Czym naprawdę jest rola IAM

Rola IAM to tożsamość, którą można przyjąć, aby otrzymać określony zestaw uprawnień, ale w przeciwieństwie do użytkownika nie ma ona stałych danych uwierzytelniających. Zamiast tego, gdy jednostka przyjmuje rolę, AWS wydaje tymczasowe dane uwierzytelniające zabezpieczeń, które wygasają po określonym czasie. Role to bezpieczny, nowoczesny sposób przyznawania dostępu w AWS i często pojawiają się na egzaminie SCS-C02.

Każda rola składa się z dwóch części dotyczących zasad:

• Zasada zaufania (zwana również zasadą przyjmowania roli) określa, kto może przyjąć rolę.
• Jedna lub więcej zasad uprawnień określa, co rola może robić po jej przyjęciu.

To rozdzielenie stanowi podstawę bezpiecznej delegacji z użyciem ról: oddzielnie określają Państwo, kto może pożyczyć daną tożsamość, i co ta tożsamość może robić.

Po przyjęciu roli Security Token Service (STS) wydaje zestaw danych uwierzytelniających zawierający identyfikator klucza dostępu, klucz tajny oraz token sesji, ważne przez ograniczony czas (od 15 minut do 12 godzin). Ponieważ wygasają automatycznie, wyciek tymczasowych danych uwierzytelniających szybko pozbawia je użyteczności, co znacznie ogranicza ryzyko w porównaniu z długoterminowymi kluczami dostępu.

Zasada zaufania zawiera listę podmiotów głównych, które mogą przyjąć rolę. Mogą to być:

• Usługa AWS (taka jak EC2 lub Lambda), aby nadać obciążeniu tożsamość.
• Użytkownik lub rola IAM na tym samym koncie albo na innym koncie, w celu uzyskania dostępu między kontami.
• Tożsamość sfederowana od dostawcy SAML lub OIDC.

Jeśli podmiot główny nie został wymieniony w zasadzie zaufania, nigdy nie będzie mógł przyjąć roli, niezależnie od tego, na co pozwalają zasady uprawnień.

Najczęstszym zastosowaniem jest umożliwienie usłudze AWS działania w Państwa imieniu. Na przykład instancja EC2 z przypisaną rolą może wywoływać S3 bez osadzonych kluczy, a AWS automatycznie odnawia dane uwierzytelniające w tle. Na egzaminie należy rozpoznać, że role usług eliminują statyczne dane uwierzytelniające z aplikacji.

Poniżej przedstawiono fragment zasady zaufania zezwalającej usłudze EC2 na przyjęcie roli. Element Principal wskazuje, kto może ją przyjąć, a działaniem jest zawsze sts:AssumeRole.

Role doskonale sprawdzają się w przypadku dostępu między kontami. Konto A tworzy rolę, ufając kontu B; podmiot główny na koncie B przyjmuje ją i otrzymuje tymczasowe dane uwierzytelniające umożliwiające działanie na koncie A. Klucze nie są współdzielone, zakres dostępu określa zasada uprawnień, a każda ze stron może w dowolnym momencie odwołać zaufanie. Jest to zalecana alternatywa dla przekazywania długoterminowych kluczy między kontami.

Tożsamości zewnętrzne, takie jak użytkownicy firmowi uwierzytelniani za pośrednictwem SAML lub użytkownicy aplikacji korzystający z federacji tożsamości internetowej, również przyjmują role. Dostawca tożsamości weryfikuje użytkownika, a następnie AWS wydaje tymczasowe dane uwierzytelniające powiązane z rolą. Oznacza to, że ludzie w ogóle nie potrzebują użytkowników IAM — wystarczy zweryfikowana tożsamość mapowana na rolę.

Największą korzyścią z zastosowania ról w zakresie bezpieczeństwa jest brak stałych danych uwierzytelniających, które można ukraść, wymagać ich rotacji lub przypadkowo zatwierdzić w repozytorium kodu. Uprawnienia istnieją wyłącznie w ramach tymczasowej sesji. Jest to zgodne z zasadą najmniejszych uprawnień w czasie: dostęp jest przyznawany tylko wtedy, gdy jest potrzebny, i samoczynnie wygasa.

Warto zwrócić uwagę na subtelny szczegół: możliwość przyjęcia roli daje Państwu wyłącznie uprawnienia tej roli, a nie połączenie własnych uprawnień z uprawnieniami roli. Po przyjęciu roli przyjmują Państwo nową tożsamość. Państwa pierwotne uprawnienia zostają odłożone na czas tej sesji, dlatego projekt roli musi uwzględniać wszystko, czego wymaga dane zadanie.

Po rolę należy sięgać zawsze, gdy obciążenie potrzebuje dostępu do AWS, gdy jedno konto musi działać na innym koncie lub gdy ludzie uwierzytelniają się za pośrednictwem zewnętrznego dostawcy. Role są odpowiedzią na niemal każde egzaminacyjne pytanie w rodzaju „jak przyznać dostęp bez długoterminowych kluczy”. Łączą zasadę zaufania (kto) z zasadami uprawnień (co), zapewniając bezpieczny, tymczasowy i możliwy do audytowania dostęp.

Proszę sprawdzić swoje rozumienie ról.

Rola IAM to tożsamość bez danych uwierzytelniających, przyjmowana w celu uzyskania tymczasowych uprawnień z STS. Łączy ona zasadę zaufania (kto może ją przyjąć) z zasadami uprawnień (co może robić). Role umożliwiają dostęp usług, delegowanie między kontami i federację, eliminując długoterminowe dane uwierzytelniające. Przyjęcie roli zastępuje na czas sesji Państwa tożsamość tożsamością roli.