Memahami IAM Role yang Sebenarnya

Peran IAM adalah identitas yang dapat Anda ambil untuk memperoleh serangkaian izin, tetapi tidak seperti pengguna, peran ini tidak memiliki kredensial permanen. Sebagai gantinya, saat suatu entitas mengambil peran, AWS menerbitkan kredensial keamanan sementara yang kedaluwarsa setelah waktu tertentu. Peran adalah cara yang aman dan modern untuk memberikan akses di AWS dan sering muncul dalam ujian SCS-C02.

Setiap peran memiliki dua bagian kebijakan:

• Kebijakan kepercayaan (juga disebut kebijakan pengambilan peran) yang menyatakan siapa yang diizinkan mengambil peran tersebut.
• Satu atau beberapa kebijakan izin yang menyatakan apa yang dapat dilakukan peran setelah diambil.

Pemisahan ini merupakan inti cara peran memungkinkan pendelegasian yang aman: Anda menentukan siapa yang boleh meminjam identitas tersebut dan, secara terpisah, apa yang boleh dilakukan identitas itu.

Saat suatu peran diambil, Security Token Service (STS) menerbitkan serangkaian kredensial yang berisi ID kunci akses, kunci rahasia, dan token sesi, yang semuanya berlaku dalam jangka waktu terbatas (15 menit hingga 12 jam). Karena kedaluwarsa secara otomatis, kredensial sementara yang bocor akan segera tidak berguna, sehingga risikonya jauh lebih rendah dibandingkan kunci akses yang berlaku lama.

Kebijakan kepercayaan mencantumkan principal yang dapat mengambil peran tersebut. Principal ini dapat berupa:

• Service AWS (seperti EC2 atau Lambda) untuk memberikan identitas kepada beban kerja.
• Pengguna atau peran IAM dalam akun yang sama atau akun lain untuk akses lintas akun.
• Identitas terfederasi dari penyedia SAML atau OIDC.

Jika suatu principal tidak tercantum dalam kebijakan kepercayaan, principal tersebut tidak akan pernah dapat mengambil peran, apa pun yang diizinkan oleh kebijakan izin.

Penggunaan yang paling umum adalah mengizinkan service AWS bertindak atas nama Anda. Misalnya, instans EC2 dengan peran terlampir dapat memanggil S3 tanpa kunci yang disematkan; AWS memutar kredensial secara otomatis di balik layar. Ujian mengharapkan Anda mengenali bahwa peran service menghilangkan rahasia statis dari aplikasi Anda.

Berikut adalah cuplikan kebijakan kepercayaan yang mengizinkan service EC2 mengambil suatu peran. Principal mengidentifikasi siapa yang boleh mengambilnya, dan tindakannya selalu sts:AssumeRole.

Peran sangat berguna untuk akses lintas akun. Akun A membuat peran yang mempercayai Akun B; sebuah principal di B mengambilnya dan menerima kredensial sementara untuk bertindak di A. Tidak ada kunci yang dibagikan, akses dibatasi oleh kebijakan izin, dan salah satu pihak dapat mencabut kepercayaan kapan saja. Ini adalah alternatif yang direkomendasikan daripada membagikan kunci jangka panjang antar akun.

Identitas eksternal, seperti pengguna perusahaan yang diautentikasi melalui SAML atau pengguna aplikasi melalui federasi identitas web, juga dapat mengambil peran. Penyedia identitas memverifikasi pengguna, lalu AWS menerbitkan kredensial sementara yang terikat pada suatu peran. Dengan demikian, manusia sama sekali tidak memerlukan pengguna IAM, melainkan hanya identitas terverifikasi yang dipetakan ke sebuah peran.

Manfaat keamanan terbesar dari peran adalah tidak adanya kredensial permanen yang dapat dicuri, diputar, atau tidak sengaja dikirim ke repositori kode. Izin hanya ada selama sesi sementara. Hal ini selaras dengan prinsip hak akses minimum berdasarkan waktu: akses diberikan tepat saat diperlukan dan kedaluwarsa dengan sendirinya.

Poin penting: izin untuk mengambil suatu peran memberi Anda hanya izin milik peran tersebut, bukan gabungan izin Anda sendiri dengan izin peran. Saat mengambil peran, Anda menggunakan identitas baru. Izin awal Anda dikesampingkan selama sesi tersebut, sehingga rancangan peran harus mencakup semua hal yang diperlukan oleh tugas.

Gunakan peran setiap kali beban kerja memerlukan akses AWS, saat satu akun harus bertindak di akun lain, atau saat manusia melakukan autentikasi melalui penyedia eksternal. Peran merupakan jawaban untuk hampir setiap pertanyaan ujian tentang "bagaimana memberikan akses tanpa kunci jangka panjang". Peran menggabungkan kebijakan kepercayaan (siapa) dengan kebijakan izin (apa) untuk menyediakan akses yang aman, sementara, dan dapat diaudit.

Pastikan pemahaman Anda tentang peran.

Peran IAM adalah identitas tanpa kredensial yang diambil untuk memperoleh izin sementara dari STS. Peran ini memasangkan kebijakan kepercayaan (siapa yang boleh mengambilnya) dengan kebijakan izin (apa yang dapat dilakukannya). Peran mendukung akses service, pendelegasian lintas akun, dan federasi, sekaligus menghilangkan rahasia jangka panjang. Pengambilan peran menggantikan identitas Anda dengan identitas peran selama sesi tersebut.