Sammenligne IAM-brukere og -grupper

AWS Identity and Access Management (IAM) er tjenesten som styrer hvem som kan gjøre hva i kontoen din. To av de mest grunnleggende byggesteinene er brukere og grupper. En bruker er en permanent identitet knyttet til en person eller applikasjon, mens en gruppe bare er en beholder som samler brukere slik at de deler de samme tillatelsene. Å forstå forskjellen er grunnlaget for alt annet på eksamen.

En IAM-bruker er en langsiktig identitet med et navn som er unikt i kontoen din. Den kan ha to typer legitimasjon:

• Et konsollpassord for pålogging via nettet.
• Tilgangsnøkler (en tilgangsnøkkel-ID og en hemmelig nøkkel) for programmatisk bruk av API-er og CLI-kall.

Fordi denne legitimasjonen har lang levetid, anser AWS den som en større risiko. Beste praksis er å foretrekke roller og midlertidig legitimasjon fremfor å opprette mange brukere med permanente nøkler.

En IAM-gruppe er en samling brukere som deler tillatelser gjennom tilknyttede policyer. Grupper gjør tilgangsadministrasjon skalerbar: I stedet for å knytte den samme policyen til ti utviklere, knytter du den én gang til gruppen «Developers» og legger brukerne til i gruppen. Dette er viktige fakta som eksamen forventer at du kjenner:

• En gruppe har ingen legitimasjon og kan ikke være en prinsipal i en policy.
• En bruker kan tilhøre flere grupper.
• Grupper kan ikke nestes i andre grupper.

Når en bruker sender en forespørsel, kombinerer IAM alle policyene som gjelder: de som er knyttet direkte til brukeren, samt de som er knyttet til hver gruppe brukeren tilhører. Resultatet er unionen av alle tillatte handlinger, med mindre det finnes et eksplisitt avslag et sted. Gruppemedlemskap kan derfor bare legge til tillatelser, aldri trekke dem fra, bortsett fra gjennom en eksplisitt deny-setning.

Håndtering av tillatelser per bruker inviterer til konfigurasjonsavvik: Over tid får hver bruker et litt forskjellig og vanskelig reviderbart sett med policyer. Grupper sentraliserer tillatelsene, slik at én policyendring gjelder konsekvent for alle i en rolle. For en revisor er det langt enklere å liste opp hvem som tilhører gruppen «Admins», enn å undersøke dusinvis av individuelle brukere én etter én.

Du kan kontrollere medlemskap fra CLI for å revidere hvem som har utvidet tilgang. Kommandoen nedenfor lister alle brukere i en gruppe, noe som ofte er et første steg når man undersøker et funn om for omfattende tilgang.

Ikke forveksle IAM-brukere med root-brukeren. Root-brukeren er kontoeieridentiteten som opprettes når kontoen åpnes, og har ubegrenset tilgang som ikke kan begrenses av IAM-policyer. AWS anbefaler på det sterkeste at du låser inn root-legitimasjonen, aktiverer multifaktorautentisering (MFA) for den og aldri bruker den til daglig arbeid. Opprett individuelle IAM-brukere, eller bruk enda bedre federering.

Alle IAM-brukere bør ha MFA aktivert. Det krever en ekstra faktor, for eksempel en maskinvarenøkkel eller autentiseringsapp, i tillegg til passordet. Du kan håndheve MFA gjennom policybetingelser som aws:MultiFactorAuthPresent. Eksamen tester ofte bruk av MFA for å beskytte sensitive operasjoner, som å slette ressurser eller endre sikkerhetsinnstillinger.

En vanlig feil er å opprette IAM-brukere med statiske tilgangsnøkler for applikasjoner som kjører på EC2 (Elastic Compute Cloud). Da bygges langsiktige hemmeligheter inn i applikasjonen, og de kan lekke. Det sikre mønsteret er en IAM-rolle som er knyttet til instansen, og dette dekker vi i neste del. For menneskelige team bør De foretrekke føderering med IAM Identity Center fremfor individuelt administrerte brukere.

IAM-legitimasjonsrapporten er en nedlastbar CSV-fil som viser alle brukere, når passordet og tilgangsnøklene deres sist ble brukt, og om MFA er aktivert. Sammen med IAM Access Analyzer og data om sist brukte tilgang hjelper den Dem med å finne foreldede brukere, ubrukte nøkler og grupper med for brede tillatelser. Regelmessig gjennomgang er en sentral del av god praksis for minste privilegium, noe eksamen belønner.

Bruk brukere når De trenger en separat identitet med legitimasjon for en person eller en eldre applikasjon. Bruk grupper for å tildele felles tillatelser på en ryddig måte og unngå avvik mellom enkeltbrukere. I moderne utforminger begrenser man antallet permanente brukere mest mulig og bruker roller for arbeidsbelastninger og føderering for mennesker. Brukere og grupper er fortsatt viktig terminologi, men de er utgangspunktet – ikke målet.

De har lært at en IAM-bruker er en identitet med langsiktig legitimasjon, mens en IAM-gruppe er en beholder uten legitimasjon som samler brukere slik at de kan dele policyer. Tillatelsene er foreningen av bruker- og gruppepolicyer, grupper kan ikke nestes, og rotbrukeren bør låses bort med MFA. Foretrekk roller for arbeidsbelastninger og føderering for mennesker for å unngå langsiktige hemmeligheter og konfigurasjonsavvik.