Как SCP сочетаются с разрешениями IAM

Доступ в организации регулируется двумя уровнями: потолком SCP, заданным AWS Organizations, и разрешениями IAM, предоставленными внутри аккаунта. Понимание их совместной работы — одна из наиболее часто проверяемых тем в области управления, поскольку результат зависит от согласованности обоих уровней.

Правило простое, но строгое: действие разрешено только в том случае, если оно разрешено одновременно применимыми SCP и политиками IAM аккаунта. Фактическое разрешение — это пересечение. SCP без соответствующего разрешения IAM ничего не предоставляет; разрешение IAM, заблокированное SCP, также ничего не предоставляет.

Если SCP разрешает действие, но ни одна политика IAM его не предоставляет, IAM отказывает в нём из-за неявного запрета. SCP лишь сделала действие возможным; IAM всё ещё должен фактически его разрешить. Многие учащиеся забывают, что SCP — это потолок, а не предоставление разрешения.

И наоборот, если политика IAM разрешает действие, но SCP его запрещает, результатом будет отказ. Запрет SCP ограничивает аккаунт независимо от того, насколько широки разрешения IAM. Так организация устанавливает жёсткие ограничения, которые локальные администраторы не могут обойти.

Запрос считается разрешённым только тогда, когда одновременно SCP и политика IAM разрешают действие и нигде нет явного запрета. Эта логика пересечения аналогична работе границ разрешений; оба механизма могут применяться одновременно, дополнительно сужая разрешения.

В полностью управляемой среде складывается несколько ограничений: SCP (уровень аккаунта), граница разрешений (уровень удостоверения), любая политика сеанса (уровень сеанса) и политика удостоверения (предоставление разрешений). Фактическое разрешение — это пересечение всех ограничений плюс предоставленное разрешение за вычетом любого явного запрета.

Представьте политику IAM, предоставляющую s3:* и ec2:*, границу разрешений, допускающую только s3:*, и SCP, разрешающую только s3:GetObject. Фактическим разрешением будет лишь s3:GetObject — пересечение всех трёх уровней. Каждое ограничение дополнительно сокращает набор разрешений.

На любом уровне явный запрет в любой политике, SCP, границе, сеансе, удостоверении или ресурсе немедленно блокирует действие. Ни одна комбинация разрешений не может его отменить. При анализе сценария сначала ищите явный запрет; если он найден, ответом будет отказ.

Политики на основе ресурсов могут независимо предоставлять доступ в пределах одного аккаунта, но SCP всё равно ограничивают аккаунт субъекта. При межаккаунтном доступе применяются средства управления и политики обоих аккаунтов и обеих сторон. Правило пересечения становится шире, но основная идея сохраняется: каждое применимое ограничение должно разрешать действие.

Если доступ в организации неожиданно не работает, проверяйте уровни снаружи внутрь: убедитесь, что политика удостоверения предоставляет разрешение на действие, затем проверьте границу разрешений, потом SCP аккаунта и каждого родительского OU, затем любую политику сеанса и наконец просмотрите все уровни в поисках явного запрета. Виноватым будет первое ограничение, не включающее это действие, или любой найденный запрет.

SCP и IAM работают по принципу пересечения: действие должно быть разрешено обоими механизмами, а также любыми ограничениями границы и сеанса; при этом нигде не должно быть явного запрета. SCP и границы только ограничивают, а политики IAM предоставляют разрешения. Чтобы разрешить действие, каждое ограничение должно его допускать и должно существовать хотя бы одно предоставляющее разрешение.

Проверьте логику сочетания механизмов.

SCP и IAM работают по принципу пересечения: действие разрешено только в том случае, если его разрешают оба механизма, а также любые ограничения границы разрешений и политики сеанса; при этом нигде не должно быть явного запрета. SCP и границы только ограничивают, а политики IAM предоставляют разрешения. Явный запрет на любом уровне всегда имеет приоритет над любым разрешением.