Kebijakan Berbasis Identitas dan Berbasis Sumber Daya

Izin di AWS berasal dari kebijakan yang dipasang di dua tempat: pada identitas (pengguna, grup, atau peran) atau pada sumber daya (seperti bucket S3 atau kunci KMS). Mengetahui jenis yang berlaku dan cara keduanya bergabung sangat penting untuk ujian karena akses lintas akun sepenuhnya bergantung pada perbedaan ini.

Kebijakan berbasis identitas dipasang pada principal IAM dan menentukan hal yang dapat dilakukan principal tersebut. Kebijakan ini tidak memiliki elemen Principal karena principal adalah pihak tempat kebijakan dipasang. Kebijakan ini dapat dikelola AWS, dikelola pelanggan, atau sebaris, dan merupakan cara paling umum untuk memberikan izin.

Kebijakan berbasis sumber daya dipasang langsung pada sumber daya dan menyertakan elemen Principal yang menamai pihak yang diizinkan mengakses. Contohnya adalah kebijakan bucket S3, kebijakan kunci KMS, kebijakan antrean SQS, dan kebijakan fungsi Lambda. Kebijakan tersebut menentukan siapa (Principal) dan apa (Action) pada satu sumber daya itu.

Kebijakan bucket S3 ini memberikan akses baca kepada akun lain. Principal menamai akun tepercaya, sesuatu yang hanya dapat dilakukan oleh kebijakan berbasis sumber daya.

Dalam satu akun, kebijakan berbasis identitas dan berbasis sumber daya bergabung sebagai union: permintaan diizinkan jika salah satu kebijakan memberikannya (dan tidak ada yang menolaknya). Jadi, objek S3 dapat diakses jika kebijakan pengguna mengizinkannya atau kebijakan bucket mengizinkannya. Membuka akses dari salah satu sisi saja sudah cukup.

Untuk akses lintas akun, aturannya lebih ketat: kedua sisi harus mengizinkannya. Principal memerlukan kebijakan berbasis identitas yang mengizinkan tindakan tersebut, dan kebijakan berbasis sumber daya di akun lain harus memberikan akses kepada principal tersebut. Jika salah satu bagian tidak ada, permintaan ditolak. Perbedaan ini sering sekali diujikan.

Kebijakan kepercayaan pada peran secara teknis merupakan salah satu jenis kebijakan berbasis sumber daya. Karena itu, pengambilan peran lintas akun memerlukan kebijakan kepercayaan serta izin identitas sts:AssumeRole dari pemanggil. Mengenali kebijakan kepercayaan sebagai kebijakan berbasis sumber daya membantu menyatukan pemahaman Anda tentang cara akses diberikan.

Tidak semua layanan mendukung kebijakan berbasis sumber daya. Layanan utama yang mendukungnya: S3, KMS, SQS, SNS, Lambda, Secrets Manager, dan ECR. Jika suatu layanan tidak memiliki kebijakan sumber daya, akses lintas akun harus diberikan melalui pengambilan peran. Ujian dapat menguji apakah pendekatan yang dipilih memang mungkin untuk layanan tertentu.

Gunakan kebijakan berbasis identitas untuk izin umum seperti "tim ini dapat melakukan hal-hal tersebut". Gunakan kebijakan berbasis sumber daya ketika Anda harus memberikan akses kepada principal eksternal tertentu, mengaktifkan berbagi lintas akun pada layanan yang mendukungnya, atau menetapkan izin yang ikut berpindah bersama sumber daya itu sendiri.

Karena akses dapat berasal dari salah satu sisi, audit mengharuskan pemeriksaan pada keduanya. IAM Access Analyzer memeriksa kebijakan berbasis sumber daya untuk menemukan sumber daya yang dibagikan secara eksternal atau publik. Simulasi kebijakan dan data akses terakhir membantu pada sisi identitas. Peninjauan lengkap tidak pernah hanya melihat satu jenis.

Akses dalam akun yang sama merupakan union (salah satu kebijakan dapat mengizinkan), sedangkan akses lintas akun mengharuskan kebijakan identitas dan kebijakan sumber daya sama-sama mengizinkan. Kebijakan identitas tidak memiliki Principal; kebijakan sumber daya memilikinya. Sesuaikan jenis kebijakan dengan skenarionya dan ingat layanan mana yang mendukung kebijakan berbasis sumber daya.

Uji penalaran Anda tentang jenis kebijakan.

Kebijakan berbasis identitas dipasang pada principal dan tidak memiliki elemen Principal; kebijakan berbasis sumber daya dipasang pada sumber daya dan menamai Principal. Akses dalam akun yang sama merupakan union keduanya; akses lintas akun mengharuskan keduanya mengizinkan. Hanya beberapa layanan (S3, KMS, SQS, SNS, Lambda, Secrets Manager, ECR) yang mendukung kebijakan sumber daya; jika tidak, gunakan pengambilan peran.