SCP IAM अनुमतियों के साथ कैसे मिलती हैं

किसी संगठन में पहुँच का संचालन दो परतों से होता है: AWS Organizations द्वारा निर्धारित SCP की ऊपरी सीमा और खाते के भीतर दी गई IAM अनुमतियाँ। इन दोनों के साथ मिलकर काम करने का तरीका समझना प्रशासन क्षेत्र में परीक्षा के लिए सबसे महत्वपूर्ण विषयों में से एक है, क्योंकि परिणाम दोनों की सहमति पर निर्भर करता है।

नियम सरल लेकिन कठोर है: किसी कार्रवाई को तभी अनुमति मिलती है, जब लागू SCPs और खाते की IAM नीतियाँ दोनों उसे अनुमति दें। प्रभावी अनुमति इन दोनों का प्रतिच्छेद होती है। मेल खाती IAM अनुमति के बिना SCP कुछ भी अनुमति नहीं देती; और SCP द्वारा रोकी गई IAM अनुमति भी कुछ नहीं देती।

यदि SCP किसी कार्रवाई की अनुमति देती है, लेकिन कोई IAM नीति उसे अनुमति नहीं देती, तो IAM के अंतर्निहित अस्वीकरण के कारण परिणाम अस्वीकृत होगा। SCP ने केवल कार्रवाई को संभव बनाया; उसे वास्तव में अनुमति देना अब भी IAM का काम है। बहुत से शिक्षार्थी भूल जाते हैं कि SCP ऊपरी सीमा है, अनुमति नहीं।

इसके विपरीत, यदि IAM नीति किसी कार्रवाई की अनुमति देती है, लेकिन SCP उसे अस्वीकार करती है, तो परिणाम अस्वीकृत होगा। SCP का अस्वीकरण खाते की सीमा तय करता है, चाहे IAM कितनी भी उदार क्यों न हो। इसी तरह संगठन ऐसी कठोर सीमाएँ लागू करता है जिन्हें स्थानीय प्रशासक बदल नहीं सकते।

अनुरोध को तभी अनुमति मिलती है, जब SCP और IAM नीति दोनों कार्रवाई की अनुमति दें और कहीं भी कोई स्पष्ट अस्वीकरण मौजूद न हो। यह प्रतिच्छेद तर्क अनुमति-सीमाओं के काम करने के तरीके जैसा ही है, और दोनों एक साथ लागू होकर अनुमतियों को और सीमित कर सकते हैं।

पूरी तरह प्रशासित वातावरण में कई सीमाएँ एक-दूसरे पर लागू होती हैं: SCP (खाता स्तर), अनुमति सीमा (पहचान स्तर), कोई भी सत्र नीति (सत्र स्तर) और पहचान नीति (अनुमति देने वाली नीति)। प्रभावी अनुमति सभी सीमाओं के प्रतिच्छेद और दी गई अनुमति का परिणाम होती है, जिसमें से कोई भी स्पष्ट अस्वीकरण घटा दिया जाता है।

मान लीजिए कि IAM नीति s3:* और ec2:* की अनुमति देती है, अनुमति सीमा केवल s3:* की अनुमति देती है और SCP केवल s3:GetObject की अनुमति देती है। प्रभावी अनुमति केवल s3:GetObject होगी, जो इन तीनों परतों का प्रतिच्छेद है। हर सीमा अनुमतियों को और कम करती जाती है।

हर परत में, किसी भी नीति, SCP, सीमा, सत्र, पहचान या संसाधन में मौजूद स्पष्ट अस्वीकरण तुरंत कार्रवाई को रोक देता है। अनुमतियों का कोई भी संयोजन उसे निष्प्रभावी नहीं कर सकता। किसी स्थिति का विश्लेषण करते समय पहले किसी भी स्पष्ट अस्वीकरण को खोजें; यदि वह मिल जाए, तो उत्तर अस्वीकार होगा।

संसाधन-आधारित नीतियाँ पहचान नीति से स्वतंत्र रूप से उसी खाते की पहुँच दे सकती हैं, लेकिन SCPs अब भी प्रिंसिपल के खाते की सीमा तय करती हैं। अलग-अलग खातों के बीच पहुँच के लिए दोनों खातों के नियंत्रण और दोनों पक्षों की नीतियाँ लागू होती हैं। प्रतिच्छेद का नियम व्यापक हो जाता है, लेकिन मूल विचार वही रहता है: हर लागू सीमा को अनुमति देनी चाहिए।

जब किसी संगठन में पहुँच अनपेक्षित रूप से विफल हो, तो बाहर की ओर क्रम से जाँच करें: पहले पुष्टि करें कि पहचान नीति कार्रवाई की अनुमति देती है, फिर अनुमति सीमा, उसके बाद खाते और प्रत्येक अभिभावक OU पर लगी SCPs, फिर कोई सत्र नीति, और अंत में सभी परतों में स्पष्ट अस्वीकरण खोजें। पहली ऐसी सीमा जो कार्रवाई को शामिल नहीं करती, या कोई भी अस्वीकरण, समस्या का कारण है।

SCPs और IAM का संयोजन प्रतिच्छेद के आधार पर होता है: किसी कार्रवाई को दोनों से अनुमति मिलनी चाहिए, साथ ही किसी सीमा और सत्र की सीमाओं के भीतर होना चाहिए तथा कहीं भी स्पष्ट अस्वीकरण नहीं होना चाहिए। SCPs और सीमाएँ केवल सीमित करती हैं; IAM नीतियाँ अनुमति देती हैं। किसी कार्रवाई को अनुमति देने के लिए हर सीमा को उसे अनुमति देनी चाहिए और कम-से-कम एक अनुमति देने वाली नीति मौजूद होनी चाहिए।

SCPs और IAM का संयोजन प्रतिच्छेद के आधार पर होता है: किसी कार्रवाई को तभी अनुमति मिलती है, जब दोनों उसे अनुमति दें और कोई अनुमति सीमा तथा सत्र नीति की सीमाएँ भी पूरी हों, साथ ही कहीं भी स्पष्ट अस्वीकरण न हो। SCPs और सीमाएँ केवल सीमित करती हैं; IAM नीतियाँ अनुमति देती हैं। किसी भी परत में मौजूद स्पष्ट अस्वीकरण हमेशा हर अनुमति पर प्रभावी होता है।