Сравнение пользователей и групп IAM

AWS Identity and Access Management (IAM) — это сервис, который управляет тем, кто может выполнять какие действия в вашей учетной записи. Два его основных строительных блока — пользователи и группы. Пользователь — это постоянная идентификация, связанная с человеком или приложением, а группа — просто контейнер, объединяющий пользователей, чтобы они получали одинаковые разрешения. Понимание этого различия служит основой для всего остального на экзамене.

Пользователь IAM — это долгосрочная идентификация с именем, уникальным в вашей учетной записи. У нее могут быть два вида учетных данных:

• Пароль консоли для входа через веб-интерфейс.
• Ключи доступа (идентификатор ключа доступа и секрет) для программных вызовов API и CLI.

Поскольку эти учетные данные действуют длительное время, AWS считает их более рискованными. Согласно лучшей практике, следует отдавать предпочтение ролям и временным учетным данным, а не создавать множество пользователей с постоянными ключами.

Группа IAM — это набор пользователей, которые получают общие разрешения через прикрепленные политики. Группы делают управление доступом масштабируемым: вместо прикрепления одной и той же политики к десяти разработчикам ее прикрепляют один раз к группе "Developers" и добавляют в нее пользователей. Основные факты, которые необходимо знать для экзамена:

• У группы нет учетных данных, и она не может быть субъектом в политике.
• Пользователь может состоять в нескольких группах.
• Группы нельзя вкладывать в другие группы.

Когда пользователь отправляет запрос, IAM объединяет все применимые политики: прикрепленные непосредственно к пользователю и прикрепленные ко всем группам, в которые он входит. Результатом является объединение всех разрешенных действий, если только где-либо не указано явное запрещение. Это означает, что членство в группе может только добавлять разрешения, но не убирать их, за исключением случая с явным оператором запрещения.

Управление разрешениями для каждого пользователя в отдельности приводит к отклонениям конфигурации: со временем у каждого пользователя накапливается немного отличающийся и сложный для проверки набор политик. Группы централизуют разрешения, поэтому одно изменение политики применяется одинаково ко всем пользователям с определенной ролью. Аудитору гораздо проще проверить, кто входит в группу "Admins", чем поочередно изучать десятки отдельных пользователей.

Проверить членство можно из CLI, чтобы выяснить, кто обладает расширенным доступом. Приведенная ниже команда перечисляет всех пользователей внутри группы — это распространенный первый шаг при расследовании случая чрезмерных разрешений.

Не путайте пользователей IAM с корневым пользователем. Корневой пользователь — это идентификация владельца учетной записи, создаваемая при открытии учетной записи; она обладает неограниченным доступом, который нельзя ограничить политиками IAM. AWS настоятельно рекомендует убрать учетные данные корневого пользователя в безопасное хранилище, включить для него многофакторную аутентификацию (MFA) и никогда не использовать его для повседневной работы. Вместо этого создавайте отдельных пользователей IAM (а еще лучше — используйте федерацию).

Для каждого пользователя IAM следует включить MFA, требующую второй фактор, например аппаратный ключ или приложение-аутентификатор, в дополнение к паролю. Применение MFA можно обеспечить условиями политики, такими как aws:MultiFactorAuthPresent. На экзамене часто проверяют использование MFA для защиты важных операций, например удаления ресурсов или изменения параметров безопасности.

Распространённая ошибка — создание пользователей IAM со статическими ключами доступа для приложений, работающих на EC2 (Elastic Compute Cloud). В результате в приложение встраиваются долгосрочные секреты, которые могут утечь. Безопасный подход — прикрепить к экземпляру роль IAM; именно его мы рассмотрим далее. Для команд сотрудников отдавайте предпочтение федерации через IAM Identity Center, а не индивидуально управляемым пользователям.

Отчёт об учётных данных IAM — это загружаемый файл CSV со списком всех пользователей, датами последнего использования их паролей и ключей доступа, а также сведениями о том, активна ли MFA. В сочетании с IAM Access Analyzer и данными о последнем доступе он помогает находить устаревших пользователей, неиспользуемые ключи и группы со слишком широкими полномочиями. Регулярная проверка — важная часть поддержания принципа наименьших привилегий, которому на экзамене уделяется особое внимание.

Используйте пользователей, когда для человека или устаревшего приложения требуется отдельная идентифицированная учётная запись. Используйте группы, чтобы аккуратно назначать общие разрешения и избежать расхождений в настройках отдельных пользователей. В современных архитектурах количество постоянных пользователей стараются свести к минимуму, полагаясь на роли для рабочих нагрузок и федерацию для людей. Пользователи и группы остаются важными понятиями, но это отправная точка, а не конечная цель.

Проверьте, насколько хорошо Вы понимаете различия между пользователями и группами.

Вы узнали, что пользователь IAM — это идентифицированная учётная запись с долгосрочными учётными данными, а группа IAM — контейнер без собственных учётных данных, объединяющий пользователей для совместного использования политик. Разрешения представляют собой объединение политик пользователя и группы, группы нельзя вкладывать друг в друга, а корневого пользователя следует надёжно защитить с помощью MFA. Для рабочих нагрузок предпочтительны роли, а для людей — федерация, чтобы избежать долгосрочных секретов и расхождений в конфигурации.