Kebijakan Sesi dan Pembatasan Berbasis Tag

Terkadang Anda ingin memberikan suatu peran, tetapi membatasi tindakan yang dapat dilakukan oleh sesi tertentu tanpa mengubah peran itu sendiri. Kebijakan sesi dan tag sesi memungkinkan Anda mempersempit izin tepat saat peran diambil. Fitur STS lanjutan ini mendukung hak akses minimum yang terperinci dan dapat diskalakan, yang dihargai dalam ujian.

Kebijakan sesi adalah kebijakan sebaris atau terkelola yang diteruskan ke AssumeRole (melalui Policy atau PolicyArns). Kebijakan ini tidak memberikan izin baru; kebijakan ini hanya dapat menyaring izin peran yang sudah ada untuk sesi tersebut. Izin efektif merupakan irisan antara kebijakan peran dan kebijakan sesi.

Karena hasilnya berupa irisan, kebijakan sesi tidak akan pernah memungkinkan sesi melakukan lebih banyak hal daripada yang sudah diizinkan oleh peran. Jika peran memberikan s3:* tetapi kebijakan sesi hanya mengizinkan s3:GetObject, sesi tersebut hanya dapat mengambil objek. Dengan demikian, kebijakan sesi menjadi cara aman untuk memberikan bagian dari peran yang lebih luas dengan cakupan yang dipersempit.

Contoh umum: satu peran berdaya tinggi diambil oleh alat orkestrasi yang, untuk setiap pekerjaan, melampirkan kebijakan sesi yang membatasi pekerjaan tersebut pada satu bucket atau satu grup sumber daya. Setiap sesi memiliki cakupan yang sangat terbatas meskipun peran dasarnya luas. Dengan cara ini, Anda tidak perlu membuat puluhan peran yang dirancang secara khusus.

Cuplikan CLI ini menunjukkan cara meneruskan kebijakan sesi sebaris yang semakin membatasi sesi. Peran tersebut harus sudah mengizinkan tindakan ini agar tindakan tersebut dapat berlaku.

Tag sesi adalah atribut pasangan kunci-nilai yang dilampirkan ke sesi saat AssumeRole dijalankan. Tag ini diteruskan melalui parameter Tags, menjadi bagian dari konteks permintaan, dan dapat dibaca dalam kebijakan melalui aws:PrincipalTag. Tag sesi membawa atribut tentang pihak yang mengambil peran ke dalam setiap keputusan otorisasi.

Tag sesi merupakan fondasi Attribute-Based Access Control (ABAC) untuk peran yang diasumsikan. Kebijakan dapat mewajibkan agar aws:PrincipalTag/Project milik sesi sama dengan aws:ResourceTag/Project milik sumber daya, sehingga akses hanya diberikan ketika tag proyek cocok. Dengan demikian, satu kebijakan dapat digunakan untuk banyak proyek dan ditingkatkan skalanya dengan rapi.

Saat peran dirantai, tag sesi biasa tidak ikut diteruskan. Menandai tag sebagai transitif membuatnya tetap ada pada pengambilan peran berikutnya dalam rantai. Dengan demikian, atribut seperti departemen pengguna asli mengikuti identitas tersebut melewati beberapa lompatan, yang penting untuk ABAC yang konsisten.

Meneruskan tag sesi memerlukan izin sts:TagSession selain sts:AssumeRole. Kebijakan kepercayaan juga dapat membatasi kunci atau nilai tag yang diizinkan. Mengendalikan pihak yang boleh menetapkan tag sesi tertentu mencegah pengguna memberikan akses kepada diri sendiri dengan menetapkan nilai tag istimewa.

Kebijakan sesi dan tag sesi saling melengkapi: tag menyatakan siapa yang direpresentasikan oleh sesi untuk pencocokan ABAC, sedangkan kebijakan sesi membatasi apa yang boleh dilakukan sesi. Dengan demikian, satu peran yang cakupannya luas dapat melayani banyak sesi dengan cakupan yang sangat terbatas secara aman, yaitu desain yang elegan dan dapat diskalakan seperti yang ditekankan dalam ujian.

Gunakan kebijakan sesi untuk melakukan irisan dan mempersempit izin peran pada setiap sesi, bukan untuk menambahkannya. Gunakan tag sesi (dengan sts:TagSession) untuk menggerakkan ABAC melalui aws:PrincipalTag, dan tandai tag sebagai transitif saat melakukan rantai peran. Fitur STS ini memberikan hak akses minimum per sesi dari sejumlah kecil peran yang dapat digunakan kembali.

Uji pembatasan cakupan sesi.

Kebijakan sesi yang diteruskan ke AssumeRole beririsan dengan izin peran, sehingga mempersempitnya tetapi tidak pernah memperluasnya. Tag sesi (yang memerlukan sts:TagSession) memasok ABAC melalui aws:PrincipalTag, dan tag transitif tetap ada selama rantai peran. Keduanya memungkinkan hak akses minimum per sesi dari beberapa peran yang dapat digunakan kembali.