Анатомия документа политики IAM

В AWS разрешения выражаются с помощью политик — документов JSON, которые разрешают или запрещают доступ к действиям над ресурсами. Свободное чтение политики — важный навык для SCS-C02, поскольку почти любой вопрос о доступе сводится к тому, что политика разрешает, запрещает или не охватывает. В этом уроке ее структура разбирается по частям.

Политика содержит поле Version (используйте "2012-10-17") и элемент Statement, представляющий собой одно утверждение или их массив. Каждое утверждение является независимым правилом. AWS оценивает каждое утверждение, поэтому один документ может одновременно разрешать одни действия и явно запрещать другие.

Каждое утверждение имеет Effect со значением Allow или Deny. В AWS по умолчанию действует запрет: если подходящего Allow нет, запрос отклоняется. Подходящий Deny всегда имеет приоритет над Allow. При анализе доступа сначала определите Effect каждого утверждения.

Элемент Action перечисляет операции API, к которым применяется утверждение, в формате служба:операция, например s3:GetObject. Допускаются подстановочные знаки, например s3:* или s3:Get*. Обратный элемент NotAction соответствует каждому действию, кроме перечисленных, и его легко использовать неправильно, поэтому на экзамене ему уделяется особое внимание.

Элемент Resource указывает ресурсы, к которым применяются действия, используя ARN (имена ресурсов Amazon). Например, конкретную корзину и ее объекты. Значение "*" означает все ресурсы. NotResource соответствует всему, кроме перечисленных ARN. Жесткое ограничение области ресурсов — основа принципа минимально необходимых привилегий.

Эта политика идентичности разрешает только чтение объектов из одной корзины. Обратите внимание на действие, конкретный ARN на уровне объекта и явный эффект Allow.

Необязательный блок Condition ограничивает условия применения утверждения с помощью контекстных ключей и операторов. Например, можно разрешить запрос только при использовании TLS (aws:SecureTransport) или только при обращении с известного IP-адреса. Условия позволяют добавить детализированный контроль с учетом контекста, выходящий за рамки одних действий и ресурсов.

Политики на основе идентичности не содержат элемент Principal, поскольку уже присоединены к субъекту. Политики на основе ресурсов (например, политика корзины S3) включают Principal, чтобы указать, к кому применяется правило. Наличие Principal показывает, какой тип политики Вы читаете.

Подстановочные знаки, такие как "Action": "*" и "Resource": "*", вместе предоставляют полный административный доступ. На экзамене часто показывают чрезмерно разрешающую политику и просят ужесточить ее. Исправление заключается в замене подстановочных знаков конкретными действиями и ARN с применением принципа минимально необходимых привилегий.

ARN имеет форму arn:partition:service:region:account:resource. Некоторые службы не указывают регион или учетную запись (S3 не указывает ни то ни другое для части, обозначающей корзину). Точное чтение ARN позволяет определить, нацелен ли политика на один ресурс, одну учетную запись или все ресурсы, что напрямую влияет на объем предоставленного доступа.

Для анализа любой политики проверьте Effect, изучите Action (обратите внимание на NotAction и подстановочные знаки), ограничьте область Resource (обратите внимание на "*") и проверьте Condition. Помните: явный запрет имеет приоритет над разрешением, а по умолчанию действует запрет. С практикой Вы сможете за несколько секунд оценить реальный охват политики — именно этого требует экзамен.

Проверьте навык чтения политик.

Политика IAM представляет собой JSON с массивом Version и Statement. Каждое утверждение содержит Effect (Allow/Deny), Action (или NotAction), Resource через ARN (или NotResource) и необязательный Condition. Политики на основе ресурсов добавляют Principal. По умолчанию действует запрет, явный запрет всегда имеет приоритет, а подстановочные знаки указывают на чрезмерно широкие разрешения, которые следует ограничить.