IAM Role คืออะไรอย่างแท้จริง

บทบาท IAM คือข้อมูลประจำตัวที่คุณสามารถสวมบทบาทเพื่อรับชุดสิทธิ์ได้ แต่ต่างจากผู้ใช้ตรงที่ ไม่มีข้อมูลรับรองถาวร เมื่อเอนทิตีหนึ่งสวมบทบาท AWS จะออก ข้อมูลรับรองความปลอดภัยชั่วคราว ซึ่งหมดอายุหลังเวลาที่กำหนด บทบาทเป็นวิธีที่ปลอดภัยและทันสมัยในการให้สิทธิ์เข้าถึง AWS และปรากฏอยู่ตลอดการสอบ SCS-C02

ทุกบทบาทมีนโยบายสองส่วน:

• นโยบายความไว้วางใจ (เรียกอีกอย่างว่านโยบายการสวมบทบาท) ซึ่งระบุว่า ใคร ได้รับอนุญาตให้สวมบทบาท
• นโยบายสิทธิ์ อย่างน้อยหนึ่งรายการ ซึ่งระบุว่าเมื่อสวมบทบาทแล้ว บทบาทนั้นทำ อะไร ได้บ้าง

การแยกส่วนนี้เป็นหัวใจของการที่บทบาทช่วยให้มอบสิทธิ์อย่างปลอดภัย คุณจะกำหนดว่าใครสามารถยืมข้อมูลประจำตัวนี้ได้ และกำหนดแยกกันว่าข้อมูลประจำตัวนั้นทำอะไรได้บ้าง

เมื่อมีการสวมบทบาท Security Token Service (STS) จะออกชุดข้อมูลรับรองที่ประกอบด้วยรหัสคีย์การเข้าถึง คีย์ลับ และ โทเค็นเซสชัน ซึ่งทั้งหมดใช้งานได้ในช่วงเวลาจำกัด (ตั้งแต่ 15 นาทีถึง 12 ชั่วโมง) เนื่องจากข้อมูลรับรองเหล่านี้หมดอายุโดยอัตโนมัติ ข้อมูลรับรองชั่วคราวที่รั่วไหลจึงใช้งานไม่ได้อย่างรวดเร็ว ช่วยลดความเสี่ยงได้อย่างมากเมื่อเทียบกับคีย์การเข้าถึงที่มีอายุยาวนาน

นโยบายความไว้วางใจจะแสดงรายการ ผู้มีสิทธิ์ที่สามารถสวมบทบาทได้ ซึ่งอาจเป็น:

• บริการ AWS (เช่น EC2 หรือ Lambda) เพื่อมอบข้อมูลประจำตัวให้ภาระงาน
• ผู้ใช้หรือบทบาท IAM ในบัญชีเดียวกันหรือบัญชีอื่น เพื่อให้เข้าถึงข้ามบัญชีได้
• ข้อมูลประจำตัวที่เชื่อมโยงจากผู้ให้บริการ SAML หรือ OIDC

หากไม่ได้ระบุผู้มีสิทธิ์ไว้ในนโยบายความไว้วางใจ ผู้มีสิทธิ์นั้นจะไม่สามารถสวมบทบาทได้ ไม่ว่านโยบายสิทธิ์จะอนุญาตไว้อย่างไรก็ตาม

การใช้งานที่พบบ่อยที่สุดคือการอนุญาตให้บริการ AWS ดำเนินการแทนคุณ ตัวอย่างเช่น อินสแตนซ์ EC2 ที่แนบบทบาทไว้สามารถเรียกใช้ S3 ได้โดยไม่ต้องฝังคีย์ใด ๆ AWS จะหมุนเวียนข้อมูลรับรองโดยอัตโนมัติเบื้องหลัง ข้อสอบคาดหวังให้คุณจำได้ว่า บทบาทบริการช่วยกำจัดข้อมูลลับแบบคงที่ออกจากแอปพลิเคชัน

ด้านล่างคือตัวอย่างบางส่วนของนโยบายความไว้วางใจที่อนุญาตให้บริการ EC2 สวมบทบาทได้ Principal ใช้ระบุว่าใครสามารถสวมบทบาทได้ และการดำเนินการจะเป็น sts:AssumeRole เสมอ

