ขอบเขตสิทธิ์จำกัดอะไรบ้าง

ขอบเขตสิทธิ์ เป็นฟีเจอร์ขั้นสูงของ IAM ที่กำหนด สิทธิ์สูงสุด ที่ผู้ใช้หรือบทบาทจะมีได้ ไม่ได้มอบสิทธิ์ใด ๆ ด้วยตัวเอง แต่จำกัดสิ่งที่นโยบายตามข้อมูลระบุตัวตนสามารถอนุญาตได้จริง ขอบเขตสิทธิ์เป็นหัวข้อยอดนิยมในข้อสอบ เพราะช่วยให้มอบหมายการจัดการสิทธิ์ได้อย่างปลอดภัย

นโยบายตามข้อมูลระบุตัวตนเป็นผู้ มอบ สิทธิ์ ส่วนขอบเขตสิทธิ์เป็นผู้ จำกัด สิทธิ์เหล่านั้น สิทธิ์ที่มีผลจริงคือ ส่วนร่วม ของทั้งสองอย่าง กล่าวคือ การดำเนินการจะได้รับอนุญาตก็ต่อเมื่อ ทั้งนโยบายตามข้อมูลระบุตัวตนและขอบเขตสิทธิ์อนุญาต การกำหนดขอบเขตสิทธิ์ทำให้สิทธิ์ที่นโยบายตามข้อมูลระบุตัวตนมอบให้ลดลงได้ แต่ไม่สามารถเพิ่มให้กว้างขึ้นได้

สมมติว่านโยบายตามข้อมูลระบุตัวตนของผู้ใช้อนุญาตให้เข้าถึง S3 และ EC2 ได้เต็มรูปแบบ แต่ขอบเขตสิทธิ์อนุญาตเฉพาะ S3 ผู้ใช้จะทำได้ เฉพาะการดำเนินการกับ S3 เท่านั้น เพราะขอบเขตสิทธิ์เป็นเพดานจำกัดไว้ เมื่อนำขอบเขตสิทธิ์ออก สิทธิ์ของ EC2 จะกลับมามีผลอีกครั้ง ขอบเขตสิทธิ์จึงบังคับใช้ค่าสูงสุดอย่างเงียบ ๆ

นโยบายขอบเขตสิทธิ์นี้อนุญาตเฉพาะการดำเนินการกับ S3 และ CloudWatch ไม่ว่านโยบายตามข้อมูลระบุตัวตนจะระบุไว้อย่างไร ผู้ใช้จะไม่สามารถใช้บริการเกินกว่านี้ได้

กรณีใช้งานหลักคือ การมอบหมายอย่างปลอดภัย คุณต้องการให้นักพัฒนาสร้างบทบาท IAM ของตนเองได้ แต่กังวลว่าพวกเขาจะมอบสิทธิ์มากเกินไป การกำหนดให้ทุกบทบาทที่สร้างต้องมีขอบเขตสิทธิ์จะรับประกันว่าบทบาทเหล่านั้นจะไม่เกินขอบเขตดังกล่าว ไม่ว่านโยบายที่แนบจะกว้างเพียงใด

ทั้งขอบเขตสิทธิ์และ SCPs ต่างจำกัดเพดานสิทธิ์ แต่มีขอบเขตการทำงานต่างกัน ขอบเขตสิทธิ์ใช้กับ ผู้ใช้หรือบทบาทเดียว และกำหนดค่าภายใน IAM ส่วน SCP ใช้กับ ทั้งบัญชี ภายในองค์กร ข้อสอบทดสอบการเลือกเครื่องมือที่เหมาะสม: ใช้ขอบเขตสิทธิ์เมื่อจำกัดเป็นรายข้อมูลระบุตัวตน และใช้ SCP เมื่อจำกัดทั้งบัญชี

