Что ограничивает граница разрешений

Граница разрешений — это расширенная возможность IAM, задающая максимальные разрешения, которые пользователь или роль вообще могут иметь. Сама по себе она ничего не предоставляет, а лишь ограничивает то, что фактически могут разрешить политики на основе удостоверения. Границы разрешений часто встречаются в экзаменационных вопросах, поскольку позволяют безопасно делегировать управление разрешениями.

Политика на основе удостоверения предоставляет разрешения, а граница разрешений их ограничивает. Фактические разрешения являются пересечением этих двух политик: действие разрешено только в том случае, если его разрешают обе — политика удостоверения и граница. Граница может уменьшить, но никогда не расширить разрешения, предоставленные политикой удостоверения.

Предположим, что политика удостоверения пользователя разрешает полный доступ к S3 и EC2, а граница разрешений — только к S3. Пользователь может выполнять только действия S3, поскольку граница ограничивает его полномочия. Если удалить границу, разрешения EC2 снова станут действующими. Граница незаметно устанавливает максимальный уровень доступа.

Эта политика границы разрешает только действия S3 и CloudWatch. Независимо от того, что указано в политике удостоверения, пользователь никогда не сможет выйти за пределы этих сервисов.

Основной вариант применения — безопасное делегирование. Вы хотите, чтобы разработчики могли создавать собственные роли IAM, но опасаетесь, что они предоставят избыточные разрешения. Если требовать, чтобы каждая создаваемая ими роль имела границу разрешений, можно гарантировать, что эти роли никогда не выйдут за её пределы, независимо от широты подключённой политики.

И границы, и SCP ограничивают разрешения, но различаются областью действия. Граница разрешений применяется к одному пользователю или одной роли и задаётся в IAM. SCP применяется ко всему аккаунту в организации. В экзамене проверяется выбор правильного инструмента: для отдельного удостоверения используется граница, для всего аккаунта — SCP.

В процессе оценки явный Deny по-прежнему имеет приоритет над всем, включая границы. В остальных случаях граница действует как верхний предел: действие должно иметь разрешение Allow и в политике удостоверения, и в границе. В некоторых случаях политики на основе ресурсов могут предоставлять доступ независимо от границы — это важная особенность, о которой стоит помнить.

Распространённое заблуждение состоит в том, что добавление действия в границу предоставляет разрешение на него. Это не так. Если в политике удостоверения нет такого разрешения, разрешение действия в границе ничего не меняет. Для успешного выполнения действия его должна предоставить политика удостоверения, а граница также должна его разрешать.

Особенность, которую проверяют на экзамене: границы разрешений ограничивают возможности политик на основе удостоверения принципала, но в некоторых случаях не ограничивают доступ, предоставленный этому принципалу политикой на основе ресурса. Поэтому граница, ограничивающая роль доступом к S3, всё ещё может позволить предоставить этой роли доступ к SQS через политику очереди. Учитывайте этот пробел при проектировании.

Чтобы делегированные принципалы всегда подключали границу, создайте политику разрешений с условием, требующим, чтобы iam:PermissionsBoundary соответствовал определённому ARN границы для любой создаваемой ими роли. Это не позволяет разработчику создавать роли без такого защитного механизма и устраняет лазейку в делегировании.

Граница разрешений ограничивает максимальные разрешения одного пользователя или одной роли: фактический доступ является пересечением границы и политики удостоверения. Сама по себе граница ничего не предоставляет. Её основное назначение — безопасное делегирование создания ролей IAM, обеспечиваемое обязательным требованием границы через условие iam:PermissionsBoundary.

Проверьте логику границ разрешений.

Граница разрешений задаёт максимальные разрешения одного пользователя или одной роли; фактический доступ является пересечением границы и политики удостоверения. Сама по себе граница ничего не предоставляет, а явный запрет по-прежнему имеет приоритет. Её основное назначение — безопасное делегирование, обеспечиваемое условием iam:PermissionsBoundary.