บทบาทเหมาะอย่างยิ่งสำหรับ การเข้าถึงข้ามบัญชี บัญชี A สร้างบทบาทที่ไว้วางใจบัญชี B จากนั้นผู้มีสิทธิ์ในบัญชี B จะสวมบทบาทและได้รับข้อมูลรับรองชั่วคราวเพื่อดำเนินการในบัญชี A ไม่มีการแบ่งปันคีย์ ขอบเขตการเข้าถึงถูกกำหนดด้วยนโยบายสิทธิ์ และฝ่ายใดฝ่ายหนึ่งสามารถยกเลิกความไว้วางใจได้ทุกเมื่อ วิธีนี้เป็นทางเลือกที่แนะนำแทนการแจกคีย์ระยะยาวระหว่างบัญชี

ข้อมูลประจำตัวภายนอก เช่น ผู้ใช้ขององค์กรที่ยืนยันตัวตนผ่าน SAML หรือผู้ใช้แอปพลิเคชันที่ใช้การเชื่อมโยงข้อมูลประจำตัวผ่านเว็บ ก็สามารถสวมบทบาทได้เช่นกัน ผู้ให้บริการข้อมูลประจำตัวจะตรวจสอบผู้ใช้ จากนั้น AWS จะออกข้อมูลรับรองชั่วคราวที่ผูกกับบทบาท ซึ่งหมายความว่าบุคลากรไม่จำเป็นต้องมีผู้ใช้ IAM เลย เพียงมีข้อมูลประจำตัวที่ผ่านการตรวจสอบและจับคู่กับบทบาท

ประโยชน์ด้านความปลอดภัยที่สำคัญที่สุดของบทบาทคือไม่มี ข้อมูลรับรองที่มีอยู่ถาวรให้ขโมย หมุนเวียน หรือเผลอส่งเข้าไปในคลังเก็บโค้ด สิทธิ์จะมีอยู่เฉพาะในเซสชันชั่วคราวเท่านั้น วิธีนี้สอดคล้องกับหลักสิทธิ์เท่าที่จำเป็นตามช่วงเวลา กล่าวคือให้สิทธิ์เมื่อจำเป็นและหมดอายุไปเอง

ประเด็นที่ควรใส่ใจคือ การได้รับอนุญาตให้สวมบทบาทจะให้คุณใช้ เฉพาะสิทธิ์ของบทบาทนั้น ไม่ใช่สิทธิ์ของคุณเองรวมกับสิทธิ์ของบทบาท เมื่อคุณสวมบทบาท คุณจะใช้ข้อมูลประจำตัวชุดใหม่ สิทธิ์เดิมของคุณจะถูกพักไว้สำหรับเซสชันนั้น ดังนั้นการออกแบบบทบาทต้องรวมทุกสิ่งที่งานจำเป็นต้องใช้

เลือกใช้บทบาทเมื่อใดก็ตามที่ภาระงานต้องเข้าถึง AWS เมื่อบัญชีหนึ่งต้องดำเนินการในอีกบัญชีหนึ่ง หรือเมื่อบุคลากรยืนยันตัวตนผ่านผู้ให้บริการภายนอก บทบาทคือคำตอบของคำถามในการสอบเกือบทุกข้อที่ถามว่า “จะให้สิทธิ์เข้าถึงโดยไม่ใช้คีย์ระยะยาวได้อย่างไร” บทบาทรวมเอานโยบายความไว้วางใจ (ใคร) เข้ากับนโยบายสิทธิ์ (อะไร) เพื่อให้การเข้าถึงปลอดภัย ชั่วคราว และตรวจสอบได้

บทบาท IAM คือข้อมูลประจำตัวที่ไม่มีข้อมูลรับรอง ซึ่งถูกสวมบทบาทเพื่อรับสิทธิ์ ชั่วคราวจาก STS บทบาทนี้ประกอบด้วย นโยบายความไว้วางใจ (ใครสามารถสวมบทบาทได้) และ นโยบายสิทธิ์ (ทำอะไรได้บ้าง) บทบาทช่วยให้บริการเข้าถึงทรัพยากร มอบสิทธิ์ข้ามบัญชี และเชื่อมโยงข้อมูลประจำตัวได้ โดยกำจัดข้อมูลลับระยะยาวออกไป เมื่อสวมบทบาท ข้อมูลประจำตัวของคุณจะถูกแทนที่ด้วยข้อมูลประจำตัวของบทบาทตลอดเซสชัน