Что на самом деле представляет собой роль IAM

Роль IAM — это идентифицированная сущность, которую можно принять, чтобы получить набор разрешений. В отличие от пользователя, у неё нет постоянных учётных данных. Вместо этого при принятии роли AWS выдаёт временные учётные данные безопасности, срок действия которых истекает через заданное время. Роли — это безопасный современный способ предоставлять доступ в AWS; они часто встречаются на экзамене SCS-C02.

У каждой роли есть две части политики:

• политика доверия (также называемая политикой принятия роли), определяющая, кто может принять роль;
• одна или несколько политик разрешений, определяющих, что роль может делать после принятия.

Такое разделение лежит в основе безопасного делегирования с помощью ролей: отдельно определяется, кто может временно использовать эту идентичность, и отдельно — какие действия ей разрешены.

При принятии роли Security Token Service (STS) выдаёт набор учётных данных, содержащий идентификатор ключа доступа, секретный ключ и токен сеанса. Все они действуют ограниченное время — от 15 минут до 12 часов. Поскольку срок их действия истекает автоматически, утёкшие временные учётные данные быстро становятся бесполезными, что значительно снижает риск по сравнению с долгосрочными ключами доступа.

В политике доверия перечислены субъекты, которым разрешено принять роль. Это могут быть:

• сервис AWS (например, EC2 или Lambda), которому предоставляется идентичность для рабочей нагрузки;
• пользователь или роль IAM в том же или другом аккаунте для межаккаунтного доступа;
• федеративная идентичность от поставщика SAML или OIDC.

Если субъект не указан в политике доверия, он никогда не сможет принять роль — независимо от того, что разрешают политики разрешений.

Наиболее распространённый вариант использования — разрешить сервису AWS действовать от Вашего имени. Например, экземпляр EC2 с прикреплённой ролью может обращаться к S3 без встроенных ключей; AWS автоматически обновляет учётные данные в фоновом режиме. На экзамене важно распознавать, что роли сервисов устраняют статические секреты из приложений.

Ниже приведён фрагмент политики доверия, разрешающий сервису EC2 принять роль. Элемент Principal указывает, кто может её принять, а действие всегда имеет значение sts:AssumeRole.

Роли особенно полезны для межаккаунтного доступа. Аккаунт A создаёт роль, доверяющую аккаунту B; субъект из B принимает её и получает временные учётные данные для действий в A. Ключами не нужно обмениваться, доступ ограничивается политикой разрешений, а доверие можно отозвать в любой момент с любой стороны. Это рекомендуемая альтернатива передаче долгосрочных ключей между аккаунтами.

Внешние идентичности, например корпоративные пользователи, прошедшие проверку через SAML, или пользователи приложения, использующие федерацию веб-идентичностей, также принимают роли. Поставщик идентичности проверяет пользователя, после чего AWS выдаёт временные учётные данные, связанные с ролью. Поэтому людям вообще не нужны пользователи IAM — достаточно проверенной идентичности, сопоставленной с ролью.

Главное преимущество ролей с точки зрения безопасности — отсутствие постоянных учётных данных, которые можно украсть, отозвать и заменить или случайно добавить в репозиторий кода. Разрешения существуют только в рамках временного сеанса. Это соответствует принципу наименьших привилегий во времени: доступ предоставляется только при необходимости и автоматически прекращается.

Есть важный нюанс: разрешение принять роль даёт Вам только разрешения этой роли, а не объединение Ваших разрешений с разрешениями роли. При принятии роли Вы получаете новую идентичность. Исходные разрешения на время этого сеанса не учитываются, поэтому при проектировании роли необходимо включить в неё всё, что требуется для задачи.

Используйте роль всякий раз, когда рабочей нагрузке нужен доступ к AWS, одному аккаунту необходимо действовать в другом или люди проходят аутентификацию через внешнего поставщика. На экзамене роли являются ответом почти на любой вопрос «как предоставить доступ без долгосрочных ключей». Они объединяют политику доверия (кто) с политиками разрешений (что), обеспечивая безопасный, временный и контролируемый доступ.

Проверьте, насколько хорошо Вы понимаете принцип работы ролей.

Роль IAM — это сущность без собственных учётных данных, которую принимают для получения временных разрешений от STS. Она объединяет политику доверия (кто может её принять) с политиками разрешений (что она может делать). Роли обеспечивают доступ сервисов, делегирование между аккаунтами и федерацию, устраняя долгосрочные секреты. При принятии роли Ваша идентичность на время сеанса заменяется идентичностью роли.