İlke Değerlendirme Karar Akışı

Herhangi bir istek AWS'ye ulaştığında IAM altyapısı, Allow veya Deny kararını vermek için kesin bir değerlendirme akışı çalıştırır. Bu sırayı ezberlemek SCS-C02 sınavı için yapabileceğiniz en değerli hazırlıklardan biridir; çünkü zor senaryo soruları, birden fazla politika devredeyken hangi politika türünün üstün geldiğine dayanır.

Başlangıç noktası her zaman örtük rettir. Değerlendirme sırasında hiçbir şey erişim izni vermiyorsa istek reddedilir. Varsayılan olarak reddetme yaklaşımı, bir eylemin başarılı olması için bir yerde açıkça izin vermeniz gerektiği anlamına gelir; sessizlik ret demektir.

En önemli tek kural şudur: uygulanabilir herhangi bir ilkenin herhangi bir yerindeki açık ret, tüm izinleri geçersiz kılar. Eyleme izin veren kaç ifade olursa olsun, eşleşen tek bir ret eylemi engeller. Koruma kuralları ve SCP'ler, alt düzey ilkelerin geçersiz kılamayacağı kesin sınırları bu şekilde uygular.

AWS, kavramsal olarak şu sırayla değerlendirme yapar: 1) Herhangi bir ilkede (SCP'ler, sınırlar, kimlik, kaynak, oturum) açık ret olup olmadığını denetler; varsa reddeder. 2) Bir SCP uygulanıyor ve eyleme izin vermiyorsa reddeder. 3) İzin sınırlarında, oturum ilkelerinde ve kimlik/kaynak ilkelerinde izin olup olmadığını denetler. Herhangi bir eksiklik örtük ret ile sonuçlanır.

AWS Organizations içindeki Service Control Policies (SCPs), bir hesap için en yüksek izinleri belirler. Bir eylemin başarılı olması için hem SCP tarafından hem de bir IAM ilkesi tarafından izin verilmesi gerekir. SCP'ler tek başlarına erişim izni vermez; yalnızca üst sınır koyar veya reddeder. SCP bir eyleme izin vermiyorsa hiçbir IAM izni bunu telafi edemez.

İzin sınırı, belirli bir kullanıcı veya rolün en yüksek izinlerini sınırlayan gelişmiş bir ilkedir. Etkin izinler, sınır ile kimlik ilkesinin kesişimidir. SCP'ler gibi bir sınır da yalnızca kısıtlama getirebilir; kimlik tabanlı bir ilkenin verdiği izinleri hiçbir zaman genişletemez.

Bir rol oturum ilkesi kullanılarak üstlenildiğinde, bu ilke yalnızca ilgili oturum için izinleri daha da daraltır. Sonuç yine bir kesişimdir: oturum, hem rolün ilkelerinin hem de oturum ilkesinin izin verdiğinden fazlasını yapamaz. Oturum ilkeleri, rol üstlenme sırasında kapsamı daraltmanızı sağlar.

Aynı hesap içindeki isteklerde, kaynak tabanlı bir izin, kimlik izni olmadan da erişim verebilir (birleşim). Hesaplar arası isteklerde ise ikisi de gerekir. Ayrıca bunların herhangi birindeki açık ret yine kazanır. Kaynak ilkesi, aynı genel akışa katılır.

Bir kimlik ilkesinin s3:DeleteObject eylemine izin verdiğini, ancak bir SCP'nin üretimdeki tüm s3:Delete* eylemlerini reddettiğini varsayalım. Sonuç: reddedilir; çünkü açık SCP reddi, kimlik iznini geçersiz kılar. Tersi durumda, SCP izin veriyor ancak hiçbir kimlik ilkesi eyleme izin vermiyorsa yine örtük ret nedeniyle reddedilir. İzin vermek için her iki katmanın da uyumlu olması gerekir.

Sınav senaryolarında SCP'ler, sınırlar, kimlik ve kaynak ilkeleri birlikte ele alınır, ardından sonuç sorulur. Güvenilir yöntem; önce herhangi bir açık ret olup olmadığını taramak, SCP'nin izin verdiğini doğrulamak, sınırın ve oturumun izin verdiğini doğrulamak ve bir kimlik veya kaynak izninin mevcut olduğunu doğrulamaktır. Her şey uyumluysa ve ret yoksa yanıt izindir.

Şu denetim listesini kullanın: (1) Açık ret var mı? Reddet. (2) SCP izni var mı? Yoksa reddet. (3) Sınır/oturum izni var mı? Yoksa reddet. (4) Kimlik veya kaynak izni var mı? Evetse ve ret yoksa izin ver; aksi durumda örtük ret uygula. Bunu mekanik biçimde uyguladığınızda, birden çok ilkenin bulunduğu sorular bile kolay anlaşılır hâle gelir.

Değerlendirme akışını test edin.

IAM değerlendirmesi örtük ret ile başlar ve açık ret her zaman kazanır. Bir eyleme izin vermek için hiçbir yerde açık ret olmamalı, SCP eyleme izin vermeli, izin sınırları ve oturum ilkeleri (kesişimler) eyleme izin vermeli ve bir kimlik veya kaynak izni mevcut olmalıdır. SCP'ler ve sınırlar yalnızca kısıtlar; hiçbir zaman izin vermez.