begrenzt, was identitätsbasierte Richtlinien tatsächlich erlauben können. Berechtigungsgrenzen sind ein beliebtes Prüfungsthema, weil sie eine sichere Delegierung der Berechtigungsverwaltung ermöglichen.

Eine identitätsbasierte Richtlinie gewährt Berechtigungen, eine Berechtigungsgrenze begrenzt sie. Die effektiven Berechtigungen sind die Schnittmenge aus beiden: Eine Aktion ist nur zulässig, wenn sie sowohl von beiden, der Identitätsrichtlinie und der Berechtigungsgrenze, erlaubt wird. Eine Berechtigungsgrenze kann die von der Identitätsrichtlinie gewährten Berechtigungen nur reduzieren, niemals erweitern.

Nehmen wir an, die Identitätsrichtlinie eines Benutzers erlaubt uneingeschränkten Zugriff auf S3 und EC2, die Berechtigungsgrenze jedoch nur auf S3. Der Benutzer kann nur S3-Aktionen ausführen, da die Berechtigungsgrenze den Zugriff beschränkt. Entfernen Sie die Berechtigungsgrenze, werden die EC2-Berechtigungen wieder wirksam. Die Berechtigungsgrenze setzt unauffällig eine Obergrenze durch.

Diese Richtlinie für die Berechtigungsgrenze erlaubt nur S3- und CloudWatch-Aktionen. Unabhängig davon, was in der Identitätsrichtlinie steht, kann der Benutzer diese Services niemals überschreiten.

Der wichtigste Anwendungsfall ist die sichere Delegierung. Sie möchten Entwicklern erlauben, eigene IAM-Rollen zu erstellen, befürchten aber, dass sie übermäßige Berechtigungen vergeben. Wenn Sie verlangen, dass jede von ihnen erstellte Rolle eine Berechtigungsgrenze trägt, stellen Sie sicher, dass diese Rollen die Grenze niemals überschreiten können – unabhängig davon, wie weitreichend die angehängte Richtlinie ist.

Sowohl Berechtigungsgrenzen als auch SCPs begrenzen Berechtigungen, unterscheiden sich aber in ihrem Geltungsbereich. Eine Berechtigungsgrenze gilt für einen einzelnen Benutzer oder eine einzelne Rolle und wird innerhalb von IAM festgelegt. Ein SCP gilt für gesamte Konten in einer Organisation. In der Prüfung geht es darum, das richtige Werkzeug auszuwählen: pro Identität eine Berechtigungsgrenze, kontenweit ein SCP.

Im Auswertungsablauf hat ein explizites Deny weiterhin Vorrang vor allem anderen, einschließlich Berechtigungsgrenzen. Andernfalls wirkt die Berechtigungsgrenze als Obergrenze: Die Aktion benötigt sowohl in der Identitätsrichtlinie als auch in der Berechtigungsgrenze ein Allow. Ressourcenbasierte Richtlinien können in einigen Fällen unabhängig von der Berechtigungsgrenze Zugriff gewähren – eine wichtige Besonderheit.

Ein häufiges Missverständnis ist, dass das Hinzufügen einer Aktion zu einer Berechtigungsgrenze diese gewährt. Das ist nicht der Fall. Wenn die Identitätsrichtlinie die Berechtigung nicht enthält, hat es keine Wirkung, wenn die Berechtigungsgrenze sie erlaubt. Die Identitätsrichtlinie muss die Berechtigung gewähren, und die Berechtigungsgrenze muss sie ebenfalls zulassen, damit die Aktion erfolgreich ist.

Eine von der Prüfung behandelte Besonderheit: Berechtigungsgrenzen beschränken, was die identitätsbasierten Richtlinien eines Principals bewirken können, aber sie beschränken in bestimmten Fällen nicht den Zugriff, der diesem Principal durch eine ressourcenbasierte Richtlinie gewährt wird. Eine Berechtigungsgrenze, die eine Rolle auf S3 beschränkt, kann daher weiterhin ermöglichen, dass der Rolle über eine Queue-Richtlinie SQS-Zugriff gewährt wird. Berücksichtigen Sie diese Lücke bei Ihrem Design.

Um zu erzwingen, dass delegierte Principals immer eine Berechtigungsgrenze anhängen, erstellen Sie eine Berechtigungsrichtlinie mit einer condition, die verlangt, dass iam:PermissionsBoundary für jede von ihnen erstellte Rolle einer bestimmten ARN der Berechtigungsgrenze entspricht. Dadurch wird verhindert, dass ein Entwickler Rollen ohne diese Schutzmaßnahme erstellt, und die Lücke bei der Delegierung geschlossen.

Eine Berechtigungsgrenze begrenzt die maximalen Berechtigungen eines einzelnen Benutzers oder einer einzelnen Rolle: Der effektive Zugriff ist die Schnittmenge aus Berechtigungsgrenze und Identitätsrichtlinie. Sie gewährt selbst niemals Berechtigungen. Ihr wichtigster Zweck ist die sichere Delegierung der Erstellung von IAM-Rollen, die durch die Anforderung der Berechtigungsgrenze über die Bedingung iam:PermissionsBoundary durchgesetzt wird.

Testen Sie die Logik von Berechtigungsgrenzen.

Eine Berechtigungsgrenze legt die maximalen Berechtigungen eines einzelnen Benutzers oder einer einzelnen Rolle fest; der effektive Zugriff ist die Schnittmenge aus Berechtigungsgrenze und Identitätsrichtlinie. Sie gewährt selbst niemals Berechtigungen, und ein explizites Deny hat weiterhin Vorrang. Ihr Hauptzweck ist die sichere Delegierung, die über die Bedingung iam:PermissionsBoundary durchgesetzt wird.