เงื่อนไข ไวลด์การ์ด และตัวแปรนโยบาย

นอกเหนือจากการดำเนินการและทรัพยากรแล้ว IAM ยังมีเครื่องมือทรงพลังที่ช่วยทำให้นโยบายแม่นยำและปรับเปลี่ยนได้ตามบริบท ได้แก่ เงื่อนไข อักขระแทน และ ตัวแปรนโยบาย การเชี่ยวชาญเครื่องมือเหล่านี้ช่วยให้คุณมอบสิทธิ์ที่จำเป็นอย่างพอดี ภายใต้สถานการณ์ที่ถูกต้องอย่างแท้จริง ซึ่งเป็นหัวใจของหลักสิทธิ์น้อยที่สุดและเป็นประเด็นที่พบซ้ำในการสอบ

บล็อก Condition ประกอบด้วยการทดสอบอย่างน้อยหนึ่งรายการ ซึ่งทั้งหมดต้องเป็นจริงเพื่อให้คำสั่งมีผล การทดสอบแต่ละรายการจะจับคู่ ตัวดำเนินการ กับ คีย์เงื่อนไขและค่า เช่น StringEquals กับ aws:PrincipalTag คีย์หลายรายการในบล็อกเดียวกันจะใช้เงื่อนไข AND ส่วนค่าหลายค่าในคีย์เดียวกันจะใช้เงื่อนไข OR

คีย์เงื่อนไขส่วนกลางปรากฏอยู่บ่อยครั้งในการสอบ:

• aws:SourceIp — จำกัดตามช่วง IP ของผู้เรียก
• aws:SecureTransport — กำหนดให้ใช้ TLS
• aws:MultiFactorAuthPresent — กำหนดให้ใช้ MFA
• aws:PrincipalOrgID — จำกัดให้เฉพาะองค์กรของคุณ

คีย์เฉพาะบริการ (เช่น s3:prefix) ช่วยควบคุมได้ละเอียดยิ่งขึ้น

รูปแบบที่ใช้กันทั่วไปคือการปฏิเสธการเข้าถึง เว้นแต่คำขอจะใช้ TLS เงื่อนไขในนโยบายบัคเก็ตนี้จะบล็อกการเรียกที่ไม่ใช่ HTTPS ทำให้มั่นใจได้ว่าข้อมูลระหว่างส่งจะถูกเข้ารหัสเสมอ ข้อสอบมักใช้กรณีนี้เป็นคำตอบสำหรับ "กำหนดให้เข้ารหัสข้อมูลระหว่างส่งสำหรับ S3"

ตัวดำเนินการกำหนดวิธีเปรียบเทียบค่า ได้แก่ StringEquals, StringLike (รองรับอักขระแทน), IpAddress, DateGreaterThan, Bool และ Null รวมถึงตัวอื่น ๆ การเพิ่ม IfExists ให้กับตัวดำเนินการจะทำให้เงื่อนไขผ่านเมื่อไม่มีคีย์ดังกล่าว การเลือกตัวดำเนินการที่ถูกต้องเป็นสิ่งสำคัญต่อการได้ตรรกะตามที่ต้องการ

อักขระแทน (* แทนลำดับอักขระใด ๆ และ ? แทนอักขระหนึ่งตัว) ช่วยให้นโยบายกระชับ แต่ก็อาจมอบสิทธิ์มากเกินไป s3:Get* ครอบคลุมการดำเนินการที่มีลักษณะเป็นการอ่านทั้งหมด ส่วน s3:* ครอบคลุมทุกอย่างใน S3 ใช้อักขระแทนที่แคบที่สุดเท่าที่ตอบโจทย์ และควรระวังอักขระแทนแบบกว้างในนโยบายทุกฉบับที่คุณตรวจสอบ

ARN ของทรัพยากรก็รองรับอักขระแทนเช่นกัน เช่น arn:aws:s3:::logs/2024/* เพื่อจำกัดขอบเขตไว้ที่คำนำหน้าหนึ่งรายการ วิธีนี้ทำให้นโยบายกำหนดเป้าหมายเป็นโฟลเดอร์หรือรูปแบบได้โดยไม่ต้องระบุออบเจ็กต์ทุกชิ้น แต่ Resource ที่เป็นเพียง "*" จะมอบขอบเขตการเข้าถึงทั่วทั้งบัญชี ดังนั้นควรพิจารณาเสมอว่าจำเป็นต้องกว้างถึงระดับนั้นจริงหรือไม่

ตัวแปรนโยบาย จะแทรกบริบทของคำขอในขณะประเมินโดยใช้ไวยากรณ์ ${...} ตัวแปรที่มีประโยชน์ที่สุดคือ ${aws:username} ซึ่งช่วยให้นโยบายเดียวมอบสิทธิ์แก่ผู้ใช้แต่ละคนเฉพาะทรัพยากรของตนเอง ตัวแปรทำให้นโยบายที่นำกลับมาใช้ใหม่ได้ฉบับเดียวทำงานแตกต่างกันตามผู้มีข้อมูลระบุตัวตน และช่วยขยายการใช้สิทธิ์น้อยที่สุดได้อย่างมีประสิทธิภาพ

คำสั่งนี้ช่วยให้ผู้ใช้แต่ละคนจัดการได้เฉพาะออบเจ็กต์ภายใต้โฟลเดอร์ที่ตั้งชื่อตามชื่อผู้ใช้ของตนเอง เป็นรูปแบบนโยบายเดียวสำหรับทุกคนที่มีประสิทธิภาพ

Attribute-Based Access Control (ABAC) ใช้แท็กในเงื่อนไข โดยเปรียบเทียบแท็กของผู้มีข้อมูลระบุตัวตน (aws:PrincipalTag) กับแท็กของทรัพยากร (aws:ResourceTag) เมื่อแท็กตรงกัน ระบบจะมอบสิทธิ์การเข้าถึง ABAC ขยายการใช้งานได้อย่างยอดเยี่ยม โดยคุณมอบสิทธิ์ตามแท็กแทนการเขียนนโยบายใหม่สำหรับทุกโครงการ ซึ่งเป็นแนวปฏิบัติสมัยใหม่ที่ข้อสอบเน้นย้ำ

ผสานเครื่องมือเหล่านี้อย่างมีเจตนา: ใช้ เงื่อนไข ควบคุมการเข้าถึงด้วย MFA, IP, TLS หรือการเป็นสมาชิกองค์กร ใช้ อักขระแทนอย่างประหยัดและจำกัดขอบเขต ใช้ ตัวแปรนโยบายและแท็กเพื่อมอบสิทธิ์น้อยที่สุดแบบปรับขนาดได้และแยกตามผู้มีข้อมูลระบุตัวตน เมื่อนำมารวมกัน เครื่องมือเหล่านี้ช่วยให้นโยบายที่ออกแบบมาอย่างดีฉบับเดียวบังคับใช้การเข้าถึงที่แม่นยำและคำนึงถึงบริบทกับข้อมูลระบุตัวตนและทรัพยากรจำนวนมาก

ทดสอบเงื่อนไขและตัวแปร

เงื่อนไขควบคุมคำสั่งตามคีย์บริบท (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) โดยใช้ตัวดำเนินการอย่าง StringLike และ Bool อักขระแทน (* และ ?) ช่วยให้นโยบายกระชับ แต่อาจมอบสิทธิ์มากเกินไป ตัวแปรนโยบาย เช่น ${aws:username} และ ABAC ตามแท็ก ช่วยมอบสิทธิ์น้อยที่สุดแบบปรับขนาดได้และแยกตามผู้มีข้อมูลระบุตัวตน