Ehdot, jokerimerkit ja käytäntömuuttujat

Toiminnon ja resurssin lisäksi IAM tarjoaa tehokkaita työkaluja käytäntöjen täsmälliseen ja dynaamiseen määrittämiseen: ehtoja, jokerimerkkejä ja käytäntömuuttujia. Kun hallitsette nämä, voitte myöntää täsmälleen tarvittavat käyttöoikeudet juuri oikeissa olosuhteissa. Tämä on vähimpien oikeuksien periaatteen ydin ja toistuva koeteema.

Condition-lohko sisältää yhden tai useamman testin, joiden kaikkien on oltava tosia, jotta määritystä sovelletaan. Kukin testi yhdistää operaattorin, ehtoavaimen ja arvon, esimerkiksi StringEquals-operaattorin avaimeen aws:PrincipalTag. Yhden lohkon useat avaimet yhdistetään AND-operaatiolla; yhden avaimen useat arvot OR-operaatiolla.

Yleiset ehtoavaimet esiintyvät kokeessa jatkuvasti:

• aws:SourceIp — rajoittaa kutsuvan osapuolen IP-alueen perusteella.
• aws:SecureTransport — edellyttää TLS:ää.
• aws:MultiFactorAuthPresent — edellyttää MFA:ta.
• aws:PrincipalOrgID — rajoittaa käytön omaan organisaatioon.

Palvelukohtaiset avaimet, kuten s3:prefix, mahdollistavat vielä tarkemman hallinnan.

Tyypillinen malli kieltää käytön, ellei pyynnössä käytetä TLS:ää. Tämä bucket-käytännön ehto estää kaikki muut kuin HTTPS-kutsut ja varmistaa, että siirrettävät tiedot ovat aina salattuja. Tätä käytetään kokeessa mielellään vastauksena kysymykseen ”edellytä siirronaikaista salausta S3:ssa”.

Operaattorit määrittävät, miten arvoja verrataan: StringEquals, StringLike (tukee jokerimerkkejä), IpAddress, DateGreaterThan, Bool ja Null muiden muassa. Kun operaattoriin lisätään IfExists, se hyväksytään myös silloin, kun avain puuttuu. Oikean operaattorin valinta on olennaista halutun logiikan toteutumiselle.

Jokerimerkit (* tarkoittaa mitä tahansa merkkijonoa ja ? yhtä merkkiä) tekevät käytännöistä tiiviitä, mutta voivat myöntää liikaa oikeuksia. s3:Get* kattaa kaikki lukemiseen liittyvät toiminnot; s3:* kattaa kaiken S3:ssa. Käyttäkää tarpeen täyttävää kapeinta jokerimerkkiä ja suhtautukaa epäillen laajoihin jokerimerkkeihin kaikissa tarkastelemissanne käytännöissä.

Resurssien ARN:t hyväksyvät myös jokerimerkkejä, esimerkiksi arn:aws:s3:::logs/2024/* rajoittaa käytön yhteen etuliitteeseen. Näin käytäntö voi kohdistua kansioon tai malliin ilman, että jokaista objektia tarvitsee luetella erikseen. Pelkkä "*" Resource-arvona antaa pääsyn koko tilille, joten arvioikaa aina, tarvitaanko tällaista laajuutta todella.

Käytäntömuuttujat lisäävät pyynnön kontekstin arvioinnin aikana syntaksilla ${...}. Hyödyllisin on ${aws:username}, jonka avulla yhdellä käytännöllä voidaan antaa kullekin käyttäjälle pääsy vain omiin resursseihinsa. Muuttujien ansiosta yksi uudelleenkäytettävä käytäntö voi toimia eri tavalla päämiehen mukaan, mikä mahdollistaa vähimpien oikeuksien periaatteen tehokkaan skaalauksen.

Tämä määritys antaa kunkin käyttäjän hallita vain oman käyttäjänimensä mukaan nimetyn kansion alla olevia objekteja. Kyseessä on tehokas yhdellä käytännöllä kaikille -malli.

Attribute-Based Access Control (ABAC) käyttää ehtojen yhteydessä tageja vertaamalla päämiehen tageja (aws:PrincipalTag) resurssin tageihin (aws:ResourceTag). Kun ne täsmäävät, käyttöoikeus myönnetään. ABAC skaalautuu erinomaisesti: käyttöoikeus myönnetään tagin perusteella sen sijaan, että jokaiselle projektille kirjoitettaisiin uusi käytäntö. Tämä on moderni parhaiden käytäntöjen mukainen lähestymistapa, jota kokeessa korostetaan.

Yhdistäkää nämä työkalut harkitusti: käyttäkää ehtoja rajaamaan käyttöä MFA:n, IP-osoitteen, TLS:n tai organisaatiojäsenyyden perusteella; käyttäkää jokerimerkkejä säästeliäästi ja tarkasti; käyttäkää käytäntömuuttujia ja tageja skaalautuvaan, päämieskohtaiseen vähimpien oikeuksien toteutukseen. Yhdessä ne mahdollistavat yhden hyvin laaditun käytännön avulla täsmällisen ja kontekstitietoisen käyttöoikeuksien hallinnan monille identiteeteille ja resursseille.

Ehdot rajaavat määritysten soveltamista kontekstiavainten (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) perusteella käyttämällä esimerkiksi StringLike- ja Bool-operaattoreita. Jokerimerkit (* ja ?) pitävät käytännöt tiiviinä, mutta voivat myöntää liikaa oikeuksia. Käytäntömuuttujat, kuten ${aws:username}, ja tageihin perustuva ABAC mahdollistavat skaalautuvan, päämieskohtaisen vähimpien oikeuksien periaatteen.