Mendelegasikan Pembuatan Role dengan Aman

Tim dapat bekerja lebih cepat ketika mereka dapat membuat peran dan kebijakan IAM sendiri, tetapi akses IAM tanpa pembatasan berbahaya: pengembang dapat memberikan hak administrator kepada diri mereka sendiri. Tantangannya adalah memungkinkan tim membangun peran sekaligus menjamin bahwa peran tersebut tetap berada dalam batas yang aman. Batas izin memungkinkan hal ini dan merupakan skenario yang sering diuji.

Tanpa pengaman, memberikan iam:CreateRole dan iam:AttachRolePolicy kepada seseorang pada dasarnya sama dengan memberinya akses administrator. Mereka dapat membuat peran dengan AdministratorAccess lalu menggunakannya. Jalur eskalasi hak akses ini harus ditutup oleh pendelegasian yang aman, tanpa menghalangi pembuatan peran yang sah.

Solusinya adalah mewajibkan setiap peran yang dibuat oleh pengguna yang diberi wewenang memiliki batas izin tertentu. Meskipun mereka melampirkan AdministratorAccess ke peran baru tersebut, batas izin tetap membatasi izin efektifnya. Peran yang dibuat tidak akan pernah melampaui izin yang diperbolehkan oleh batas tersebut, sehingga risiko eskalasi dapat dinetralkan.

Kebijakan pendelegasian yang aman menggunakan dua pemeriksaan kondisi: satu memastikan peran baru memiliki batas izin yang diwajibkan (melalui iam:PermissionsBoundary), dan satu lagi membatasi pengguna agar tidak dapat mengubah atau menghapus batas izin itu sendiri. Keduanya diperlukan; jika tidak, pengembang yang cerdik dapat menghapus batas tersebut setelahnya.

Kondisi ini memaksa setiap panggilan CreateRole melampirkan batas izin yang ditentukan. Tanpa kondisi ini, tindakan pembuatan akan ditolak.

Anda juga harus menolak pengguna yang diberi wewenang untuk mengedit kebijakan batas izin atau melepaskannya dari peran. Tambahkan pernyataan Deny eksplisit pada tindakan seperti iam:DeleteRolePermissionsBoundary dan iam:CreatePolicyVersion terhadap ARN batas izin tersebut. Jika tidak, pengaman dapat dihapus secara diam-diam dan menggagalkan seluruh desain.

Kebijakan pendelegasian sering kali membatasi jalur atau penamaan peran yang dapat dibuat pengguna, misalnya hanya di bawah /developers/. Hal ini menempatkan peran mereka dalam ruang nama yang diketahui, sehingga mudah diaudit dan mencegah gangguan terhadap peran istimewa di bagian lain akun.

Meskipun ada batas izin, perhatikan kebijakan kepercayaan peran baru tersebut. Pengembang dapat membuat peran yang memercayai akun eksternal. Batasi pihak yang dapat mereka tetapkan sebagai principal tepercaya, atau gabungkan pendelegasian dengan SCP dan Access Analyzer agar kepercayaan eksternal yang tidak terduga dapat ditemukan dan diblokir.

Jika dilakukan dengan benar, pendelegasian memberikan layanan mandiri yang nyata kepada tim: mereka dapat membuat dan mengelola peran secara bebas dalam batas izin, sementara tim keamanan dapat merasa tenang karena mengetahui tidak ada peran yang dapat melampaui batas tersebut. Keseimbangan antara kecepatan dan keamanan inilah yang ingin Anda rancang dalam ujian SCS-C02.

Untuk lingkungan dengan banyak akun, padukan batas izin per identitas dengan SCP yang berlaku di seluruh akun. SCP menetapkan batas atas untuk seluruh akun, sedangkan batas izin memperinci pembatasan bagi setiap pengguna yang diberi wewenang. Pelapisan keduanya memberikan pertahanan berlapis, sehingga celah pada satu kontrol dapat ditangkap oleh kontrol lainnya.

Pendelegasian pembuatan peran yang aman memerlukan hal-hal berikut: wajibkan batas izin pada setiap peran yang dibuat, lindungi batas izin dari perubahan atau penghapusan dengan penolakan eksplisit, batasi jalur/nama, dan batasi kepercayaan pada peran baru. Padukan dengan SCP untuk menetapkan batas atas seluruh akun. Dengan demikian, jalur eskalasi hak akses tertutup, sementara layanan mandiri tim tetap tersedia.

Uji pendelegasian yang aman.

Mendelegasikan pembuatan peran IAM secara aman berarti mewajibkan batas izin pada setiap peran yang dibuat melalui kondisi iam:PermissionsBoundary, menolak perubahan terhadap batas tersebut, membatasi jalur/nama peran, dan membatasi kebijakan kepercayaan pada peran baru. Padukan dengan SCP untuk menetapkan batas atas seluruh akun, sehingga jalur eskalasi hak akses tertutup dan layanan mandiri tetap tersedia.