Cara SCP Bergabung dengan Keizinan IAM

Akses dalam organisasi ditadbir oleh dua lapisan: had SCP yang ditetapkan oleh Organisasi AWS dan kebenaran IAM yang diberikan dalam akaun tersebut. Memahami cara kedua-duanya bergabung merupakan salah satu konsep yang paling kerap diuji dalam domain tadbir urus, kerana hasilnya bergantung pada persetujuan kedua-duanya.

Peraturannya mudah tetapi ketat: sesuatu tindakan hanya dibenarkan jika tindakan itu dibenarkan oleh kedua-dua SCP yang terpakai dan dasar IAM akaun tersebut. Kebenaran berkesan ialah persilangan kedua-duanya. SCP tanpa kebenaran benarkan IAM yang sepadan tidak memberikan apa-apa; kebenaran benarkan IAM yang disekat oleh SCP juga tidak memberikan apa-apa.

Jika SCP membenarkan sesuatu tindakan tetapi tiada dasar IAM memberikannya, hasilnya ialah ditolak oleh penafian tersirat IAM. SCP hanya menjadikan tindakan itu mungkin; IAM masih perlu benar-benar memberikannya. Ramai pelajar terlupa bahawa SCP ialah had maksimum, bukannya pemberian kebenaran.

Sebaliknya, jika dasar IAM membenarkan sesuatu tindakan tetapi SCP menafikannya, hasilnya ialah ditolak. Penafian SCP mengehadkan akaun tanpa mengira sejauh mana longgarnya IAM. Beginilah organisasi menguatkuasakan had mutlak yang tidak boleh diatasi oleh pentadbir setempat.

Hanya apabila kedua-dua SCP dan dasar IAM membenarkan tindakan tersebut, serta tiada penafian nyata wujud di mana-mana, barulah permintaan itu dibenarkan. Logik persilangan ini menyerupai cara sempadan kebenaran berfungsi, dan kedua-duanya boleh terpakai serentak untuk mengecilkan kebenaran dengan lebih lanjut.

Dalam persekitaran yang ditadbir sepenuhnya, beberapa had bertindih: SCP (peringkat akaun), sempadan kebenaran (peringkat identiti), sebarang dasar sesi (peringkat sesi), dan dasar identiti (pemberian). Kebenaran berkesan ialah persilangan semua had ditambah dengan pemberian, ditolak sebarang penafian nyata.

Bayangkan dasar IAM yang memberikan s3:* dan ec2:*, sempadan kebenaran yang hanya membenarkan s3:*, serta SCP yang hanya membenarkan s3:GetObject. Kebenaran berkesan hanyalah s3:GetObject, iaitu persilangan ketiga-tiga lapisan. Setiap had mengecilkan kebenaran dengan lebih lanjut.

Merentasi setiap lapisan, Penafian nyata dalam mana-mana dasar, SCP, sempadan, sesi, identiti atau sumber akan menyekat tindakan dengan serta-merta. Tiada gabungan kebenaran benarkan boleh mengatasinya. Apabila menganalisis sesuatu situasi, cari sebarang penafian nyata terlebih dahulu; jika ditemui, jawapannya ialah ditolak.

Dasar berasaskan sumber boleh memberikan akses dalam akaun yang sama secara bebas daripada dasar identiti, tetapi SCP masih mengehadkan akaun prinsipal tersebut. Untuk akses merentas akaun, kawalan kedua-dua akaun dan dasar pada kedua-dua pihak terpakai. Peraturan persilangan menjadi lebih luas, tetapi idea terasnya kekal: setiap had yang terpakai mesti membenarkan tindakan.

Apabila akses gagal tanpa diduga dalam organisasi, semak dari luar ke dalam: sahkan bahawa dasar identiti memberikan kebenaran untuk tindakan tersebut, kemudian semak sempadan kebenaran, selepas itu SCP pada akaun dan setiap OU induk, kemudian sebarang dasar sesi, dan akhirnya cari penafian nyata pada semua lapisan. Had pertama yang tidak menyertakan tindakan tersebut, atau sebarang penafian, ialah puncanya.

SCP dan IAM bergabung melalui persilangan: sesuatu tindakan memerlukan kebenaran daripada kedua-duanya, serta sebarang had sempadan dan sesi, tanpa penafian nyata di mana-mana. SCP dan sempadan hanya mengehadkan; dasar IAM memberikan kebenaran. Untuk membenarkan sesuatu tindakan, setiap had mesti membenarkannya dan sekurang-kurangnya satu pemberian kebenaran mesti wujud.

SCP dan IAM bergabung melalui persilangan: sesuatu tindakan hanya dibenarkan jika kedua-duanya membenarkannya, serta sebarang had sempadan kebenaran dan dasar sesi, tanpa penafian nyata di mana-mana. SCP dan sempadan hanya mengehadkan; dasar IAM memberikan kebenaran. Penafian nyata pada mana-mana lapisan sentiasa mengatasi semua kebenaran benarkan.