Budowa dokumentu zasad IAM

W AWS uprawnienia są wyrażane za pomocą zasad: dokumentów JSON, które przyznają lub odmawiają dostępu do działań na zasobach. Biegłe czytanie zasad jest podstawową umiejętnością SCS-C02, ponieważ niemal każde pytanie dotyczące dostępu sprowadza się do tego, na co zasada zezwala, czego zabrania lub czego nie obejmuje. W tej lekcji omówiono jej strukturę krok po kroku.

Zasada zawiera pole Version (należy używać wartości "2012-10-17") oraz element Statement, który może zawierać jedną instrukcję lub ich tablicę. Każda instrukcja jest niezależną regułą. AWS ocenia każdą instrukcję, dlatego jeden dokument może zezwalać na niektóre działania i jednocześnie jawnie odmawiać innych.

Każda instrukcja ma wartość Effect: Allow albo Deny. AWS domyślnie odmawia dostępu: jeśli nie ma pasującego Allow, żądanie zostaje odrzucone. Pasujący Deny zawsze ma pierwszeństwo przed Allow. Rozpoznanie wartości Effect każdej instrukcji to pierwsza rzecz, którą należy sprawdzić podczas analizowania dostępu.

Element Action zawiera operacje API, do których odnosi się instrukcja, zapisane w formacie service:operation, na przykład s3:GetObject. Dozwolone są symbole wieloznaczne, takie jak s3:* lub s3:Get*. Odwrotny element, NotAction, dopasowuje każdą akcję z wyjątkiem wymienionych i łatwo użyć go nieprawidłowo, dlatego na egzaminie jest dokładnie sprawdzany.

Element Resource określa zasoby, do których odnoszą się działania, za pomocą ARN (Amazon Resource Names). Może to być na przykład konkretny bucket i jego obiekty. Wartość "*" oznacza wszystkie zasoby. NotResource dopasowuje wszystko poza wymienionymi ARN-ami. Ścisłe ograniczanie zakresu zasobów ma kluczowe znaczenie dla zasady najmniejszych uprawnień.

Ta zasada tożsamości zezwala wyłącznie na odczyt obiektów z jednego bucketa. Należy zwrócić uwagę na działanie, konkretny ARN na poziomie obiektu oraz jawnie określony efekt Allow.

Opcjonalny blok Condition ogranicza sytuacje, w których instrukcja ma zastosowanie, za pomocą kluczy kontekstowych i operatorów. Można na przykład zezwolić na dostęp tylko wtedy, gdy żądanie korzysta z TLS (aws:SecureTransport) lub pochodzi ze znanego adresu IP. Warunki umożliwiają precyzyjną kontrolę uwzględniającą kontekst, wykraczającą poza samo określenie działania i zasobu.

Zasady oparte na tożsamości nie zawierają elementu Principal, ponieważ są już dołączone do podmiotu. Zasady oparte na zasobach (takie jak zasada bucketa S3) zawierają Principal, aby określić, kogo dotyczy reguła. Sprawdzenie, czy zasada zawiera Principal, pozwala ustalić, jaki jej typ jest analizowany.

Symbole wieloznaczne, takie jak "Action": "*" i "Resource": "*" użyte razem, przyznają pełny dostęp administracyjny. Na egzaminie często pojawia się nadmiernie liberalna zasada, którą należy zaostrzyć. Naprawa polega na zastąpieniu symboli wieloznacznych konkretnymi działaniami i ARN-ami oraz zastosowaniu zasady najmniejszych uprawnień.

ARN ma postać arn:partition:service:region:account:resource. W niektórych usługach pomija się region lub konto (S3 pomija oba w części dotyczącej bucketa). Precyzyjne odczytywanie ARN-ów pozwala ustalić, czy zasada dotyczy jednego zasobu, jednego konta czy wszystkiego, co bezpośrednio wpływa na zakres przyznanego dostępu.

Aby przeanalizować dowolną zasadę: należy sprawdzić Effect, odczytać Action (zwracając uwagę na NotAction i symbole wieloznaczne), określić zakres Resource (zwracając uwagę na "*") oraz sprawdzić ewentualny Condition. Należy pamiętać, że jawna odmowa ma pierwszeństwo przed zezwoleniem, a domyślnym zachowaniem jest odmowa. Dzięki praktyce można w kilka sekund ocenić rzeczywisty zasięg zasady — dokładnie tego wymaga egzamin.

Sprawdź umiejętność czytania zasad.

Zasada IAM to dokument JSON zawierający Version i tablicę Statement. Każda instrukcja ma Effect (Allow/Deny), Action (lub NotAction), Resource określający zasoby za pomocą ARN-ów (lub NotResource) oraz opcjonalny Condition. Zasady oparte na zasobach dodają element Principal. Odmowa jest domyślna, jawna odmowa zawsze ma pierwszeństwo, a symbole wieloznaczne wskazują na nadmierne uprawnienia, które należy ograniczyć.