Syarat, Kad Bebas dan Pemboleh Ubah Dasar

Selain tindakan dan sumber, IAM menawarkan alat berkuasa untuk menjadikan dasar lebih tepat dan dinamik: syarat, kad bebas dan pemboleh ubah dasar. Penguasaan terhadap perkara ini membolehkan anda memberikan akses yang tepat diperlukan dalam keadaan yang tepat, iaitu inti pati keistimewaan minimum dan tema peperiksaan yang kerap muncul.

Blok Condition mengandungi satu atau lebih ujian yang semuanya mesti benar supaya pernyataan itu terpakai. Setiap ujian menggabungkan operator dengan kunci syarat dan nilai, contohnya StringEquals pada aws:PrincipalTag. Berbilang kunci dalam satu blok digabungkan dengan AND; berbilang nilai untuk satu kunci digabungkan dengan OR.

Kunci syarat global kerap muncul dalam peperiksaan:

• aws:SourceIp — mengehadkan berdasarkan julat IP pemanggil.
• aws:SecureTransport — mewajibkan TLS.
• aws:MultiFactorAuthPresent — mewajibkan MFA.
• aws:PrincipalOrgID — mengehadkan kepada organisasi anda.

Kunci khusus perkhidmatan (seperti s3:prefix) menambahkan kawalan yang lebih terperinci.

Corak klasik menafikan akses melainkan permintaan menggunakan TLS. Syarat dasar baldi ini menyekat sebarang panggilan bukan HTTPS, sekali gus memastikan data semasa penghantaran sentiasa disulitkan. Peperiksaan sering menggunakan perkara ini sebagai jawapan kepada "wajibkan penyulitan semasa penghantaran untuk S3."

Operator menentukan cara nilai dibandingkan: StringEquals, StringLike (menyokong kad bebas), IpAddress, DateGreaterThan, Bool dan Null antara lain. Menambahkan IfExists kepada operator menyebabkan operator itu berjaya apabila kunci tiada. Pemilihan operator yang betul penting untuk mendapatkan logik yang dimaksudkan.

Kad bebas (* untuk sebarang jujukan, ? untuk satu aksara) menjadikan dasar ringkas tetapi boleh memberikan kebenaran berlebihan. s3:Get* merangkumi semua operasi yang bersifat membaca; s3:* merangkumi segala-galanya dalam S3. Gunakan kad bebas yang paling terhad dan memenuhi keperluan, serta berhati-hati terhadap kad bebas yang luas dalam mana-mana dasar yang anda semak.

ARN sumber juga menerima kad bebas, contohnya arn:aws:s3:::logs/2024/* untuk mengehadkan skop kepada satu awalan. Ini membolehkan dasar menyasarkan folder atau corak tanpa menyenaraikan setiap objek. Namun, Resource yang hanya bernilai "*" memberikan capaian ke seluruh akaun, jadi sentiasa persoalkan sama ada keluasan sedemikian benar-benar diperlukan.

Pemboleh ubah dasar menyisipkan konteks permintaan pada masa penilaian menggunakan sintaks ${...}. Yang paling berguna ialah ${aws:username}, yang membolehkan satu dasar memberikan setiap pengguna akses hanya kepada sumber mereka sendiri. Pemboleh ubah menjadikan satu dasar boleh guna semula bertindak secara berbeza mengikut prinsipal, sekali gus menskalakan keistimewaan minimum dengan baik.

Pernyataan ini membolehkan setiap pengguna mengurus hanya objek di bawah folder yang dinamakan mengikut nama pengguna mereka, iaitu corak berkuasa satu dasar untuk semua.

Kawalan Akses Berasaskan Atribut (ABAC) menggunakan tag dalam syarat, dengan membandingkan tag prinsipal (aws:PrincipalTag) dengan tag sumber (aws:ResourceTag). Apabila kedua-duanya sepadan, akses diberikan. ABAC mudah diskalakan: anda memberikan akses berdasarkan tag dan bukannya menulis dasar baharu untuk setiap projek, iaitu amalan terbaik moden yang ditekankan dalam peperiksaan.

Gabungkan alat ini dengan sengaja: gunakan syarat untuk mengawal akses berdasarkan MFA, IP, TLS atau keahlian organisasi; gunakan kad bebas secara sedikit dan terhad; gunakan pemboleh ubah dasar dan tag untuk keistimewaan minimum yang boleh diskalakan mengikut prinsipal. Bersama-sama, alat ini membolehkan satu dasar yang dirangka dengan baik menguatkuasakan akses yang tepat dan peka konteks merentas banyak identiti dan sumber.

Syarat mengawal pernyataan berdasarkan kunci konteks (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) menggunakan operator seperti StringLike dan Bool. Kad bebas (* dan ?) menjadikan dasar ringkas tetapi boleh memberikan kebenaran berlebihan. Pemboleh ubah dasar seperti ${aws:username} dan ABAC berasaskan tag memberikan keistimewaan minimum yang boleh diskalakan mengikut prinsipal.