IAM-rollen en policies

Een IAM role is een AWS-identiteit met machtigingsbeleidsregels die bepalen wat de identiteit in AWS mag doen. De role is bedoeld om te worden aangenomen door:

• Een AWS-service (bijvoorbeeld een EC2-instantie of Lambda-functie).
• Een AWS-account (voor toegang tussen accounts).
• Een externe identiteitsprovider (zoals je bedrijfsdirectory).

Roles bieden tijdelijke, fijnmazige toegang en verbeteren de beveiliging doordat statische inloggegevens niet nodig zijn.

Elke IAM role heeft een Trust Policy (ook wel een 'assume role policy' genoemd). Dit beleid bepaalt wie of wat de role mag aannemen.

Als je bijvoorbeeld wilt dat een EC2-instantie een role aanneemt, geeft het vertrouwensbeleid de EC2-service op als vertrouwde entiteit. Dit is de eerste beveiligingslaag voor roles.

Zodra een role is aangenomen, worden de acties ervan bepaald door Permissions Policies. Deze beleidsregels bepalen welke acties de role mag uitvoeren (of niet mag uitvoeren) op welke AWS-resources.

Dit zijn op identiteiten gebaseerde beleidsregels, geschreven in JSON-indeling en rechtstreeks aan de role gekoppeld.

IAM-beleidsregels zijn gestructureerde JSON-documenten. Dit is een veelgebruikte structuur:

• Version: De versie van de beleidstaal.
• Statement: Een array met afzonderlijke machtigingsverklaringen.
• Effect: Of de verklaring toegang met Allow toestaat of met Deny weigert.
• Action: De specifieke AWS API-aanroepen die zijn toegestaan of geweigerd (bijvoorbeeld s3:GetObject).
• Resource: De AWS-resources waarop de actie van toepassing is (bijvoorbeeld arn:aws:s3:::my-bucket/*).

Machtigingsbeleid kan als volgt worden ingedeeld:

• AWS Managed Policies: Gemaakt en beheerd door AWS (bijvoorbeeld AmazonS3ReadOnlyAccess). Eenvoudig in gebruik, maar breed.
• Customer Managed Policies: Door jou gemaakt en beheerd. Bieden fijnmazige controle en herbruikbaarheid.
• Inline Policies: Rechtstreeks ingebed in één IAM-identiteit (gebruiker, groep of role). Niet herbruikbaar en worden verwijderd met de identiteit.

Voor roles hebben customer managed policies vaak de voorkeur vanwege de balans tussen controle en herbruikbaarheid.

Stel dat je een EC2-instantie hebt die bestanden uit een S3-bucket moet lezen.

In plaats van AWS-inloggegevens op de EC2-instantie op te slaan (een beveiligingsrisico!), maak je een IAM role met machtigingen om uit S3 te lezen. De EC2-service wordt dan vermeld in het vertrouwensbeleid van de role.

Wanneer de EC2-instantie wordt gestart, koppel je deze role eraan. De instantie kan de role vervolgens aannemen en tijdelijke inloggegevens krijgen om veilig toegang te krijgen tot S3.

Zo maximaliseer je de beveiliging en efficiëntie van IAM Roles:

• Principe van minimale machtigingen: Geef een role alleen de machtigingen die absoluut noodzakelijk zijn om de taak uit te voeren.
• Regelmatige controle: Controleer je roles en de gekoppelde beleidsregels regelmatig om te garanderen dat ze nog steeds aan de huidige behoeften voldoen.
• Gebruik roles in plaats van statische inloggegevens: Geef voor AWS-services of toegang tussen accounts altijd de voorkeur aan roles boven het opnemen van toegangssleutels.
• Zinvolle naamgeving: Gebruik duidelijke, beschrijvende namen voor je roles en beleidsregels.

Goed gedaan! In deze les hebben we IAM Roles en Policies verkend. Je hebt geleerd:

• IAM roles maken veilige, tijdelijke toegang voor services en accounts mogelijk.
• Trust Policies bepalen wie een role kan aannemen.
• Permissions Policies bepalen welke acties een aangenomen role kan uitvoeren.
• Beleidsregels zijn JSON-documenten die effecten, acties en resources specificeren.
• Best practices zijn onder andere minimale machtigingen en controle.

IAM roles beheersen is een belangrijke stap bij het bouwen van robuuste en veilige applicaties op AWS. Blijf oefenen!