Cloud-IAM: Rollen, Richtlinien und geringstmögliche Berechtigungen

Identity and Access Management (IAM) in Cloud-Umgebungen steuert, wer was mit welchen Ressourcen tun darf. Die drei Säulen sind: Principals (Benutzer, Gruppen, Servicekonten), Berechtigungen (einzelne Aktionen) und Policies (Dokumente, die Principals an Berechtigungen binden).

AWS-IAM-Policies sind JSON-Dokumente, die API-Aktionen für Ressourcen erlauben oder verweigern. Rollen sind Identitäten, die von Services (EC2, Lambda) oder föderierten Benutzern übernommen werden. Bevorzugen Sie für EC2-Instanzen Rollen gegenüber langlebigen Zugriffsschlüsseln.

Gewähren Sie nur die Berechtigungen, die für eine bestimmte Aufgabe erforderlich sind. Beginnen Sie mit keinen Berechtigungen und fügen Sie nur die tatsächlich benötigten hinzu. Überprüfen und reduzieren Sie Berechtigungen im Laufe der Zeit. Nicht verwendete Berechtigungen stellen eine unnötige Angriffsfläche dar.

Berechtigungsgrenzen legen unabhängig von den angehängten Policies die maximalen Berechtigungen fest, über die ein Principal verfügen kann. Verwenden Sie sie, um die IAM-Administration sicher zu delegieren – Entwickler können Rollen erstellen, aber die von Ihnen definierte Grenze nicht überschreiten.

GCP verwendet Servicekonten mit Schlüsseldateien oder Workload Identity Federation. Azure verwendet verwaltete Identitäten (systemseitig und benutzerseitig zugewiesen), die eine Verwaltung von Anmeldedaten überflüssig machen – die Plattform übernimmt die Token-Rotation automatisch.

AWS IAM Access Analyzer überwacht kontinuierlich Ressourcen-Policies und meldet extern freigegebene Ressourcen (S3-Buckets, KMS-Schlüssel, Lambda-Funktionen). Das Tool identifiziert unbeabsichtigten öffentlichen oder kontoübergreifenden Zugriff automatisch.

ABAC erweitert RBAC, indem Berechtigungen auf Grundlage von Tags oder Attributen der Ressource und des Principals gewährt werden. Eine Policy, die den Zugriff auf Ressourcen mit demselben Projektwert im Tag wie beim Principal erlaubt, lässt sich besser skalieren als Tausende einzelner Rollenzuweisungen.

Rotieren Sie IAM-Zugriffsschlüssel alle 90 Tage. Aktivieren Sie MFA für alle menschlichen Benutzer. Erkennen Sie ungenutzte Anmeldedaten mit Access Advisor und entfernen Sie sie. Überwachen Sie die Verwendung des Root-Kontos – sie sollte in CloudTrail-Protokollen so gut wie nie erscheinen.

Fehlkonfigurationen in IAM ermöglichen eine Rechteausweitung: iam:PassRole + ec2:RunInstances erlaubt einem Angreifer, eine EC2-Instanz mit einer Administratorrolle zu starten. Mit iam:CreateAccessKey kann ein Angreifer jedem Benutzer Schlüssel hinzufügen. Eine regelmäßige Analyse möglicher Rechteausweitungspfade ist unverzichtbar.

Kontoübergreifende Rollen ermöglichen es einem AWS-Konto, auf Ressourcen in einem anderen Konto zuzugreifen. Definieren Sie für die Rolle im Zielkonto eine Vertrauensrichtlinie, in der das Quellkonto und optional eine externe ID als Schutz vor dem Confused-Deputy-Problem angegeben werden.

Generieren Sie monatlich Berichte zu IAM-Anmeldedaten. Verwenden Sie AWS-Config-Regeln, um nicht konforme IAM-Konfigurationen zu erkennen. Integrieren Sie IAM-Ergebnisse in ein SIEM, um Richtlinienverstöße zentral zu melden. Erzwingen Sie SCP-Sicherheitsleitplanken auf Organisationsebene.

Cloud-IAM steuert den Zugriff über Principals, Richtlinien und Rollen. Die Anwendung des Prinzips der geringsten Berechtigungen, die Verwendung verwalteter Identitäten, die Aktivierung von Zugriffsanalysetools und die regelmäßige Überprüfung der Nutzung von Anmeldedaten sind wesentliche Praktiken für sichere Cloud-Umgebungen.