IAM İlke Belgesinin Yapısı

AWS'de izinler politikalar olarak ifade edilir: kaynaklar üzerindeki eylemlere erişim veren veya erişimi reddeden JSON belgeleri. Bir politikayı akıcı biçimde okuyabilmek temel bir SCS-C02 becerisidir; çünkü neredeyse her erişim sorusu, bir politikanın neye izin verdiği, neyi reddettiği veya neleri kapsamadığı sorusuna dayanır. Bu derste yapı parça parça incelenir.

Bir politika, Version alanı ("2012-10-17" kullanın) ve tek bir ifade veya ifadeler dizisi olan bir Statement öğesi içerir. Her ifade bağımsız bir kuraldır. AWS her ifadeyi değerlendirir; bu nedenle tek bir belge bazı eylemlere izin verirken diğerlerini açıkça reddedebilir.

Her ifade, Allow veya Deny değerlerinden birine sahip bir Effect içerir. AWS varsayılan olarak reddeder: eşleşen bir Allow yoksa istek reddedilir. Eşleşen bir Deny, her zaman herhangi bir Allow'a üstün gelir. Erişimi değerlendirirken her ifadenin Effect değerini belirlemek kontrol edilmesi gereken ilk noktadır.

Action öğesi, ifadenin uygulandığı API işlemlerini service:operation biçiminde listeler; örneğin s3:GetObject. s3:* veya s3:Get* gibi joker karakterlere izin verilir. Bunun tersi olan NotAction, listelenenler dışındaki tüm eylemlerle eşleşir ve kolayca yanlış kullanılabilir; bu nedenle sınavda dikkatle ölçülür.

Resource öğesi, eylemlerin hangi kaynaklara uygulanacağını ARN'ler (Amazon Kaynak Adları) kullanarak belirtir. Örneğin belirli bir paket ve bu paketteki nesneler. "*" değeri tüm kaynaklar anlamına gelir. NotResource, listelenen ARN'ler dışındaki her şeyle eşleşir. Kaynakların kapsamını sıkı tutmak, en az yetkinin temelidir.

Bu kimlik politikası yalnızca bir paketteki nesnelerin okunmasına izin verir. Eyleme, belirli nesne düzeyindeki ARN'ye ve açık Allow etkisine dikkat edin.

İsteğe bağlı bir Condition bloğu, bağlam anahtarlarını ve işleçleri kullanarak bir ifadenin ne zaman uygulanacağını kısıtlar. Örneğin yalnızca istek TLS (aws:SecureTransport) kullanıyorsa veya bilinen bir IP'den geliyorsa izin verebilirsiniz. Koşullar, yalnızca eylem ve kaynağın ötesinde ayrıntılı ve bağlam duyarlı denetim eklemenizi sağlar.

Kimlik tabanlı politikalar zaten bir principal'a ekli oldukları için Principal öğesini içermez. Kaynak tabanlı politikalar (S3 paket politikası gibi), kuralın kime uygulandığını belirtmek için Principal içerir. Bir politikada Principal olup olmadığını fark etmek, hangi tür politikayı okuduğunuzu anlamanızı sağlar.

"Action": "*" ve "Resource": "*" gibi joker karakterler birlikte tam yönetici erişimi verir. Sınavda sıkça aşırı izinli bir politika gösterilir ve kapsamının daraltılması istenir. Çözüm, en az yetki ilkesini uygulayarak joker karakterleri belirli eylemler ve ARN'lerle değiştirmektir.

Bir ARN şu biçimdedir: arn:partition:service:region:account:resource. Bazı hizmetler bölgeyi veya hesabı belirtmez (S3, paket bölümü için her ikisini de belirtmez). ARN'leri doğru okumak, bir politikanın tek bir kaynağı, tek bir hesabı veya her şeyi hedefleyip hedeflemediğini anlamanızı sağlar; bu da verilen erişimin kapsamını doğrudan etkiler.

Herhangi bir politikayı analiz etmek için Effect değerini kontrol edin, Action değerini okuyun (NotAction ve joker karakterlere dikkat edin), Resource kapsamını belirleyin ("*" değerine dikkat edin) ve varsa Condition bölümünü inceleyin. Açık reddetmenin izinden üstün olduğunu ve varsayılanın reddetme olduğunu unutmayın. Pratik yaptıkça bir politikanın gerçek erişim kapsamını saniyeler içinde değerlendirebilirsiniz; sınavın tam olarak beklediği de budur.

Politika okuma becerinizi sınayın.

Bir IAM politikası, Version ve Statement dizisini içeren JSON'dur. Her ifadenin bir Effect (Allow/Deny), ARN'ler aracılığıyla bir Action (veya NotAction), bir Resource (veya NotResource) ve isteğe bağlı bir Condition bölümü vardır. Kaynak tabanlı politikalar bir Principal ekler. Varsayılan reddetmedir, açık reddetme her zaman üstün gelir ve joker karakterler, daraltılması gereken aşırı izinlerin işaretidir.