Membandingkan Pengguna dan Grup IAM

AWS Identity and Access Management (IAM) adalah layanan yang mengendalikan siapa yang dapat melakukan apa di akun Anda. Dua komponen dasar layanan ini adalah pengguna dan grup. Pengguna merupakan identitas permanen yang terkait dengan seseorang atau aplikasi, sedangkan grup hanyalah wadah yang menggabungkan pengguna agar mereka berbagi izin yang sama. Memahami perbedaan ini merupakan dasar untuk semua hal lain dalam ujian.

Pengguna IAM adalah identitas jangka panjang dengan nama yang unik dalam akun Anda. Pengguna ini dapat memiliki dua jenis kredensial:

• Kata sandi konsol untuk masuk melalui web.
• Kunci akses (ID kunci akses dan rahasia) untuk panggilan API dan CLI secara terprogram.

Karena kredensial ini berlaku dalam jangka panjang, AWS menganggapnya memiliki risiko lebih tinggi. Praktik terbaiknya adalah mengutamakan peran dan kredensial sementara daripada membuat banyak pengguna dengan kunci permanen.

Grup IAM adalah kumpulan pengguna yang berbagi izin melalui kebijakan yang dilampirkan. Grup membuat pengelolaan akses dapat dilakukan dalam skala besar: daripada melampirkan kebijakan yang sama kepada sepuluh pengembang, Anda cukup melampirkannya sekali ke grup "Developers" lalu menambahkan para pengguna. Fakta penting yang diharapkan dalam ujian:

• Grup tidak memiliki kredensial dan tidak dapat menjadi prinsipal dalam kebijakan.
• Seorang pengguna dapat menjadi anggota beberapa grup.
• Grup tidak dapat disarangkan di dalam grup lain.

Saat pengguna membuat permintaan, IAM menggabungkan semua kebijakan yang berlaku: kebijakan yang dilampirkan langsung kepada pengguna dan kebijakan yang dilampirkan ke setiap grup yang diikuti pengguna. Hasilnya adalah gabungan semua tindakan yang diizinkan, kecuali terdapat penolakan eksplisit di mana pun. Artinya, keanggotaan grup hanya dapat menambahkan izin, tidak pernah menguranginya, kecuali melalui pernyataan penolakan eksplisit.

Mengelola izin per pengguna dapat menyebabkan penyimpangan konfigurasi: seiring waktu, setiap pengguna mengumpulkan kumpulan kebijakan yang sedikit berbeda dan sulit diaudit. Grup memusatkan izin sehingga satu perubahan kebijakan berlaku secara konsisten bagi semua orang dalam suatu peran. Bagi auditor, mencantumkan siapa saja yang tergabung dalam grup "Admins" jauh lebih mudah daripada memeriksa puluhan pengguna satu per satu.

Anda dapat memeriksa keanggotaan dari CLI untuk mengaudit siapa yang memiliki akses tingkat tinggi. Perintah di bawah ini mencantumkan setiap pengguna di dalam suatu grup, yang merupakan langkah awal umum saat menangani temuan akses dengan hak berlebihan.

Jangan menyamakan pengguna IAM dengan pengguna root. Pengguna root adalah identitas pemilik akun yang dibuat saat akun dibuka dan memiliki akses tanpa batas yang tidak dapat dibatasi oleh kebijakan IAM. AWS sangat menyarankan Anda menyimpan kredensial root di tempat yang aman, mengaktifkan autentikasi multifaktor (MFA) untuknya, dan tidak pernah menggunakannya untuk pekerjaan sehari-hari. Sebagai gantinya, buat pengguna IAM individual (atau, yang lebih baik, gunakan federasi).

Setiap pengguna IAM sebaiknya mengaktifkan MFA, yang memerlukan faktor kedua seperti kunci perangkat keras atau aplikasi autentikator selain kata sandi. Anda dapat mewajibkan MFA melalui kondisi kebijakan seperti aws:MultiFactorAuthPresent. Ujian sering menguji penggunaan MFA untuk melindungi operasi sensitif, seperti menghapus sumber daya atau mengubah pengaturan keamanan.

Kesalahan umum adalah membuat pengguna IAM dengan kunci akses statis untuk aplikasi yang berjalan di EC2 (Elastic Compute Cloud). Cara ini menyematkan rahasia jangka panjang yang dapat bocor. Pola yang aman adalah peran IAM yang dilampirkan ke instans, yang akan kita bahas berikutnya. Untuk tim manusia, pilih federasi Pusat Identitas IAM daripada mengelola pengguna secara individual.

Laporan kredensial IAM adalah CSV yang dapat diunduh dan mencantumkan setiap pengguna, kapan kata sandi dan kunci akses mereka terakhir kali digunakan, serta apakah MFA aktif. Jika digabungkan dengan Penganalisis Akses IAM dan data akses terakhir, laporan ini membantu Anda menemukan pengguna yang sudah tidak aktif, kunci yang tidak digunakan, dan grup dengan cakupan terlalu luas. Peninjauan rutin merupakan bagian penting dari pemeliharaan hak akses minimum yang dihargai dalam ujian.

Gunakan pengguna saat Anda memerlukan identitas tersendiri dengan kredensial untuk seseorang atau aplikasi lama. Gunakan grup untuk menetapkan izin bersama secara rapi dan menghindari perbedaan konfigurasi antar pengguna. Dalam rancangan modern, Anda sebisa mungkin mengurangi pengguna permanen sepenuhnya dengan mengandalkan peran untuk beban kerja dan federasi untuk manusia. Pengguna dan grup tetap merupakan istilah penting, tetapi keduanya adalah titik awal, bukan tujuan akhir.

Uji pemahaman Anda tentang pengguna dan grup.

Anda telah mempelajari bahwa pengguna IAM adalah identitas dengan kredensial jangka panjang, sedangkan grup IAM adalah wadah tanpa kredensial yang menggabungkan pengguna agar dapat berbagi kebijakan. Izin merupakan gabungan kebijakan pengguna dan grup, grup tidak dapat bersarang, dan pengguna root harus diamankan dengan MFA. Pilih peran untuk beban kerja dan federasi untuk manusia guna menghindari rahasia berumur panjang dan perbedaan konfigurasi.