ในกระบวนการประเมิน Deny ที่ระบุอย่างชัดเจนจะมีผลเหนือทุกสิ่ง รวมถึงขอบเขตสิทธิ์ด้วย นอกเหนือจากนั้น ขอบเขตสิทธิ์จะทำหน้าที่เป็นเพดานจำกัด โดยการดำเนินการต้องมี Allow ทั้งในนโยบายตามข้อมูลระบุตัวตน และในขอบเขตสิทธิ์ นโยบายตามทรัพยากรอาจมอบสิทธิ์เข้าถึงได้โดยไม่ขึ้นกับขอบเขตสิทธิ์ในบางกรณี ซึ่งเป็นรายละเอียดที่ควรจำไว้

ความเข้าใจผิดที่พบบ่อยคือการเพิ่มการดำเนินการลงในขอบเขตสิทธิ์จะเป็นการมอบสิทธิ์ให้ แต่ไม่ใช่เช่นนั้น หากนโยบายตามข้อมูลระบุตัวตนไม่มีสิทธิ์นั้น การที่ขอบเขตสิทธิ์อนุญาตก็ไม่มีผล นโยบายตามข้อมูลระบุตัวตนต้องมอบสิทธิ์ และขอบเขตสิทธิ์ต้องอนุญาตด้วย การดำเนินการจึงจะสำเร็จ

รายละเอียดที่ข้อสอบทดสอบคือ ขอบเขตสิทธิ์จำกัดสิ่งที่นโยบายแบบ ตามข้อมูลระบุตัวตน ของตัวการสามารถทำได้ แต่ในบางกรณี จะไม่จำกัดสิทธิ์เข้าถึงที่นโยบายแบบ ตามทรัพยากร มอบให้ตัวการนั้น ดังนั้น แม้ขอบเขตสิทธิ์จะจำกัดบทบาทไว้ที่ S3 แต่บทบาทนั้นอาจยังได้รับสิทธิ์เข้าถึง SQS ผ่านนโยบายของคิวได้ ควรออกแบบโดยคำนึงถึงช่องว่างนี้

หากต้องการบังคับให้ตัวการที่ได้รับมอบหมายแนบขอบเขตสิทธิ์เสมอ ให้เขียนนโยบายสิทธิ์ที่มี เงื่อนไขกำหนดให้ iam:PermissionsBoundary ต้องเท่ากับ ARN ของขอบเขตสิทธิ์ที่ระบุสำหรับบทบาทใด ๆ ที่ตัวการเหล่านั้นสร้าง วิธีนี้ป้องกันไม่ให้นักพัฒนาสร้างบทบาทโดยไม่มีมาตรการป้องกัน และปิดช่องโหว่ของการมอบหมาย

ขอบเขตสิทธิ์จำกัดสิทธิ์สูงสุดของผู้ใช้หรือบทบาทเดียว โดยสิทธิ์เข้าถึงที่มีผลจริงคือ ส่วนร่วมของขอบเขตสิทธิ์และนโยบายตามข้อมูลระบุตัวตน ขอบเขตสิทธิ์ไม่เคยมอบสิทธิ์ด้วยตัวเอง จุดประสงค์สำคัญคือ การมอบหมายอย่างปลอดภัยในการสร้างบทบาท IAM โดยบังคับใช้ขอบเขตสิทธิ์ผ่านเงื่อนไข iam:PermissionsBoundary

ขอบเขตสิทธิ์กำหนดสิทธิ์ สูงสุดของผู้ใช้หรือบทบาทเดียว สิทธิ์เข้าถึงที่มีผลจริงคือ ส่วนร่วมของขอบเขตสิทธิ์และนโยบายตามข้อมูลระบุตัวตน ขอบเขตสิทธิ์ไม่เคยมอบสิทธิ์ด้วยตัวเอง และการปฏิเสธที่ระบุอย่างชัดเจนจะมีผลเหนือสิ่งอื่น จุดประสงค์หลักคือ การมอบหมายอย่างปลอดภัย โดยบังคับใช้ผ่านเงื่อนไข iam:PermissionsBoundary