Alur Keputusan Evaluasi Kebijakan

Ketika permintaan apa pun mencapai AWS, mesin IAM menjalankan alur evaluasi yang tepat untuk menentukan Allow atau Deny. Menghafalkan urutan ini merupakan salah satu hal paling bermanfaat yang dapat Anda lakukan untuk ujian SCS-C02, karena pertanyaan skenario yang rumit bergantung pada jenis kebijakan mana yang menang ketika beberapa kebijakan diterapkan.

Titik awalnya selalu berupa penolakan implisit. Jika tidak ada apa pun dalam evaluasi yang memberikan akses, permintaan akan ditolak. Sikap tolak secara default ini berarti Anda harus secara eksplisit mengizinkan suatu tindakan di suatu tempat agar tindakan tersebut berhasil; tidak ada pernyataan berarti penolakan.

Aturan terpenting: satu penolakan eksplisit di mana pun dalam kebijakan yang berlaku mengalahkan semua izin. Sebanyak apa pun pernyataan yang memberikan izin untuk suatu tindakan, satu penolakan yang cocok akan memblokirnya. Dengan cara inilah pagar pengaman dan SCPs memberlakukan batas tegas yang tidak dapat ditimpa oleh kebijakan pada tingkat yang lebih rendah.

AWS mengevaluasi dalam urutan konseptual berikut: 1) periksa penolakan eksplisit dalam kebijakan apa pun (SCPs, batasan, identitas, sumber daya, sesi) — jika ditemukan, tolak. 2) Jika suatu SCP berlaku dan tidak mengizinkan tindakan tersebut, tolak. 3) Periksa batas izin, kebijakan sesi, serta kebijakan identitas/sumber daya untuk mencari izin. Kesenjangan apa pun menghasilkan penolakan implisit.

Service Control Policies (SCPs) di AWS Organizations menetapkan izin maksimum untuk suatu akun. Suatu tindakan harus diizinkan oleh SCP dan oleh kebijakan IAM agar berhasil. SCPs tidak pernah memberikan akses dengan sendirinya; SCPs hanya membatasi atau menolak. Jika SCP tidak mengizinkan suatu tindakan, izin dari IAM mana pun tidak dapat menyelamatkannya.

Batas izin adalah kebijakan lanjutan yang membatasi izin maksimum pengguna atau peran tertentu. Izin efektif merupakan irisan antara batas tersebut dan kebijakan identitas. Seperti SCPs, batas hanya dapat membatasi; batas tidak pernah memperluas izin yang diberikan oleh kebijakan berbasis identitas.

Saat suatu peran digunakan dengan kebijakan sesi, kebijakan tersebut semakin mempersempit izin hanya untuk sesi itu. Hasilnya kembali berupa irisan: sesi tidak dapat melakukan lebih dari yang diizinkan oleh kebijakan peran dan kebijakan sesi secara bersamaan. Kebijakan sesi adalah cara untuk mempersempit cakupan pada saat pengambilan peran.

Untuk permintaan dalam akun yang sama, izin berbasis sumber daya dapat memberikan akses meskipun tidak ada izin identitas (gabungan). Untuk lintas akun, keduanya diperlukan. Dan dalam seluruh proses tersebut, penolakan eksplisit apa pun di salah satu kebijakan ini tetap menang. Kebijakan sumber daya berpartisipasi dalam alur keseluruhan yang sama.

Misalkan kebijakan identitas mengizinkan s3:DeleteObject, tetapi SCP menolak semua s3:Delete* di lingkungan produksi. Hasilnya: ditolak, karena penolakan eksplisit dari SCP mengalahkan izin identitas. Sebaliknya, jika SCP mengizinkan tetapi tidak ada kebijakan identitas yang memberikan tindakan tersebut, tindakan itu juga ditolak karena penolakan implisit. Kedua lapisan harus sama-sama memberikan izin.

Skenario ujian menggabungkan SCPs, batasan, kebijakan identitas, dan kebijakan sumber daya, lalu menanyakan hasilnya. Metode yang andal adalah mencari penolakan eksplisit terlebih dahulu, memastikan SCP mengizinkan, memastikan batas dan sesi mengizinkan, serta memastikan terdapat izin identitas atau sumber daya. Jika semuanya selaras tanpa penolakan, jawabannya adalah diizinkan.

Ingat daftar periksa ini: (1) Ada penolakan eksplisit? Tolak. (2) Apakah SCP mengizinkan? Jika tidak, tolak. (3) Apakah batas/sesi mengizinkan? Jika tidak, tolak. (4) Apakah identitas atau sumber daya mengizinkan? Jika ya dan tidak ada penolakan, izinkan; jika tidak, penolakan implisit. Terapkan secara mekanis, dan bahkan pertanyaan dengan banyak kebijakan pun menjadi mudah dipahami.

Uji alur evaluasi.

Evaluasi IAM dimulai dari penolakan implisit, dan penolakan eksplisit selalu menang. Untuk mengizinkan suatu tindakan: tidak boleh ada penolakan eksplisit di mana pun, SCP harus mengizinkannya, batas izin dan kebijakan sesi (irisan) harus mengizinkannya, serta harus ada izin identitas atau sumber daya. SCPs dan batas hanya membatasi; keduanya tidak pernah memberikan izin.