IAM Kullanıcılarını ve Gruplarını Karşılaştırma

AWS Identity and Access Management (IAM), hesabınızda kimlerin ne yapabileceğini denetleyen hizmettir. En temel yapı taşlarından ikisi kullanıcılar ve gruplardır. Kullanıcı, bir kişiye veya uygulamaya bağlı kalıcı bir kimliktir; grup ise kullanıcıları bir araya getirerek aynı izinleri paylaşmalarını sağlayan basit bir kapsayıcıdır. Aralarındaki farkı anlamak, sınavdaki diğer her şeyin temelidir.

IAM kullanıcısı, hesabınız içinde benzersiz bir ada sahip uzun süreli bir kimliktir. İki tür kimlik bilgisine sahip olabilir:

• Web üzerinden oturum açmak için bir konsol parolası.
• Programatik API ve CLI çağrıları için erişim anahtarları (bir erişim anahtarı kimliği ve gizli anahtar).

Bu kimlik bilgileri uzun süre geçerli olduğundan AWS bunları daha yüksek riskli kabul eder. En iyi uygulama, çok sayıda kalıcı anahtara sahip kullanıcı oluşturmak yerine rolleri ve geçici kimlik bilgilerini tercih etmektir.

IAM grubu, ekli politikalar aracılığıyla izinleri paylaşan kullanıcılar topluluğudur. Gruplar erişim yönetimini ölçeklenebilir hâle getirir: aynı politikayı on geliştiriciye eklemek yerine, politikayı bir kez "Developers" grubuna ekler ve kullanıcıları gruba dahil edersiniz. Sınavın beklediği temel bilgiler:

• Bir grubun kimlik bilgileri yoktur ve bir politikada asıl varlık olamaz.
• Bir kullanıcı birden fazla gruba dahil olabilir.
• Gruplar başka grupların iç içe grubu olamaz.

Bir kullanıcı istek gönderdiğinde IAM, geçerli olan tüm politikaları birleştirir: doğrudan kullanıcıya eklenen politikaları ve kullanıcının dahil olduğu her gruba eklenen politikaları. Herhangi bir yerde açık bir reddetme bulunmadığı sürece sonuç, izin verilen tüm işlemlerin birleşimidir. Bu, açık bir reddetme ifadesi dışında grup üyeliğinin izinleri yalnızca ekleyebileceği, hiçbir zaman azaltamayacağı anlamına gelir.

İzinleri kullanıcı başına yönetmek yapılandırma sapmasına yol açar: zamanla her kullanıcıda denetlenmesi zor, biraz farklı bir politika kümesi birikir. Gruplar izinleri merkezileştirir; böylece tek bir politika değişikliği, bir roldeki herkese tutarlı biçimde uygulanır. Denetçi açısından "Admins" grubuna kimlerin dahil olduğunu listelemek, onlarca ayrı kullanıcıyı tek tek incelemekten çok daha kolaydır.

Yükseltilmiş erişime kimlerin sahip olduğunu denetlemek için üyeliği CLI üzerinden inceleyebilirsiniz. Aşağıdaki komut, bir grubun içindeki her kullanıcıyı listeler. Bu, aşırı yetkili erişim bulgusuna müdahale ederken sık kullanılan ilk adımlardan biridir.

IAM kullanıcılarını kök kullanıcıyla karıştırmayın. Kök kullanıcı, hesap açıldığında oluşturulan hesap sahibi kimliğidir ve IAM politikalarıyla sınırlandırılamayan sınırsız erişime sahiptir. AWS, kök kimlik bilgilerini güvenli bir yerde saklamanızı, üzerinde çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmenizi ve bu kullanıcıyı günlük işler için hiçbir zaman kullanmamanızı kesinlikle önerir. Bunun yerine ayrı IAM kullanıcıları oluşturun (daha iyisi, federasyon kullanın).

Her IAM kullanıcısında MFA etkin olmalıdır. MFA, parolaya ek olarak donanım anahtarı veya kimlik doğrulama uygulaması gibi ikinci bir faktör gerektirir. MFA'yı aws:MultiFactorAuthPresent gibi politika koşullarıyla zorunlu tutabilirsiniz. Sınavda; kaynakları silmek veya güvenlik ayarlarını değiştirmek gibi hassas işlemleri korumak için MFA kullanımına sıkça yer verilir.

Yaygın bir hata, EC2 (Elastic Compute Cloud) üzerinde çalışan uygulamalar için statik erişim anahtarlarına sahip IAM kullanıcıları oluşturmaktır. Bu, sızabilecek uzun süreli gizli bilgileri uygulamaya gömer. Güvenli yaklaşım, bundan sonra ele alacağımız üzere örneğe eklenmiş bir IAM rolü kullanmaktır. İnsan ekipleri için, kullanıcıları tek tek yönetmek yerine IAM Identity Center federasyonunu tercih edin.

IAM kimlik bilgileri raporu, her kullanıcıyı, parolasının ve erişim anahtarlarının en son ne zaman kullanıldığını ve MFA'nın etkin olup olmadığını listeleyen indirilebilir bir CSV dosyasıdır. IAM Access Analyzer ve son erişim verileriyle birlikte kullanıldığında, eski kullanıcıları, kullanılmayan anahtarları ve gereğinden geniş grupları bulmanıza yardımcı olur. Düzenli inceleme, sınavda ödüllendirilen en az ayrıcalık ilkesine uygun güvenlik uygulamalarının temel bir parçasıdır.

Bir kişi veya eski bir uygulama için ayrı ve kimlik bilgileriyle doğrulanan bir kimliğe ihtiyacınız olduğunda kullanıcıları kullanın. Paylaşılan izinleri düzenli biçimde atamak ve kullanıcılar arasındaki yapılandırma farklılıklarını önlemek için grupları kullanın. Modern tasarımlarda, kalıcı kullanıcıları mümkün olduğunca azaltır; iş yükleri için rollerden, insanlar içinse federasyondan yararlanırsınız. Kullanıcılar ve gruplar hâlâ temel kavramlardır, ancak varış noktası değil, başlangıç noktasıdır.

Kullanıcılarla gruplar arasındaki farkı ne kadar kavradığınızı sınayın.

Bir IAM kullanıcısının uzun süreli kimlik bilgilerine sahip bir kimlik, bir IAM grubunun ise kullanıcıları ortak politikaları paylaşmak üzere bir araya getiren, kimlik bilgisi içermeyen bir kapsayıcı olduğunu öğrendiniz. İzinler, kullanıcı ve grup politikalarının birleşimidir; gruplar iç içe yerleştirilemez ve kök kullanıcı MFA ile güvenli biçimde kilit altında tutulmalıdır. Uzun süre geçerli gizli bilgileri ve yapılandırma farklılıklarını önlemek için iş yüklerinde rolleri, insanlarda federasyonu tercih edin.