นโยบายความน่าเชื่อถือและผู้ที่ใช้ AssumeRole ได้

นโยบายความไว้วางใจคือเอกสารที่แนบกับบทบาทและกำหนดอย่างชัดเจนว่า ผู้มีสิทธิ์รายใดได้รับอนุญาตให้สวมบทบาท นโยบายนี้ทำหน้าที่เป็นผู้เฝ้าประตู แม้นโยบายสิทธิ์จะให้สิทธิ์ที่มีอำนาจสูง แต่จะไม่มีใครใช้บทบาทได้หากนโยบายความไว้วางใจไม่ได้ระบุชื่อไว้ ในการสอบ ข้อผิดพลาดของนโยบายความไว้วางใจเป็นสาเหตุที่พบบ่อยของทั้งการเข้าถึงที่ใช้งานไม่ได้และการให้สิทธิ์กว้างเกินไปจนเป็นอันตราย

องค์ประกอบ Principal ของนโยบายความไว้วางใจสามารถอ้างอิงถึง:

• AWS — บัญชี ผู้ใช้ หรือ ARN ของบทบาท (Amazon Resource Name)
• Service — บริการ AWS เช่น lambda.amazonaws.com
• Federated — ผู้ให้บริการ SAML หรือผู้ให้บริการข้อมูลประจำตัวผ่านเว็บ

การเลือกประเภทผู้มีสิทธิ์ให้ถูกต้องและระบุให้เฉพาะเจาะจงเป็นสิ่งสำคัญ เพื่อหลีกเลี่ยงการมอบความไว้วางใจมากกว่าที่ตั้งใจ

การสวมบทบาทข้ามบัญชีต้องได้รับความเห็นชอบจาก ทั้งสองฝ่าย นโยบายความไว้วางใจของบทบาทในบัญชีเป้าหมายต้องอนุญาตผู้มีสิทธิ์ที่เรียกใช้ และผู้มีสิทธิ์นั้นต้องมีนโยบายข้อมูลประจำตัวที่อนุญาตให้ใช้ sts:AssumeRole กับ ARN ของบทบาท หากขาดส่วนใดส่วนหนึ่ง คำขอจะถูกปฏิเสธ การจับมือสองทางนี้เป็นกับดักคลาสสิกในข้อสอบ

นโยบายความไว้วางใจนี้อนุญาตให้บทบาทที่ระบุในบัญชี 111122223333 สวมบทบาทได้ การระบุ ARN ที่แน่นอนแทนการระบุทั้งบัญชีมีขอบเขตแคบกว่าและปลอดภัยกว่า

การระบุผู้มีสิทธิ์เป็น arn:aws:iam::ACCOUNT:root หมายถึงการไว้วางใจ ทั้งบัญชี กล่าวคือผู้มีสิทธิ์รายใดก็ตามในบัญชีนั้นที่มีสิทธิ์ sts:AssumeRole ก็สามารถสวมบทบาทได้ วิธีนี้มีขอบเขตกว้าง หากเป็นไปได้ ให้ระบุ ARN ของผู้ใช้หรือบทบาทที่แน่นอน เพื่อปฏิบัติตามหลักสิทธิ์เท่าที่จำเป็นและลดขอบเขตของความไว้วางใจ

นโยบายความไว้วางใจรองรับบล็อก Condition เพื่อจำกัดให้เข้มงวดยิ่งขึ้นว่าใครสามารถสวมบทบาทได้และสวมบทบาทอย่างไร คีย์ที่ใช้บ่อย ได้แก่ sts:ExternalId (เพื่อป้องกันปัญหาตัวแทนที่สับสน), aws:MultiFactorAuthPresent (กำหนดให้ใช้ MFA) และ aws:SourceIp เงื่อนไขช่วยให้อนุญาตการสวมบทบาทได้เฉพาะในสถานการณ์ที่กำหนดและตรวจสอบได้

