Zasady sesji i określanie zakresu za pomocą tagów

Czasami chcą Państwo przyznać rolę, ale ograniczyć zakres działań konkretnej sesji bez modyfikowania samej roli. Polityki sesji i tagi sesji pozwalają zmniejszyć zakres uprawnień dokładnie w chwili przyjęcia roli. Te zaawansowane funkcje STS umożliwiają precyzyjne i skalowalne stosowanie zasady najmniejszych uprawnień, co jest wysoko oceniane na egzaminie.

Polityka sesji to zaszyta lub zarządzana polityka przekazywana do AssumeRole (za pośrednictwem Policy lub PolicyArns). Nie nadaje nowych uprawnień — może jedynie filtrować istniejące uprawnienia roli na potrzeby danej sesji. Efektywne uprawnienia są częścią wspólną polityk roli i polityki sesji.

Ponieważ wynikiem jest część wspólna, polityka sesji nigdy nie może pozwolić sesji na więcej, niż już zezwala rola. Jeśli rola przyznaje s3:*, ale polityka sesji zezwala tylko na s3:GetObject, sesja może jedynie pobierać obiekty. Dzięki temu polityki sesji są bezpiecznym sposobem udostępniania ograniczonego wycinka szerszej roli.

Częste zastosowanie wygląda następująco: jedno rozbudowane uprawnieniami konto jest przyjmowane przez narzędzie orkiestracji, które dla każdego zadania dołącza politykę sesji ograniczającą to zadanie do jednego zasobnika lub jednej grupy zasobów. Każda sesja ma ściśle określony zakres, mimo że bazowa rola jest szeroka. Pozwala to uniknąć tworzenia dziesiątek precyzyjnie dostosowanych ról.

Ten fragment CLI pokazuje przekazanie zaszytej polityki sesji, która dodatkowo ogranicza zakres sesji. Rola musi już zezwalać na te działania, aby mogły one zostać wykonane.

Tagi sesji to atrybuty typu klucz-wartość dołączane do sesji w chwili wywołania AssumeRole. Przekazane za pomocą parametru Tags stają się częścią kontekstu żądania i mogą być odczytywane w politykach za pośrednictwem aws:PrincipalTag. Tagi sesji przenoszą informacje o tym, kto przyjmuje rolę, do każdej decyzji autoryzacyjnej.

Tagi sesji stanowią podstawę kontroli dostępu opartej na atrybutach (ABAC) dla przyjętych ról. Polityka może wymagać, aby aws:PrincipalTag/Project sesji było równe aws:ResourceTag/Project zasobu, przyznając dostęp tylko wtedy, gdy tagi projektu są zgodne. Jedna polityka może wówczas obsługiwać wiele projektów i łatwo skalować się wraz z ich liczbą.

Podczas łańcuchowania ról zwykłe tagi sesji nie są przekazywane dalej. Oznaczenie tagu jako tranzytywnego sprawia, że jest on zachowywany przy kolejnych przyjęciach ról w łańcuchu. Dzięki temu atrybuty, takie jak dział pierwotnego użytkownika, podążają za tożsamością przez kolejne przeskoki, co jest ważne dla spójnego działania ABAC.

Przekazywanie tagów sesji wymaga uprawnienia sts:TagSession oprócz sts:AssumeRole. Polityka zaufania może także ograniczać dozwolone klucze lub wartości tagów. Kontrolowanie tego, kto może ustawiać poszczególne tagi sesji, zapobiega przyznawaniu sobie dostępu przez użytkowników za pomocą samodzielnego przypisywania uprzywilejowanych wartości tagów.

Polityki sesji i tagi sesji współdziałają: tagi wyrażają, kogo reprezentuje sesja na potrzeby dopasowywania ABAC, a polityki sesji ograniczają zakres działań, które sesja może wykonywać. Razem pozwalają, aby jedna szeroka rola bezpiecznie obsługiwała wiele ściśle ograniczonych sesji — to elegancki i skalowalny projekt, na który zwraca uwagę egzamin.

Używaj polityk sesji, aby wykonywać operację intersection i zmniejszać uprawnienia roli dla poszczególnych sesji — nigdy, aby je dodawać. Używaj tagów sesji (z sts:TagSession) do sterowania mechanizmem ABAC za pośrednictwem aws:PrincipalTag, a podczas łańcuchowania oznaczaj tagi jako transitive. Te funkcje STS zapewniają zasadę najmniejszych uprawnień dla poszczególnych sesji przy użyciu niewielkiej liczby wielokrotnego użytku ról.

Sprawdź ograniczanie zakresu sesji.

Polityki sesji przekazywane do AssumeRole wykonują operację intersection z uprawnieniami roli, zmniejszając je, ale nigdy nie rozszerzając. Tagi sesji (wymagające sts:TagSession) zasilają mechanizm ABAC za pośrednictwem aws:PrincipalTag, a tagi transitive zachowują się podczas łańcuchowania ról. Razem umożliwiają stosowanie zasady najmniejszych uprawnień dla poszczególnych sesji przy użyciu kilku wielokrotnego użytku ról.