Политики сеансов и ограничение по тегам

Иногда необходимо предоставить роль, но ограничить действия конкретного сеанса без изменения самой роли. Политики сеанса и теги сеанса позволяют сузить разрешения в точный момент принятия роли. Эти расширенные возможности STS поддерживают детализированный и масштабируемый принцип минимальных привилегий, которому на экзамене отдается предпочтение.

Политика сеанса — это встроенная или управляемая политика, передаваемая в AssumeRole (через Policy или PolicyArns). Она не предоставляет новых разрешений, а только может отфильтровать существующие разрешения роли для данного сеанса. Итоговые разрешения представляют собой пересечение политик роли и политики сеанса.

Поскольку результатом является пересечение, политика сеанса никогда не позволит сеансу выполнить больше действий, чем уже разрешено ролью. Если роль предоставляет s3:*, а политика сеанса разрешает только s3:GetObject, сеанс сможет лишь получать объекты. Поэтому политики сеанса безопасно использовать для выдачи ограниченной части разрешений более широкой роли.

Распространенный вариант: один мощный роль принимается инструментом оркестрации, который для каждой задачи добавляет политику сеанса, ограничивающую эту задачу одним хранилищем или одной группой ресурсов. Каждый сеанс имеет узкую область действия, хотя базовая роль обладает широкими разрешениями. Это позволяет не создавать десятки ролей с индивидуальной настройкой.

В этом фрагменте CLI показана передача встроенной политики сеанса, которая дополнительно ограничивает сеанс. Чтобы эти действия выполнялись, роль уже должна разрешать их.

Теги сеанса — это атрибуты в формате «ключ — значение», прикрепляемые к сеансу при выполнении AssumeRole. Переданные через параметр Tags, они становятся частью контекста запроса, и к ним можно обращаться в политиках через aws:PrincipalTag. Теги сеанса передают атрибуты субъекта, принимающего роль, в каждое решение об авторизации.

Теги сеанса — основа управления доступом на основе атрибутов (ABAC) для принятых ролей. Политика может требовать, чтобы значение aws:PrincipalTag/Project сеанса совпадало со значением aws:ResourceTag/Project ресурса, предоставляя доступ только при совпадении тегов проекта. Одна политика может обслуживать множество проектов и легко масштабироваться.

При последовательном принятии ролей обычные теги сеанса не передаются дальше. Если пометить тег как транзитивный, он сохранится при последующих принятиях ролей в цепочке. Благодаря этому такие атрибуты, как отдел исходного пользователя, следуют за удостоверением через несколько переходов, что важно для согласованной работы ABAC.

Для передачи тегов сеанса помимо разрешения sts:TagSession требуется разрешение sts:AssumeRole. Политика доверия также может ограничивать допустимые ключи или значения тегов. Контроль того, кто и какие теги сеанса может задавать, не позволяет пользователям самостоятельно предоставлять себе доступ, назначая привилегированные значения тегов.

Политики сеанса и теги сеанса работают вместе: теги выражают, кого представляет сеанс при сопоставлении ABAC, а политики сеанса ограничивают, что может делать сеанс. Вместе они позволяют одной широко определённой роли безопасно обслуживать множество сеансов с узкими полномочиями — это элегантная и масштабируемая схема, на которую обращается внимание в экзамене.

Используйте политики сеанса, чтобы пересекать и уменьшать разрешения роли для каждого сеанса, но никогда не добавлять их. Используйте теги сеанса (с разрешением sts:TagSession), чтобы управлять ABAC через aws:PrincipalTag; при цепочке ролей помечайте теги как транзитивные. Эти возможности STS обеспечивают минимально необходимые разрешения для каждого сеанса, используя небольшое число повторно применяемых ролей.

Проверьте ограничение области сеанса.

Политики сеанса, переданные в AssumeRole, пересекаются с разрешениями роли, уменьшая их, но никогда не расширяя. Теги сеанса (для которых требуется sts:TagSession) передают атрибуты в ABAC через aws:PrincipalTag, а транзитивные теги сохраняются при цепочке ролей. Вместе они обеспечивают минимально необходимые разрешения для каждого сеанса на основе нескольких повторно применяемых ролей.