Porównanie użytkowników i grup IAM

AWS Identity and Access Management (IAM) to usługa, która kontroluje, kto może robić co na Państwa koncie. Dwa z jej najbardziej podstawowych elementów to użytkownicy i grupy. Użytkownik jest trwałą tożsamością powiązaną z osobą lub aplikacją, natomiast grupa jest po prostu kontenerem łączącym użytkowników, aby mieli te same uprawnienia. Zrozumienie tej różnicy stanowi podstawę wszystkich pozostałych zagadnień na egzaminie.

Użytkownik IAM to długoterminowa tożsamość o nazwie unikatowej w ramach konta. Może mieć dwa rodzaje danych uwierzytelniających:

• Hasło do konsoli służące do logowania się przez Internet.
• Klucze dostępu (identyfikator klucza dostępu i klucz tajny) do programistycznych wywołań API i CLI.

Ponieważ te dane uwierzytelniające są długotrwałe, AWS traktuje je jako bardziej ryzykowne. Najlepszą praktyką jest preferowanie ról i tymczasowych danych uwierzytelniających zamiast tworzenia wielu użytkowników ze stałymi kluczami.

Grupa IAM to zbiór użytkowników współdzielących uprawnienia za pośrednictwem dołączonych zasad. Grupy ułatwiają skalowalne zarządzanie dostępem: zamiast dołączać tę samą zasadę do dziesięciu deweloperów, dołącza się ją raz do grupy "Developers" i dodaje do niej użytkowników. Najważniejsze informacje wymagane na egzaminie:

• Grupa nie ma danych uwierzytelniających i nie może być podmiotem w zasadzie.
• Użytkownik może należeć do wielu grup.
• Grup nie można zagnieżdżać w innych grupach.

Gdy użytkownik wysyła żądanie, IAM łączy wszystkie mające zastosowanie zasady: te dołączone bezpośrednio do użytkownika oraz te dołączone do każdej grupy, do której użytkownik należy. Wynikiem jest unia wszystkich dozwolonych działań, chyba że w dowolnym miejscu występuje jawna odmowa. Oznacza to, że członkostwo w grupie zawsze tylko dodaje uprawnienia, nigdy ich nie odbiera, z wyjątkiem sytuacji, gdy zastosowano instrukcję jawnej odmowy.

Zarządzanie uprawnieniami osobno dla każdego użytkownika sprzyja rozbieżnościom konfiguracji: z czasem każdy użytkownik gromadzi nieco inny, trudny do skontrolowania zestaw zasad. Grupy centralizują uprawnienia, więc pojedyncza zmiana zasady jest spójnie stosowana do wszystkich osób pełniących daną rolę. Dla audytora sprawdzenie, kto należy do grupy "Admins", jest znacznie łatwiejsze niż kontrolowanie dziesiątek użytkowników indywidualnie.

Można sprawdzić członkostwo z poziomu CLI, aby skontrolować, kto ma podwyższony dostęp. Poniższe polecenie wyświetla każdego użytkownika należącego do grupy, co jest częstym pierwszym krokiem podczas reagowania na ustalenie dotyczące nadmiernych uprawnień.

Nie należy mylić użytkowników IAM z użytkownikiem root. Użytkownik root jest tożsamością właściciela konta utworzoną podczas zakładania konta i ma nieograniczony dostęp, którego nie można ograniczyć zasadami IAM. AWS zdecydowanie zaleca zabezpieczenie danych uwierzytelniających użytkownika root, włączenie dla niego uwierzytelniania wieloskładnikowego (MFA) oraz nieużywanie go do codziennej pracy. Zamiast tego należy utworzyć indywidualnych użytkowników IAM (a jeszcze lepiej — używać federacji).

Każdy użytkownik IAM powinien mieć włączone MFA, które oprócz hasła wymaga drugiego składnika, takiego jak klucz sprzętowy lub aplikacja uwierzytelniająca. MFA można wymusić za pomocą warunków zasad, takich jak aws:MultiFactorAuthPresent. Na egzaminie często sprawdzana jest znajomość używania MFA do ochrony poufnych operacji, takich jak usuwanie zasobów lub zmiana ustawień bezpieczeństwa.

Częstym błędem jest tworzenie użytkowników IAM ze statycznymi kluczami dostępu dla aplikacji działających na EC2 (Elastic Compute Cloud). W ten sposób w aplikacji umieszczane są długoterminowe dane uwierzytelniające, które mogą wyciec. Bezpiecznym rozwiązaniem jest rola IAM przypisana do instancji, co omówimy w dalszej części. W przypadku zespołów złożonych z użytkowników preferowana jest federacja za pomocą IAM Identity Center zamiast oddzielnie zarządzanych użytkowników.

Raport danych uwierzytelniających IAM to plik CSV, który można pobrać i który zawiera listę każdego użytkownika, informacje o ostatnim użyciu jego hasła i kluczy dostępu oraz informację, czy jest aktywne MFA. W połączeniu z IAM Access Analyzer i danymi o ostatnim dostępie pomaga znaleźć nieużywanych użytkowników, nieużywane klucze oraz grupy o zbyt szerokich uprawnieniach. Regularny przegląd jest podstawowym elementem dbałości o zasadę najmniejszych uprawnień, co jest punktowane na egzaminie.

Proszę używać użytkowników, gdy potrzebują Państwo odrębnej tożsamości z danymi uwierzytelniającymi dla osoby lub starszej aplikacji. Grupy służą do przejrzystego przypisywania wspólnych uprawnień i unikania rozbieżności między użytkownikami. W nowoczesnych rozwiązaniach całkowicie ogranicza się użytkowników stałych, polegając na rolach w przypadku obciążeń oraz na federacji w przypadku ludzi. Użytkownicy i grupy pozostają podstawowymi pojęciami, ale są punktem wyjścia, a nie celem.

Proszę sprawdzić swoją wiedzę na temat użytkowników i grup.

Dowiedzieli się Państwo, że użytkownik IAM to tożsamość z długoterminowymi danymi uwierzytelniającymi, natomiast grupa IAM to kontener bez danych uwierzytelniających, który łączy użytkowników w celu współdzielenia zasad. Uprawnienia stanowią sumę zasad użytkownika i grupy, grup nie można zagnieżdżać, a użytkownik root powinien być zabezpieczony i używać MFA. W przypadku obciążeń należy preferować role, a w przypadku ludzi federację, aby unikać długotrwałych danych uwierzytelniających i rozbieżności w konfiguracji.