Anatomia di un documento di policy IAM

In AWS, le autorizzazioni sono espresse tramite policy: documenti JSON che concedono o negano l'accesso ad azioni sulle risorse. Leggere correttamente una policy è una competenza fondamentale per SCS-C02, perché quasi ogni domanda sull'accesso si riduce a stabilire che cosa una policy consenta, neghi o non copra. Questa lezione analizza la struttura elemento per elemento.

Una policy contiene un campo Version (utilizzi "2012-10-17") e un elemento Statement, che può contenere una singola istruzione o un array di istruzioni. Ogni istruzione è una regola indipendente. AWS valuta ogni istruzione, quindi un singolo documento può consentire alcune azioni e negarne esplicitamente altre.

Ogni istruzione ha un Effect che può essere Allow o Deny. AWS nega l'accesso per impostazione predefinita: se non esiste un Allow corrispondente, la richiesta viene negata. Un Deny corrispondente prevale sempre su qualsiasi Allow. Riconoscere l'Effect di ogni istruzione è il primo controllo da effettuare quando si analizza un accesso.

L'elemento Action elenca le operazioni API a cui si applica l'istruzione, nel formato service:operation, ad esempio s3:GetObject. Sono consentiti i caratteri jolly, come s3:* o s3:Get*. L'inverso, NotAction, corrisponde a ogni azione tranne quelle elencate e può essere usato impropriamente con facilità; per questo l'esame lo verifica con attenzione.

L'elemento Resource specifica le risorse a cui si applicano le azioni, utilizzando gli ARN (Amazon Resource Names). Può indicare, ad esempio, un bucket specifico e i relativi oggetti. Il valore "*" indica tutte le risorse. NotResource corrisponde a tutto tranne gli ARN elencati. Limitare attentamente l'ambito delle risorse è fondamentale per applicare il principio del privilegio minimo.

Questa policy basata sull'identità consente di leggere gli oggetti di un solo bucket. Noti l'azione, l'ARN specifico a livello di oggetto e l'effetto Allow esplicito.

Un blocco Condition opzionale limita i casi in cui si applica un'istruzione, utilizzando chiavi di contesto e operatori. Ad esempio, può consentire l'accesso solo se la richiesta utilizza TLS (aws:SecureTransport) o proviene da un indirizzo IP noto. Le condizioni consentono di aggiungere un controllo granulare e sensibile al contesto, oltre alla semplice specifica di azione e risorsa.

Le policy basate sull'identità omettono l'elemento Principal, perché sono già associate a un principal. Le policy basate sulle risorse, come una policy di bucket S3, includono Principal per indicare a chi si applica la regola. Verificare se una policy contiene Principal permette di capire quale tipo di policy si sta leggendo.

L'uso combinato di caratteri jolly come "Action": "*" e "Resource": "*" concede l'accesso amministrativo completo. L'esame presenta spesso una policy con autorizzazioni eccessive e chiede di restringerla. La soluzione consiste nel sostituire i caratteri jolly con azioni e ARN specifici, applicando il principio del privilegio minimo.

Un ARN ha il formato arn:partition:service:region:account:resource. Alcuni servizi omettono la regione o l'account (S3 omette entrambi per la parte relativa al bucket). Leggere con precisione gli ARN permette di capire se una policy si applica a una sola risorsa, a un solo account o a tutto, incidendo direttamente sull'ampiezza dell'accesso concesso.

Per analizzare una policy: controlli l'Effect, legga l'Action (prestando attenzione a NotAction e ai caratteri jolly), limiti l'ambito della Resource (prestando attenzione a "*") e analizzi eventuali Condition. Ricordi che un deny esplicito prevale su un allow e che l'accesso è negato per impostazione predefinita. Con la pratica, potrà valutare in pochi secondi l'effettiva portata di una policy, proprio come richiesto dall'esame.

Metta alla prova la Sua capacità di leggere le policy.

Una policy IAM è un documento JSON con Version e un array Statement. Ogni istruzione contiene un Effect (Allow/Deny), Action (o NotAction), Resource tramite ARN (o NotResource) e una Condition opzionale. Le policy basate sulle risorse aggiungono un Principal. L'accesso è negato per impostazione predefinita, un deny esplicito prevale sempre e i caratteri jolly indicano autorizzazioni eccessive da restringere.