IAM-roller och behörigheter

Välkommen! I serverless-applikationer är säkerheten avgörande. AWS Identity and Access Management (IAM) är ditt viktigaste verktyg för att hantera vem (eller vad) som får göra vad i ditt AWS-konto.

För Lambda-funktioner definierar IAM-roller de behörigheter som funktionen behöver för att interagera med andra AWS-tjänster, till exempel läsa från en databas eller skriva loggar.

AWS IAM står för Identity and Access Management. Det är en tjänst som hjälper dig att säkert styra åtkomsten till AWS-resurser.

• Du kan hantera användare, grupper och roller.
• Du definierar behörigheter med hjälp av policies.
• Det säkerställer att endast auktoriserade entiteter kan utföra åtgärder.

Se det som säkerhetsvakten och regelboken för ditt AWS-moln.

En IAM Role är en uppsättning behörigheter som du kan tilldela AWS-tjänster (som Lambda) eller användare som behöver utföra åtgärder i ditt konto.

Till skillnad från användare har roller inte vanliga långvariga autentiseringsuppgifter (som lösenord). I stället ”antas” de av en entitet och tillhandahåller tillfälliga säkerhetsautentiseringsuppgifter.

Din Lambda-funktion kommer att anta en IAM-roll för att få de behörigheter den behöver.

IAM Policies är JSON-dokument som uttryckligen anger vilka åtgärder som tillåts eller nekas för vilka AWS-resurser.

När du skapar en IAM-roll kopplar du en eller flera policies till den. Dessa policies styr vad rollen (och därmed din Lambda-funktion) får göra.

Policies utgör kärnan i IAM-säkerheten!

IAM-policies har en specifik struktur som vanligtvis innehåller följande nyckelelement:

• Effect: Anger om en åtgärd ska Allow eller Deny.
• Action: De specifika AWS API-anrop som tillåts (t.ex. s3:GetObject, dynamodb:PutItem).
• Resource: De AWS-resurser som åtgärden gäller (t.ex. en S3-bucket eller en DynamoDB-tabell).

Dessa element kombineras till ett tydligt behörighetsuttryck.

Varje IAM-roll har en Trust Policy. Denna policy anger vilka entiteter som får ”anta” (använda) rollen.

För en exekveringsroll för Lambda tillåter trust-policyn vanligtvis att själva Lambda-tjänsten antar rollen. Detta är avgörande för att funktionen ska kunna köras.

Den principal som anges i trust-policyn för Lambda är vanligtvis lambda.amazonaws.com.

Utöver att anta rollen behöver din Lambda-funktion behörigheter för att interagera med andra tjänster. Ett vanligt behov är att skriva loggar till AWS CloudWatch.

Den här policyn ger de nödvändiga loggningsbehörigheterna:

En grundläggande säkerhetsprincip är principen om minsta behörighet. Det innebär att du endast ska tilldela de minsta behörigheter som krävs för att en funktion eller användare ska kunna utföra sin avsedda uppgift.

• Undvik att ge *-behörighet (alla behörigheter) om specifika åtgärder är tillräckliga.
• Begränsa resursomfattningen (t.ex. en specifik S3-bucket, inte alla S3-buckets).
• Granska regelbundet behörigheter och ta bort de som inte används.

Detta minskar den potentiella påverkan om en roll eller funktion utsätts för intrång.

Bra jobbat! Du har lärt dig grunderna i hur du skyddar dina serverlösa applikationer med AWS IAM.

• IAM-roller tillhandahåller tillfälliga autentiseringsuppgifter för tjänster som Lambda.
• IAM-policyer definierar behörigheter med JSON.
• Viktiga policyelement är Effect, Action och Resource.
• Följ alltid principen om minsta behörighet.

En korrekt IAM-konfiguration är avgörande för robusta och säkra serverlösa arkitekturer!