Miten SCP:t yhdistyvät IAM-käyttöoikeuksiin

Organisaation käyttöoikeuksia hallitaan kahdella kerroksella: AWS Organizationsin määrittämällä SCP:n enimmäisrajalla ja tilin sisällä myönnetyillä IAM-käyttöoikeuksilla. Näiden yhteisvaikutuksen ymmärtäminen on yksi hallinnan osa-alueen tärkeimmistä testattavista asioista, koska lopputulos riippuu molempien yhteensopivuudesta.

Sääntö on yksinkertainen mutta tiukka: toiminto sallitaan vain, jos sen sallivat sekä sovellettavat SCP:t että tilin IAM-käytännöt. Voimassa oleva käyttöoikeus on näiden leikkaus. SCP ilman vastaavaa IAM-sallintaa ei myönnä mitään; SCP:n estämä IAM-sallinta ei myöskään myönnä mitään.

Jos SCP sallii toiminnon mutta mikään IAM-käytäntö ei myönnä sitä, IAM:n implisiittinen esto johtaa tulokseen estetty. SCP teki toiminnosta vain mahdollisen; IAM:n on edelleen tosiasiassa myönnettävä se. Monet oppijat unohtavat, että SCP on enimmäisraja eikä käyttöoikeuden myöntäjä.

Jos IAM-käytäntö sallii toiminnon mutta SCP estää sen, tulos on vastaavasti estetty. SCP:n esto rajoittaa tiliä riippumatta siitä, kuinka laajat IAM-käyttöoikeudet ovat. Näin organisaatio voi asettaa tiukat rajat, joita paikalliset ylläpitäjät eivät voi ohittaa.

Pyyntö sallitaan vain, kun sekä SCP että IAM-käytäntö sallivat toiminnon eikä missään ole nimenomaista estoa. Tämä leikkauslogiikka vastaa käyttöoikeusrajojen toimintaa, ja molemmat voivat olla voimassa samanaikaisesti, jolloin käyttöoikeudet supistuvat entisestään.

Täysin hallitussa ympäristössä useat rajat vaikuttavat samanaikaisesti: SCP (tilitaso), permission boundary (identiteettitaso), mahdollinen session policy (istuntotaso) ja identity policy (myöntävä käytäntö). Voimassa oleva käyttöoikeus on kaikkien rajojen leikkaus yhdistettynä myöntöön, josta vähennetään kaikki nimenomaiset estot.

Kuvitellaan IAM-käytäntö, joka myöntää s3:* ja ec2:*, permission boundary, joka sallii vain s3:*-toiminnot, sekä SCP, joka sallii vain s3:GetObject-toiminnon. Voimassa oleva käyttöoikeus on ainoastaan s3:GetObject, kaikkien kolmen kerroksen leikkaus. Jokainen raja supistaa käyttöoikeuksia entisestään.

Kaikissa kerroksissa nimenomainen Deny missä tahansa käytännössä, SCP:ssä, rajassa, istunnossa, identiteetissä tai resurssissa estää toiminnon välittömästi. Mikään sallintojen yhdistelmä ei voi ohittaa sitä. Kun analysoit tilannetta, etsi ensin nimenomaista estoa; jos sellainen löytyy, vastaus on estetty.

Resurssipohjaiset käytännöt voivat myöntää saman tilin sisäisiä käyttöoikeuksia identiteettikäytännöstä riippumatta, mutta SCP:t rajoittavat silti päämiehen tiliä. Tilien välisessä käytössä sovelletaan molempien tilien hallintakeinoja ja molempien osapuolten käytäntöjä. Leikkaussääntö laajenee, mutta perusajatus säilyy: jokaisen sovellettavan rajan on sallittava toiminto.

Kun käyttöoikeus epäonnistuu organisaatiossa odottamatta, etene ulkoa kohti sisäosia: varmista, että identiteettikäytäntö myöntää toiminnon, tarkista sitten permission boundary, sen jälkeen tilin ja jokaisen ylemmän OU:n SCP:t, mahdollinen session policy ja lopuksi kaikkien kerrosten nimenomaiset estot. Syyllinen on ensimmäinen raja, joka ei salli toimintoa, tai mikä tahansa esto.

SCP:t ja IAM toimivat yhdessä leikkauksena: toiminto tarvitsee sallinnan molemmilta sekä mahdollisilta boundary- ja session-rajoilta, eikä missään saa olla nimenomaista estoa. SCP:t ja rajat vain rajoittavat; IAM-käytännöt myöntävät. Toiminnon salliminen edellyttää, että jokainen raja sallii sen ja että vähintään yksi myöntö on olemassa.

SCP:t ja IAM toimivat yhdessä leikkauksena: toiminto sallitaan vain, jos molemmat sallivat sen sekä mahdolliset permission boundary- ja session policy -rajat, eikä missään ole nimenomaista estoa. SCP:t ja rajat vain rajoittavat; IAM-käytännöt myöntävät. Minkä tahansa kerroksen nimenomainen esto ohittaa aina kaikki sallinnat.