Identiteettipohjaiset ja resurssipohjaiset käytännöt

AWS:n käyttöoikeudet tulevat käytännöistä, jotka liitetään kahteen mahdolliseen kohteeseen: identiteettiin (käyttäjään, ryhmään tai rooliin) tai resurssiin (kuten S3-säilöön tai KMS-avaimeen). Oikean käytäntötyypin ja niiden yhdistämistavan tunteminen on kokeessa olennaista, koska tilien välinen käyttöoikeus riippuu täysin tästä erottelusta.

Identiteettipohjainen käytäntö liitetään IAM-päämieheen, ja se määrittää, mitä kyseinen päämies voi tehdä. Siinä ei ole Principal-elementtiä, koska päämies on se, johon käytäntö on liitetty. Käytännöt voivat olla AWS:n hallinnoimia, asiakkaan hallinnoimia tai upotettuja, ja ne ovat yleisin tapa myöntää käyttöoikeuksia.

Resurssipohjainen käytäntö liitetään suoraan resurssiin, ja se sisältää Principal-elementin, joka nimeää käyttöoikeuden saajan. Esimerkkejä ovat S3-säilökäytännöt, KMS-avainkäytännöt, SQS-jono- ja Lambda-funktiokäytännöt. Ne määrittävät sekä kenelle (Principal) että mitä (Action) sallitaan kyseisessä resurssissa.

Tämä S3-säilökäytäntö myöntää toiselle tilille lukuoikeuden. Principal nimeää luotetun tilin, minkä voi tehdä vain resurssipohjainen käytäntö.

Yhden tilin sisällä identiteettipohjaiset ja resurssipohjaiset käytännöt yhdistyvät unionina: pyyntö sallitaan, jos jompikumpi niistä sallii sen eikä mikään estä sitä. S3-objektiin voidaan siis päästä, jos käyttäjän käytäntö tai säilökäytäntö sallii sen. Kumman tahansa puolen myöntämä käyttöoikeus riittää.

Tilien välisessä käytössä sääntö on tiukempi: molempien puolten on sallittava käyttö. Päämiehellä on oltava toiminnon salliva identiteettipohjainen käytäntö, ja toisen tilin resurssipohjaisen käytännön on myönnettävä käyttöoikeus kyseiselle päämiehelle. Jos jompikumpi puuttuu, pyyntö estetään. Tämä ero on kokeessa erittäin tärkeä.

Roolien luottamuskäytännöt ovat teknisesti resurssipohjaisten käytäntöjen laji. Siksi tilien välinen roolin oletus edellyttää luottamuskäytäntöä sekä kutsujan identiteettikäytäntöön kuuluvaa sts:AssumeRole-käyttöoikeutta. Kun tunnistatte luottamuskäytännön resurssipohjaiseksi, saatte yhtenäisen mallin siitä, miten käyttöoikeuksia myönnetään.

Kaikki palvelut eivät tue resurssipohjaisia käytäntöjä. Tärkeimpiä tuettuja palveluita ovat S3, KMS, SQS, SNS, Lambda, Secrets Manager ja ECR. Jos palvelu ei tue resurssikäytäntöjä, tilien välinen käyttöoikeus on myönnettävä roolin oletuksen kautta. Kokeessa voidaan testata, onko valittu lähestymistapa ylipäätään mahdollinen kyseisessä palvelussa.

Käyttäkää identiteettipohjaisia käytäntöjä yleisiin "tämä tiimi voi tehdä nämä asiat" -käyttöoikeuksiin. Käyttäkää resurssipohjaisia käytäntöjä, kun käyttöoikeus on myönnettävä tietylle ulkoiselle päämiehelle, kun tuetussa palvelussa otetaan käyttöön tilien välinen jakaminen tai kun käyttöoikeuksien tulee kulkea itse resurssin mukana.

Koska käyttöoikeus voi tulla kummalta tahansa puolelta, auditoinnissa on tarkistettava molemmat. IAM Access Analyzer tutkii resurssipohjaisia käytäntöjä ja etsii ulkoisesti tai julkisesti jaettuja resursseja. Käytäntöjen simulointi ja viimeksi käytettyjen käyttöoikeuksien tiedot auttavat identiteettipuolen arvioinnissa. Täydellisessä tarkastelussa ei koskaan tutkita vain yhtä käytäntötyyppiä.

Saman tilin käyttö on unioni (kumpi tahansa käytäntö voi sallia sen), kun taas tilien välinen käyttö edellyttää, että sekä identiteettikäytäntö että resurssikäytäntö sallivat sen. Identiteettikäytännöissä ei ole Principal-elementtiä, resurssikäytännöissä on. Valitkaa käytäntötyyppi tilanteen mukaan ja muistakaa, mitkä palvelut edes tukevat resurssipohjaisia käytäntöjä.

Identiteettipohjaiset käytännöt liitetään päämiehiin, eikä niissä ole Principal-elementtiä; resurssipohjaiset käytännöt liitetään resursseihin ja nimeävät Principal-elementin. Saman tilin käyttö on näiden kahden unioni; tilien välinen käyttö edellyttää, että molemmat sallivat sen. Vain jotkin palvelut (S3, KMS, SQS, SNS, Lambda, Secrets Manager, ECR) tukevat resurssikäytäntöjä; muussa tapauksessa käyttäkää roolin oletusta.