İzin Sınırının Kısıtladıkları

İzin sınırı, bir kullanıcının veya rolün sahip olabileceği en yüksek izinleri belirleyen gelişmiş bir IAM özelliğidir. Tek başına hiçbir izin vermez; kimliğe dayalı politikaların etkili biçimde verebileceği izinleri sınırlar. İzin sınırları, izin yönetiminin güvenli biçimde devredilmesini sağladığı için sınavda sıkça sorulan konulardandır.

Kimliğe dayalı politika izinleri verir; izin sınırı ise bunları sınırlar. Etkili izinler ikisinin kesişimidir: bir eyleme yalnızca hem kimlik politikasında hem de sınırda izin veriliyorsa izin verilir. Sınır, kimlik politikasının verdiği izinleri daraltabilir; ancak hiçbir zaman genişletemez.

Bir kullanıcının kimlik politikasının S3 ve EC2'ye tam erişime izin verdiğini, ancak izin sınırının yalnızca S3'e izin verdiğini varsayalım. Sınır izinleri kısıtladığı için kullanıcı yalnızca S3 eylemlerini gerçekleştirebilir. Sınırı kaldırdığınızda EC2 izinleri yeniden etkili olur. Sınır, fark edilmeden bir üst sınırı uygular.

Bu sınır politikası yalnızca S3 ve CloudWatch eylemlerine izin verir. Kimlik politikası ne söylerse söylesin, kullanıcı bu hizmetlerin izin verdiği kapsamı hiçbir zaman aşamaz.

Temel kullanım alanı güvenli yetki devridir. Geliştiricilerin kendi IAM rollerini oluşturmasını istersiniz; ancak aşırı izinler vermelerinden endişe edersiniz. Oluşturdukları her rolün bir izin sınırı taşımasını zorunlu kılarak, ekli politika ne kadar geniş olursa olsun bu rollerin sınırı aşamayacağını garanti edersiniz.

Hem sınırlar hem de SCP'ler izinleri sınırlar; ancak kapsamları farklıdır. İzin sınırı tek bir kullanıcıya veya role uygulanır ve IAM içinde ayarlanır. SCP ise bir kuruluştaki hesapların tamamına uygulanır. Sınav, doğru aracı seçmenizi ölçer: kimlik başına kullanımda sınır, hesap genelinde kullanımda SCP tercih edilir.

Değerlendirme akışında açık bir Deny, sınırlar dâhil her şeye üstün gelir. Bunun dışında sınır bir tavan görevi görür: eylemin hem kimlik politikasında hem de sınırda Allow iznine sahip olması gerekir. Kaynak tabanlı politikalar bazı durumlarda sınıra bağlı olmadan erişim verebilir; bu, hatırlamaya değer bir ayrıntıdır.

Sık rastlanan bir yanlış kanı, bir eylemi sınıra eklemenin o eylem için izin verdiğidir. Böyle olmaz. Kimlik politikasında izin yoksa sınırın bu eyleme izin vermesinin hiçbir etkisi olmaz. Eylemin başarılı olması için kimlik politikası izin vermeli ve sınır da izin vermelidir.

Sınavda ölçülen bir ayrıntı şudur: izin sınırları, bir sorumlunun kimliğe dayalı politikalarının yapabileceklerini sınırlar; ancak bazı durumlarda bu sorumluya bir kaynak tabanlı politika aracılığıyla verilen erişimi sınırlandırmaz. Örneğin rolü S3 ile sınırlayan bir sınır olsa bile rol, kuyruk politikası aracılığıyla SQS erişimi alabilir. Tasarımınızı bu boşluğu göz önünde bulundurarak yapın.

Devredilen sorumluların her zaman bir sınır eklemesini zorunlu kılmak için, oluşturdukları herhangi bir rolde iam:PermissionsBoundary değerinin belirli bir sınır ARN'sine eşit olmasını gerektiren bir izin politikası yazarsınız. Bu, geliştiricinin güvenlik koruması olmadan rol oluşturmasını önleyerek yetki devri açığını kapatır.

Bir izin sınırı, tek bir kullanıcının veya rolün sahip olabileceği en yüksek izinleri sınırlar: etkili erişim, sınır ile kimlik politikasının kesişimidir. Tek başına izin vermez. Temel amacı IAM rolü oluşturma yetkisinin güvenli biçimde devredilmesidir; bu, iam:PermissionsBoundary koşulu aracılığıyla sınırın zorunlu kılınmasıyla uygulanır.

İzin sınırı mantığını test edin.

Bir izin sınırı, tek bir kullanıcının veya rolün en yüksek izinlerini belirler; etkili erişim, sınır ile kimlik politikasının kesişimidir. Tek başına izin vermez ve açık bir ret yine üstün gelir. Temel amacı güvenli yetki devridir; bu, iam:PermissionsBoundary koşulu aracılığıyla zorunlu kılınır.