Przebieg oceny zasad

Gdy dowolne żądanie dociera do AWS, silnik IAM wykonuje precyzyjny proces oceny, aby zdecydować, czy zezwolić na dostęp, czy go odmówić. Zapamiętanie tej kolejności jest jedną z najbardziej wartościowych rzeczy, które można zrobić przed egzaminem SCS-C02, ponieważ podchwytliwe pytania sytuacyjne zależą od tego, który typ zasady ma pierwszeństwo, gdy jednocześnie obowiązuje kilka zasad.

Punktem wyjścia jest zawsze niejawna odmowa. Jeśli żadna reguła w procesie oceny nie przyznaje dostępu, żądanie zostaje odrzucone. Zasada odmowy domyślnej oznacza, że aby działanie zakończyło się powodzeniem, należy w którymś miejscu jawnie je dopuścić; brak decyzji oznacza odmowę.

Najważniejsza zasada brzmi: jawna odmowa w dowolnej mającej zastosowanie polityce przeważa nad każdą regułą Allow. Niezależnie od tego, ile instrukcji zezwala na dane działanie, jedna pasująca reguła Deny je blokuje. W ten sposób mechanizmy ochronne i SCP wymuszają twarde ograniczenia, których polityki niższego poziomu nie mogą obejść.

AWS ocenia uprawnienia w następującej kolejności: 1) sprawdza jawną odmowę w dowolnej polityce (SCP, granicach uprawnień, polityce tożsamości, zasobów lub sesji) — jeśli ją znajdzie, odmawia dostępu. 2) Jeśli ma zastosowanie SCP, a nie zezwala ona na działanie, następuje odmowa. 3) Sprawdza granice uprawnień, polityki sesji oraz polityki tożsamości i zasobów pod kątem reguły Allow. Każda luka skutkuje niejawną odmową.

Service Control Policies (SCP) w AWS Organizations określają maksymalne uprawnienia konta. Aby działanie zakończyło się powodzeniem, musi być dozwolone zarówno przez SCP, jak i przez politykę IAM. SCP same w sobie nigdy nie przyznają dostępu — jedynie go ograniczają lub odmawiają. Jeśli SCP nie zezwala na dane działanie, żadna reguła Allow w IAM tego nie zmieni.

Granica uprawnień to zaawansowana polityka określająca maksymalne uprawnienia konkretnego użytkownika lub roli. Efektywne uprawnienia stanowią część wspólną granicy i polityki tożsamości. Podobnie jak SCP, granica może jedynie ograniczać uprawnienia; nigdy nie rozszerza zakresu przyznanego przez politykę opartą na tożsamości.

Gdy rola zostaje przyjęta wraz z polityką sesji, polityka ta dodatkowo zawęża uprawnienia tylko dla danej sesji. Wynik ponownie stanowi część wspólną: sesja może wykonywać wyłącznie działania dozwolone jednocześnie przez polityki roli i politykę sesji. Polityki sesji umożliwiają ograniczenie zakresu uprawnień w momencie przyjmowania roli.

W przypadku żądań w obrębie tego samego konta reguła Allow oparta na zasobie może przyznać dostęp nawet bez reguły Allow w polityce tożsamości (suma uprawnień). W przypadku dostępu między kontami wymagane są obie reguły. W każdym przypadku jawna odmowa w którejkolwiek z tych polityk ma pierwszeństwo. Polityka zasobu uczestniczy w tym samym ogólnym procesie oceny.

Załóżmy, że polityka tożsamości zezwala na s3:DeleteObject, ale SCP odmawia wszystkich działań s3:Delete* w środowisku produkcyjnym. Wynik: odmowa, ponieważ jawna odmowa w SCP przeważa nad regułą Allow w polityce tożsamości. Odwrotnie, jeśli SCP zezwala na działanie, ale żadna polityka tożsamości go nie przyznaje, również następuje odmowa wynikająca z niejawnej odmowy. Obie warstwy muszą zezwalać na działanie.

W zadaniach egzaminacyjnych nakłada się na siebie SCP, granice uprawnień oraz polityki tożsamości i zasobów, a następnie pyta o wynik. Niezawodna metoda polega na sprawdzeniu w pierwszej kolejności każdej jawnej odmowy, potwierdzeniu, że SCP zezwala na działanie, potwierdzeniu zgody granicy i sesji oraz sprawdzeniu, czy istnieje reguła Allow w polityce tożsamości lub zasobów. Jeśli wszystko się zgadza i nie ma odmowy, odpowiedzią jest zezwolenie.

Zapamiętaj następującą listę kontrolną: (1) Czy istnieje jawna odmowa? Odmów. (2) Czy SCP zezwala? Jeśli nie, odmów. (3) Czy granica lub sesja zezwala? Jeśli nie, odmów. (4) Czy polityka tożsamości lub zasobów zezwala? Jeśli tak i nie ma odmowy, zezwól; w przeciwnym razie zastosuj niejawną odmowę. Stosuj tę procedurę mechanicznie, a nawet pytania dotyczące wielu polityk staną się proste.

Sprawdź przebieg oceny.

Ocena IAM rozpoczyna się od niejawnej odmowy, a jawna odmowa zawsze ma pierwszeństwo. Aby zezwolić na działanie, nigdzie nie może występować jawna odmowa, SCP musi na nie zezwalać, granice uprawnień i polityki sesji (części wspólne) muszą je dopuszczać, a ponadto musi istnieć reguła Allow w polityce tożsamości lub zasobów. SCP i granice jedynie ograniczają uprawnienia — nigdy ich nie przyznają.