รูปแบบที่มีประสิทธิภาพคือการกำหนดให้ใช้ MFA ก่อนสวมบทบาทที่มีความละเอียดอ่อน เงื่อนไขในนโยบายความไว้วางใจจะตรวจสอบว่าเซสชันที่เรียกใช้ผ่านการยืนยันตัวตนด้วย MFA หรือไม่ ซึ่งหมายความว่าแม้ข้อมูลรับรองระยะยาวจะถูกขโมยไป ก็ยังไม่สามารถสวมบทบาทที่มีสิทธิ์สูงได้หากไม่มีปัจจัยที่สอง ช่วยเพิ่มความยากให้ผู้โจมตีอย่างมาก

บทบาทบางรายการเป็น บทบาทที่เชื่อมโยงกับบริการ ซึ่ง AWS กำหนดไว้ล่วงหน้าพร้อมนโยบายความไว้วางใจที่คุณแก้ไขไม่ได้ บทบาทเหล่านี้ช่วยให้บริการจัดการทรัพยากรแทนคุณด้วยความไว้วางใจตามที่ AWS กำหนดไว้อย่างพอดี การจำแนกบทบาทเหล่านี้เป็นสิ่งสำคัญ เพราะสิทธิ์และความไว้วางใจถูกควบคุมอย่างเข้มงวดและผูกกับวงจรชีวิตของบริการ

โดยทั่วไป การไว้วางใจผู้มีสิทธิ์ภายใน (บัญชีเดียวกัน) มีความเสี่ยงต่ำกว่าการไว้วางใจ บัญชีภายนอก หรือผู้ให้บริการ SaaS ภายนอก สำหรับความไว้วางใจภายนอก ให้ใช้ผู้มีสิทธิ์ที่ระบุเฉพาะเจาะจงร่วมกับเงื่อนไข เช่น ExternalId เสมอ โปรดมองทุกคำสั่งความไว้วางใจภายนอกเป็นจุดทางเข้าที่ผู้โจมตีต้องการใช้ประโยชน์

IAM Access Analyzer จะตรวจสอบนโยบายความไว้วางใจและนโยบายทรัพยากรโดยอัตโนมัติ เพื่อค้นหาบทบาทที่บัญชีภายนอกหรือสาธารณะสามารถสวมบทบาทได้ ระบบจะแจ้งความไว้วางใจข้ามบัญชีหรือความไว้วางใจสาธารณะที่ไม่ได้ตั้งใจ เพื่อให้คุณจำกัดขอบเขตได้ การตรวจสอบผลการค้นพบของ Access Analyzer เป็นการควบคุมที่แนะนำและเกี่ยวข้องกับข้อสอบสำหรับตรวจจับความไว้วางใจที่กว้างเกินไป

การออกแบบความไว้วางใจอย่างปลอดภัยควรระบุผู้มีสิทธิ์ที่เฉพาะเจาะจงที่สุด เพิ่มเงื่อนไข เช่น ExternalId และ MFA เมื่อเหมาะสม เลือกใช้บทบาทแทนความไว้วางใจระดับรากของบัญชี และตรวจสอบด้วย Access Analyzer โปรดจำไว้ว่านโยบายความไว้วางใจตอบคำถามว่า ใคร ส่วนนโยบายสิทธิ์ตอบคำถามว่า อะไร ทั้งสองส่วนต้องสอดคล้องกันเพื่อให้การเข้าถึงทำงานได้และยังคงเป็นไปตามหลักสิทธิ์เท่าที่จำเป็น

ทดสอบความรู้ของคุณเกี่ยวกับนโยบายความไว้วางใจ

นโยบายความไว้วางใจกำหนดว่า ผู้มีสิทธิ์รายใดสามารถสวมบทบาทได้ และทำหน้าที่เป็นผู้เฝ้าประตูโดยไม่ขึ้นกับนโยบายสิทธิ์ การสวมบทบาทข้ามบัญชีต้องมี การจับมือสองทาง ได้แก่ นโยบายความไว้วางใจและสิทธิ์ sts:AssumeRole ของผู้เรียกใช้ ควรเลือกใช้ ARN ของผู้มีสิทธิ์ที่ระบุเฉพาะเจาะจงแทนรากของบัญชี เพิ่ม เงื่อนไข เช่น ExternalId และ MFA และตรวจสอบด้วย IAM Access Analyzer