Zakres ograniczany przez Permission Boundary

Granica uprawnień (permission boundary) to zaawansowana funkcja IAM, która ustala maksymalny zakres uprawnień, jaki użytkownik lub rola mogą kiedykolwiek mieć. Sama niczego nie przyznaje — ogranicza to, co polityki oparte na tożsamości mogą faktycznie zezwolić. Granice uprawnień są częstym tematem egzaminacyjnym, ponieważ umożliwiają bezpieczne delegowanie zarządzania uprawnieniami.

Polityka oparta na tożsamości przyznaje uprawnienia, a granica uprawnień je ogranicza. Efektywne uprawnienia stanowią intersection obu elementów: działanie jest dozwolone tylko wtedy, gdy zezwalają na nie zarówno polityka tożsamości, jak i granica. Granica może zmniejszyć zakres uprawnień przyznanych przez politykę tożsamości, ale nigdy go nie rozszerzy.

Załóżmy, że polityka tożsamości użytkownika zezwala na pełny dostęp do S3 i EC2, ale jego granica uprawnień zezwala tylko na S3. Użytkownik może wykonywać wyłącznie działania w S3, ponieważ granica wyznacza górny limit. Po usunięciu granicy uprawnienia do EC2 znów stają się efektywne. Granica dyskretnie wymusza maksymalny zakres uprawnień.

Ta polityka granicy zezwala tylko na działania w S3 i CloudWatch. Niezależnie od zapisów polityki tożsamości użytkownik nigdy nie uzyska dostępu wykraczającego poza te usługi.

Głównym zastosowaniem jest bezpieczne delegowanie. Chcą Państwo umożliwić deweloperom tworzenie własnych ról IAM, ale obawiają się Państwo przyznania przez nich nadmiernych uprawnień. Wymagając, aby każda utworzona przez nich rola miała granicę uprawnień, gwarantują Państwo, że role te nigdy nie przekroczą granicy, niezależnie od szerokiego zakresu dołączonej polityki.

Zarówno granice, jak i SCP ograniczają uprawnienia, ale różnią się zakresem. Granica uprawnień dotyczy pojedynczego użytkownika lub roli i jest ustawiana w IAM. SCP dotyczy całych kont w organizacji. Egzamin sprawdza, czy potrafią Państwo wybrać właściwe narzędzie: dla pojedynczej tożsamości należy użyć granicy, a dla całego konta — SCP.

W procesie oceny jawne Deny nadal ma pierwszeństwo przed wszystkim, w tym przed granicami. W pozostałych przypadkach granica działa jak górny limit: działanie wymaga zezwolenia Allow zarówno w polityce tożsamości, jak i w granicy. W niektórych przypadkach polityki oparte na zasobach mogą przyznawać dostęp niezależnie od granicy — to niuans, o którym warto pamiętać.

Częstym błędnym przekonaniem jest to, że dodanie działania do granicy przyznaje do niego uprawnienia. Tak nie jest. Jeśli polityka tożsamości nie zawiera danego uprawnienia, zezwolenie na nie w granicy nie ma żadnego skutku. Polityka tożsamości musi przyznawać uprawnienie, a granica musi dodatkowo na nie zezwalać, aby działanie zakończyło się powodzeniem.

To niuans sprawdzany na egzaminie: granice uprawnień ograniczają działania, które polityki oparte na tożsamości mogą wykonywać w imieniu podmiotu, ale w niektórych przypadkach nie ograniczają dostępu przyznanego temu podmiotowi przez politykę opartą na zasobach. Rola ograniczona przez granicę do S3 może więc nadal otrzymać dostęp do SQS za pośrednictwem polityki kolejki. Projektując rozwiązanie, należy uwzględnić tę lukę.

Aby wymusić dołączanie granicy przez delegowane podmioty, należy napisać politykę uprawnień z condition, która wymaga, aby iam:PermissionsBoundary była równa określonemu ARN granicy dla każdej tworzonej roli. Uniemożliwia to deweloperowi tworzenie ról bez zabezpieczenia i zamyka lukę w delegowaniu.

Granica uprawnień wyznacza maksymalny zakres uprawnień pojedynczego użytkownika lub roli: efektywny dostęp stanowi intersection granicy i polityki tożsamości. Sama granica nigdy niczego nie przyznaje. Jej głównym zastosowaniem jest bezpieczne delegowanie tworzenia ról IAM, wymuszane przez warunek iam:PermissionsBoundary.

Sprawdź działanie granic uprawnień.

Granica uprawnień ustala maksymalny zakres uprawnień pojedynczego użytkownika lub roli, a efektywny dostęp stanowi intersection granicy i polityki tożsamości. Sama niczego nie przyznaje, a jawne odmówienie nadal ma pierwszeństwo. Jej głównym zastosowaniem jest bezpieczne delegowanie, wymuszane za pomocą warunku iam:PermissionsBoundary.