Ce que limite une frontière d'autorisations

Une limite d’autorisations est une fonctionnalité IAM avancée qui définit les autorisations maximales qu’un utilisateur ou un rôle peut avoir. Elle n’accorde rien par elle-même ; elle plafonne ce que les politiques basées sur l’identité peuvent effectivement autoriser. Les limites d’autorisations sont un thème récurrent des examens, car elles permettent de déléguer la gestion des autorisations en toute sécurité.

Une politique basée sur l’identité accorde des autorisations ; une limite d’autorisations les restreint. Les autorisations effectives sont l’intersection des deux : une action n’est autorisée que si à la fois la politique d’identité et la limite l’autorisent. Une limite peut réduire les autorisations accordées par la politique d’identité, mais jamais les élargir.

Supposons que la politique d’identité d’un utilisateur autorise un accès complet à S3 et EC2, mais que sa limite d’autorisations n’autorise que S3. L’utilisateur ne peut effectuer que des actions S3, car la limite les plafonne. Supprimez la limite et les autorisations EC2 redeviennent effectives. La limite impose discrètement un maximum.

Cette politique de limite autorise uniquement les actions S3 et CloudWatch. Quelle que soit la politique d’identité, l’utilisateur ne pourra jamais dépasser le périmètre de ces services.

Le principal cas d’utilisation est la délégation sécurisée. Vous souhaitez que les développeurs créent leurs propres rôles IAM, mais vous craignez qu’ils n’accordent des autorisations excessives. En exigeant que chaque rôle qu’ils créent comporte une limite d’autorisations, vous garantissez que ces rôles ne pourront jamais dépasser cette limite, quelle que soit l’étendue de la politique associée.

Les limites et les SCP plafonnent toutes deux les autorisations, mais leur portée diffère. Une limite d’autorisations s’applique à un seul utilisateur ou rôle et est définie dans IAM. Une SCP s’applique à des comptes entiers au sein d’une organisation. L’examen vérifie que vous choisissez le bon outil : par identité, utilisez une limite ; à l’échelle du compte, utilisez une SCP.

Dans le processus d’évaluation, un Deny explicite l’emporte toujours sur tout le reste, y compris les limites. Sinon, la limite agit comme un plafond : l’action doit bénéficier d’un Allow à la fois dans la politique d’identité et dans la limite. Dans certains cas, les politiques basées sur les ressources peuvent accorder un accès indépendamment de la limite, une nuance qu’il convient de retenir.

Une idée fausse fréquente consiste à croire que l’ajout d’une action à une limite l’accorde. Ce n’est pas le cas. Si la politique d’identité ne contient pas l’autorisation, le fait que la limite l’autorise n’a aucun effet. La politique d’identité doit accorder l’autorisation et la limite doit également l’autoriser pour que l’action réussisse.

Voici une nuance vérifiée par l’examen : les limites d’autorisations restreignent ce que les politiques basées sur l’identité d’un principal peuvent faire, mais elles ne limitent pas, dans certains cas, l’accès accordé à ce principal par une politique basée sur une ressource. Ainsi, une limite plafonnant un rôle à S3 peut tout de même permettre d’accorder à ce rôle un accès à SQS via la politique d’une file d’attente. Tenez compte de cette lacune lors de la conception.

Pour imposer aux principaux délégués d’associer toujours une limite, vous rédigez une politique d’autorisations comportant une condition exigeant que iam:PermissionsBoundary soit égal à un ARN de limite précis pour tout rôle qu’ils créent. Cela empêche un développeur de créer des rôles sans garde-fou et comble la faille de délégation.

Une limite d’autorisations plafonne les autorisations maximales d’un seul utilisateur ou rôle : l’accès effectif est l’intersection de la limite et de la politique d’identité. Elle n’accorde jamais rien par elle-même. Son objectif principal est la délégation sécurisée de la création de rôles IAM, imposée par l’exigence de la limite via la condition iam:PermissionsBoundary.

Testez la logique des limites d’autorisations.

Une limite d’autorisations définit les autorisations maximales d’un seul utilisateur ou rôle ; l’accès effectif est l’intersection de la limite et de la politique d’identité. Elle n’accorde jamais rien par elle-même et un refus explicite l’emporte toujours. Son objectif principal est la délégation sécurisée, imposée par la condition iam:PermissionsBoundary.