SCP'lerin IAM İzinleriyle Birleşimi

Bir kuruluştaki erişim iki katman tarafından yönetilir: AWS Kuruluşları'nın belirlediği SCP üst sınırı ve hesap içinde verilen IAM izinleri. Bunların nasıl birleştiğini anlamak, yönetişim alanında sınavlarda en sık ölçülen konulardan biridir; çünkü sonuç her ikisinin de izin vermesine bağlıdır.

Kural basit ama katıdır: bir eyleme yalnızca hem geçerli SCP'ler hem de hesabın IAM ilkeleri tarafından izin veriliyorsa izin verilir. Etkin izin, bu ikisinin kesişimidir. Buna karşılık gelen bir IAM izni olmadan bir SCP hiçbir şey vermez; bir SCP tarafından engellenen IAM izni de hiçbir şey vermez.

SCP bir eyleme izin veriyor ancak hiçbir IAM ilkesi bu eylemi vermiyorsa sonuç, IAM'in örtük reddi nedeniyle reddedilir. SCP yalnızca eylemi mümkün kılmıştır; eyleme gerçekten yine IAM tarafından izin verilmesi gerekir. Pek çok öğrenci SCP'nin izin değil, üst sınır olduğunu unutur.

Buna karşılık, bir IAM ilkesi bir eyleme izin veriyor ancak bir SCP bunu reddediyorsa sonuç reddedilir. SCP'nin reddi, IAM ne kadar geniş izinler verse de hesabın üst sınırını belirler. Kuruluş, yerel yöneticilerin geçersiz kılamayacağı kesin sınırları bu şekilde uygular.

Eyleme yalnızca hem SCP hem de bir IAM ilkesi izin verdiğinde ve hiçbir yerde açık bir ret bulunmadığında istek kabul edilir. Bu kesişim mantığı, izin sınırlarının çalışma biçimini yansıtır; ikisi aynı anda uygulanarak izinleri daha da daraltabilir.

Tamamen yönetilen bir ortamda birkaç üst sınır üst üste uygulanır: SCP (hesap düzeyi), izin sınırı (kimlik düzeyi), varsa oturum ilkesi (oturum düzeyi) ve kimlik ilkesi (izin verme). Etkin izin, tüm üst sınırların kesişimine izin verme eklenmesi ve açık retlerin çıkarılmasıyla elde edilir.

s3:* ve ec2:* izinleri veren bir IAM ilkesi, yalnızca s3:* için izin veren bir izin sınırı ve yalnızca s3:GetObject için izin veren bir SCP olduğunu düşünün. Etkin izin, üç katmanın kesişimi olan yalnızca s3:GetObject olur. Her üst sınır izinleri daha da azaltır.

Her katmanda, herhangi bir ilke, SCP, sınır, oturum, kimlik veya kaynak içindeki açık bir Ret eylemi derhâl engeller. Hiçbir izin birleşimi bunu geçersiz kılamaz. Bir senaryoyu incelerken önce açık bir ret olup olmadığını tarayın; varsa yanıt reddetmedir.

Kaynak tabanlı ilkeler, kimlik ilkesinden bağımsız olarak aynı hesaba erişim verebilir; ancak SCP'ler yine de sorumlunun hesabına üst sınır koyar. Hesaplar arası erişimde her iki hesabın denetimleri ve her iki taraftaki ilkeler uygulanır. Kesişim kuralı genişler, ancak temel fikir aynıdır: geçerli her üst sınır izin vermelidir.

Bir kuruluşta erişim beklenmedik şekilde başarısız olduğunda dışa doğru ilerleyin: önce kimlik ilkesinin eyleme izin verdiğini doğrulayın, ardından izin sınırını, hesap üzerindeki ve her üst OU'daki SCP'leri, sonra varsa oturum ilkesini kontrol edin ve son olarak tüm katmanları açık ret açısından tarayın. Eylemi içermeyen ilk üst sınır veya herhangi bir ret, sorunun kaynağıdır.

SCP'ler ve IAM, kesişim yoluyla birleşir: bir eylem için her ikisinden izin, ayrıca varsa sınır ve oturum üst sınırlarının izni gerekir; hiçbir yerde açık ret bulunmamalıdır. SCP'ler ve sınırlar yalnızca kısıtlar; IAM ilkeleri ise izin verir. Bir eyleme izin vermek için her üst sınırın buna izin vermesi ve en az bir izin verme ilkesinin bulunması gerekir.

Birleşim mantığını sınayın.

SCP'ler ve IAM, kesişim yoluyla birleşir: bir eyleme yalnızca her ikisi izin veriyorsa, ayrıca varsa izin sınırı ve oturum ilkesi üst sınırları da izin veriyorsa ve hiçbir yerde açık ret yoksa izin verilir. SCP'ler ve sınırlar yalnızca kısıtlar; IAM ilkeleri izin verir. Herhangi bir katmandaki açık ret, her zaman tüm izinlere üstün gelir.