Condizioni, wildcard e variabili delle policy

Oltre ad azioni e risorse, IAM offre strumenti potenti per rendere le policy precise e dinamiche: condizioni, caratteri jolly e variabili di policy. Padroneggiarli consente di concedere esattamente l'accesso necessario nelle circostanze appropriate: questo è il principio del privilegio minimo e un tema ricorrente negli esami.

Un blocco Condition contiene uno o più test, che devono essere tutti veri affinché l'istruzione si applichi. Ogni test associa un operatore a una chiave di condizione e a un valore, ad esempio StringEquals con aws:PrincipalTag. Più chiavi nello stesso blocco vengono combinate con AND; più valori per una chiave vengono combinati con OR.

Le chiavi di condizione globali compaiono continuamente negli esami:

• aws:SourceIp — limita l'accesso in base all'intervallo di indirizzi IP del chiamante.
• aws:SecureTransport — richiede TLS.
• aws:MultiFactorAuthPresent — richiede MFA.
• aws:PrincipalOrgID — limita l'accesso alla propria organizzazione.

Le chiavi specifiche del servizio, come s3:prefix, consentono un controllo ancora più preciso.

Un modello classico nega l'accesso se la richiesta non usa TLS. Questa condizione nella policy del bucket blocca qualsiasi chiamata non HTTPS, assicurando che i dati in transito siano sempre crittografati. Negli esami questo modello è spesso la risposta alla richiesta di "richiedere la crittografia in transito per S3".

Gli operatori definiscono il modo in cui vengono confrontati i valori: StringEquals, StringLike (supporta i caratteri jolly), IpAddress, DateGreaterThan, Bool e Null, tra gli altri. Aggiungendo IfExists a un operatore, il test ha esito positivo quando la chiave è assente. Scegliere l'operatore corretto è essenziale per ottenere la logica desiderata.

I caratteri jolly (* per qualsiasi sequenza, ? per un singolo carattere) rendono le policy concise, ma possono concedere autorizzazioni eccessive. s3:Get* comprende tutte le operazioni di tipo lettura; s3:* comprende ogni operazione in S3. Utilizzi il carattere jolly più restrittivo che soddisfi l'esigenza e presti attenzione ai caratteri jolly troppo ampi in qualsiasi policy esaminata.

Anche gli ARN delle risorse accettano caratteri jolly, ad esempio arn:aws:s3:::logs/2024/* per limitare l'ambito a un prefisso. In questo modo una policy può applicarsi a una cartella o a un modello senza elencare ogni oggetto. Tuttavia, una Resource contenente solo "*" concede un accesso esteso all'intero account: verifichi quindi sempre che tale ampiezza sia davvero necessaria.

Le variabili di policy inseriscono il contesto della richiesta al momento della valutazione usando la sintassi ${...}. La più utile è ${aws:username}, che consente a un'unica policy di dare a ogni utente accesso solo alle proprie risorse. Le variabili fanno sì che una singola policy riutilizzabile si comporti in modo diverso per ogni principal, applicando il privilegio minimo su larga scala.

Questa istruzione consente a ogni utente di gestire solo gli oggetti contenuti in una cartella denominata come il proprio nome utente: è un modello efficace di policy unica per tutti.

Attribute-Based Access Control (ABAC) utilizza i tag nelle condizioni, confrontando i tag del principal (aws:PrincipalTag) con i tag di una risorsa (aws:ResourceTag). Quando corrispondono, l'accesso viene concesso. ABAC si adatta molto bene alla crescita: consente di concedere l'accesso in base al tag invece di scrivere una nuova policy per ogni progetto, una best practice moderna evidenziata negli esami.

Combini deliberatamente questi strumenti: utilizzi le condizioni per subordinare l'accesso a MFA, IP, TLS o appartenenza all'organizzazione; utilizzi i caratteri jolly con parsimonia e in modo restrittivo; utilizzi le variabili di policy e i tag per applicare su larga scala il privilegio minimo per ogni principal. Insieme, consentono a una policy ben progettata di imporre un accesso preciso e consapevole del contesto a numerose identità e risorse.

Verifichi condizioni e variabili.

Le condizioni subordinano l'applicazione delle istruzioni a chiavi di contesto (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) usando operatori come StringLike e Bool. I caratteri jolly (* e ?) mantengono concise le policy, ma possono concedere autorizzazioni eccessive. Le variabili di policy come ${aws:username} e l'ABAC basato sui tag offrono un privilegio minimo scalabile per ogni principal.