Maksud Sebenar Peranan IAM

Peranan IAM ialah identiti yang boleh anda ambil untuk menerima sekumpulan kebenaran, tetapi tidak seperti pengguna, peranan ini tidak mempunyai kelayakan kekal. Sebaliknya, apabila entiti mengambil peranan, AWS mengeluarkan kelayakan keselamatan sementara yang tamat tempoh selepas masa yang ditetapkan. Peranan ialah cara yang selamat dan moden untuk memberikan akses pada AWS, dan sering muncul dalam peperiksaan SCS-C02.

Setiap peranan mempunyai dua bahagian dasar:

• Dasar kepercayaan (juga dipanggil dasar pengambilan peranan) yang menyatakan siapa yang dibenarkan mengambil peranan tersebut.
• Satu atau lebih dasar kebenaran yang menyatakan apa yang boleh dilakukan oleh peranan selepas diambil.

Pemisahan ini ialah teras cara peranan membolehkan pewakilan yang selamat: anda menentukan siapa yang boleh meminjam identiti tersebut dan, secara berasingan, perkara yang boleh dilakukan oleh identiti itu.

Apabila peranan diambil, Security Token Service (STS) mengeluarkan set kelayakan yang mengandungi ID kunci akses, kunci rahsia dan token sesi, semuanya sah untuk tempoh terhad (15 minit hingga 12 jam). Oleh sebab kelayakan ini tamat tempoh secara automatik, kelayakan sementara yang terbocor menjadi tidak berguna dengan cepat. Ini mengurangkan risiko dengan ketara berbanding kunci akses yang sah untuk tempoh panjang.

Dasar kepercayaan menyenaraikan principal yang boleh mengambil peranan tersebut. Antaranya ialah:

• perkhidmatan AWS (seperti EC2 atau Lambda) untuk memberikan identiti kepada beban kerja.
• pengguna atau peranan IAM dalam akaun yang sama atau akaun lain untuk akses merentas akaun.
• identiti bersekutu daripada penyedia SAML atau OIDC.

Jika sesuatu principal tidak dinamakan dalam dasar kepercayaan, principal itu tidak akan dapat mengambil peranan tersebut, tanpa mengira perkara yang dibenarkan oleh dasar kebenaran.

Penggunaan yang paling biasa ialah membenarkan perkhidmatan AWS bertindak bagi pihak anda. Contohnya, tika EC2 dengan peranan yang dilampirkan boleh memanggil S3 tanpa sebarang kunci yang disematkan; AWS memutar kelayakan itu secara automatik di latar belakang. Peperiksaan mengharapkan anda mengenal pasti bahawa peranan perkhidmatan menghapuskan rahsia statik daripada aplikasi anda.

Di bawah ialah petikan dasar kepercayaan yang membenarkan perkhidmatan EC2 mengambil peranan. Principal mengenal pasti pihak yang boleh mengambilnya, dan tindakan tersebut sentiasa sts:AssumeRole.

Peranan sangat sesuai untuk akses merentas akaun. Akaun A mencipta peranan yang mempercayai Akaun B; principal dalam B mengambilnya dan menerima kelayakan sementara untuk bertindak dalam A. Tiada kunci dikongsi, akses dihadkan oleh dasar kebenaran, dan mana-mana pihak boleh membatalkan kepercayaan pada bila-bila masa. Ini ialah alternatif yang disyorkan berbanding memberikan kunci jangka panjang antara akaun.

Identiti luaran, seperti pengguna korporat yang disahkan melalui SAML atau pengguna aplikasi melalui persekutuan identiti web, turut mengambil peranan. Penyedia identiti mengesahkan pengguna, kemudian AWS mengeluarkan kelayakan sementara yang terikat pada sesuatu peranan. Ini bermakna manusia langsung tidak memerlukan pengguna IAM, sebaliknya hanya identiti yang disahkan dan dipetakan kepada peranan.

Manfaat keselamatan terbesar peranan ialah tiadanya kelayakan yang sentiasa aktif untuk dicuri, diputarkan atau tersilap dihantar ke repositori kod. Kebenaran hanya wujud sebagai sesi sementara. Ini selaras dengan prinsip keistimewaan minimum mengikut masa: akses diberikan hanya apabila diperlukan dan tamat dengan sendiri.

Satu perkara yang agak halus: kebenaran untuk mengambil peranan hanya memberikan anda kebenaran peranan tersebut, bukan kebenaran anda sendiri yang digabungkan dengan kebenaran peranan. Apabila anda mengambil peranan, anda menggunakan identiti baharu. Kebenaran asal anda diketepikan untuk sesi itu, jadi reka bentuk peranan mesti merangkumi semua perkara yang diperlukan oleh tugas tersebut.

Gunakan peranan apabila beban kerja memerlukan akses AWS, apabila satu akaun perlu bertindak dalam akaun lain, atau apabila manusia mengesahkan diri melalui penyedia luaran. Peranan ialah jawapan kepada hampir setiap soalan peperiksaan berbentuk "bagaimanakah saya memberikan akses tanpa kunci jangka panjang". Peranan menggabungkan dasar kepercayaan (siapa) dengan dasar kebenaran (apa) untuk menyediakan akses yang selamat, sementara dan boleh diaudit.

Peranan IAM ialah identiti tanpa kelayakan yang diambil untuk mendapatkan kebenaran sementara daripada STS. Peranan ini menggabungkan dasar kepercayaan (siapa yang boleh mengambilnya) dengan dasar kebenaran (perkara yang boleh dilakukannya). Peranan membolehkan akses perkhidmatan, pewakilan merentas akaun dan persekutuan, sekali gus menghapuskan rahsia jangka panjang. Pengambilan peranan menggantikan identiti anda dengan identiti peranan untuk sesi tersebut.