Условия, подстановочные знаки и переменные политик

Помимо действий и ресурсов, IAM предоставляет мощные средства для создания точных и динамичных политик: условия, подстановочные знаки и переменные политик. Освоив их, Вы сможете предоставлять ровно необходимый доступ при ровно тех обстоятельствах, которые нужны. Это суть принципа наименьших привилегий и частая тема экзамена.

Блок Condition содержит одну или несколько проверок, которые все должны быть истинными, чтобы утверждение применялось. Каждая проверка сопоставляет оператор с ключом условия и значением, например StringEquals для aws:PrincipalTag. Несколько ключей в одном блоке объединяются через AND, а несколько значений одного ключа — через OR.

Глобальные ключи условий постоянно встречаются на экзамене:

• aws:SourceIp — ограничение по диапазону IP вызывающей стороны.
• aws:SecureTransport — требование TLS.
• aws:MultiFactorAuthPresent — требование MFA.
• aws:PrincipalOrgID — ограничение доступом из Вашей организации.

Ключи, специфичные для отдельных сервисов (например, s3:prefix), позволяют управлять доступом ещё точнее.

Классический шаблон запрещает доступ, если запрос выполняется не через TLS. Это условие политики корзины блокирует любой вызов без HTTPS, гарантируя шифрование данных при передаче. На экзамене этот шаблон часто используется в качестве ответа на вопрос о требовании шифрования при передаче для S3.

Операторы определяют способ сравнения значений: StringEquals, StringLike (поддерживает подстановочные знаки), IpAddress, DateGreaterThan, Bool и Null среди прочих. Добавление IfExists к оператору позволяет считать проверку пройденной, если ключ отсутствует. Правильный выбор оператора необходим для получения задуманной логики.

Подстановочные знаки (* обозначает любую последовательность, ? — один символ) делают политики более компактными, но могут предоставить слишком широкие разрешения. s3:Get* охватывает все операции, связанные с чтением; s3:* охватывает всё в S3. Используйте самый узкий подстановочный знак, соответствующий задаче, и с осторожностью относитесь к широким подстановочным знакам в проверяемых политиках.

ARN ресурсов также поддерживают подстановочные знаки, например arn:aws:s3:::logs/2024/* ограничивает область одним префиксом. Благодаря этому политика может обращаться к папке или шаблону, не перечисляя каждый объект. Однако Resource со значением "*" предоставляет доступ ко всей учётной записи, поэтому всегда проверяйте, действительно ли требуется такой широкий охват.

Переменные политик вставляют контекст запроса во время проверки с использованием синтаксиса ${...}. Наиболее полезна переменная ${aws:username}: с её помощью одна политика может предоставить каждому пользователю доступ только к его собственным ресурсам. Переменные позволяют одной переиспользуемой политике вести себя по-разному для разных субъектов, элегантно реализуя принцип наименьших привилегий.

Это утверждение позволяет каждому пользователю управлять только объектами в папке, названной его именем пользователя. Это мощный шаблон одной политики для всех пользователей.

Attribute-Based Access Control (ABAC) использует теги в условиях, сравнивая теги субъекта (aws:PrincipalTag) с тегами ресурса (aws:ResourceTag). Если они совпадают, доступ предоставляется. ABAC прекрасно масштабируется: доступ предоставляется на основе тегов, а не за счёт создания новой политики для каждого проекта. Это современная рекомендуемая практика, которую подчёркивает экзамен.

Используйте эти инструменты осознанно: применяйте условия, чтобы ограничивать доступ по MFA, IP, TLS или членству в организации; используйте подстановочные знаки редко и максимально узко; применяйте переменные политик и теги для масштабируемого предоставления минимально необходимых разрешений каждому субъекту. Вместе они позволяют одной хорошо составленной политике обеспечивать точный доступ с учётом контекста для множества субъектов и ресурсов.

Проверьте условия и переменные.

Условия ограничивают применение утверждений на основе ключей контекста (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID), используя такие операторы, как StringLike и Bool. Подстановочные знаки (* и ?) делают политики компактными, но могут предоставить слишком широкие разрешения. Переменные политик, например ${aws:username}, и ABAC на основе тегов обеспечивают масштабируемое предоставление минимально необходимых разрешений каждому субъекту.