Koşullar, Joker Karakterler ve İlke Değişkenleri

Eylem ve kaynağın ötesinde IAM, ilkeleri kesin ve dinamik hâle getirmek için güçlü araçlar sunar: koşullar, joker karakterler ve ilke değişkenleri. Bunlarda ustalaşmak, tam olarak gereken erişimi tam olarak doğru koşullar altında vermenizi sağlar. Bu da en az ayrıcalık ilkesinin özüdür ve sınavlarda sıkça ele alınır.

Bir Condition bloğu, ifadenin uygulanması için tümünün doğru olması gereken bir veya daha fazla test içerir. Her test, bir işleci bir koşul anahtarı ve bir değerle eşleştirir; örneğin aws:PrincipalTag üzerinde StringEquals. Tek bir bloktaki birden çok anahtar AND ile birleştirilir; tek bir anahtarın birden çok değeri OR ile birleştirilir.

Genel koşul anahtarları sınavda sürekli karşınıza çıkar:

• aws:SourceIp — çağıranın IP aralığına göre kısıtlar.
• aws:SecureTransport — TLS kullanılmasını zorunlu kılar.
• aws:MultiFactorAuthPresent — MFA kullanılmasını zorunlu kılar.
• aws:PrincipalOrgID — erişimi kuruluşunuzla sınırlar.

Hizmete özgü anahtarlar (örneğin s3:prefix) daha da ince denetim sağlar.

Klasik bir yaklaşım, istek TLS kullanmadığı sürece erişimi reddeder. Bu paket ilkesi koşulu, HTTPS olmayan tüm çağrıları engelleyerek aktarım sırasındaki verilerin her zaman şifrelenmesini sağlar. Sınavda bu, "S3 için aktarım sırasında şifreleme zorunlu olsun" sorusunun yanıtı olarak sıkça kullanılır.

İşleçler, değerlerin nasıl karşılaştırılacağını tanımlar: StringEquals, StringLike (joker karakterleri destekler), IpAddress, DateGreaterThan, Bool ve diğerlerinin yanı sıra Null. Bir işlece IfExists eklendiğinde, anahtar mevcut değilse işlem başarılı olur. Amaçlanan mantığı elde etmek için doğru işleci seçmek çok önemlidir.

Joker karakterler (herhangi bir dizi için *, tek bir karakter için ?) ilkeleri kısa ve öz hâle getirir, ancak gereğinden fazla izin verebilir. s3:Get*, okuma türündeki tüm işlemleri kapsar; s3:*, S3 içindeki her şeyi kapsar. İhtiyacı karşılayan en dar joker karakteri kullanın ve incelediğiniz herhangi bir ilkedeki geniş joker karakterlere temkinli yaklaşın.

Kaynak ARN'leri de joker karakterleri kabul eder; örneğin arn:aws:s3:::logs/2024/* ifadesi kapsamı tek bir ön ekle sınırlar. Böylece her nesneyi tek tek listelemeden bir klasörü veya deseni hedefleyen bir ilke oluşturabilirsiniz. Ancak yalnızca "*" olan bir Resource, hesap genelinde erişim verir; bu nedenle böyle geniş bir kapsamın gerçekten gerekli olup olmadığını her zaman sorgulayın.

İlke değişkenleri, ${...} söz dizimini kullanarak değerlendirme sırasında istek bağlamını ekler. En kullanışlı değişken ${aws:username} değeridir; tek bir ilkenin her kullanıcıya yalnızca kendi kaynaklarına erişim vermesini sağlar. Değişkenler, tek bir yeniden kullanılabilir ilkenin her sorumluya göre farklı davranmasını sağlayarak en az ayrıcalık ilkesini zarif biçimde ölçeklendirir.

Bu ifade, her kullanıcının yalnızca kullanıcı adıyla adlandırılmış bir klasörün altındaki nesneleri yönetmesine izin verir. Bu, herkes için tek ilke kullanılan güçlü bir yaklaşımdır.

Attribute-Based Access Control (ABAC), koşullarda etiketleri kullanır ve sorumlunun etiketlerini (aws:PrincipalTag) bir kaynağın etiketleriyle (aws:ResourceTag) karşılaştırır. Eşleştiklerinde erişim verilir. ABAC son derece iyi ölçeklenir: her proje için yeni bir ilke yazmak yerine etikete göre erişim verirsiniz. Bu, sınavın öne çıkardığı modern bir en iyi uygulamadır.

Bu araçları bilinçli biçimde birleştirin: erişimi MFA, IP, TLS veya kuruluş üyeliğine göre koşullandırmak için koşulları; az ve dar kapsamlı olarak joker karakterleri; ölçeklenebilir, sorumluya özel en az ayrıcalık için ilke değişkenlerini ve etiketleri kullanın. Birlikte bunlar, iyi hazırlanmış tek bir ilkenin birçok kimlik ve kaynak genelinde kesin, bağlama duyarlı erişim uygulamasını sağlar.

Koşulları ve değişkenleri test edin.

Koşullar, StringLike ve Bool gibi işleçleri kullanarak ifadeleri bağlam anahtarlarına (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) göre sınırlar. Joker karakterler (* ve ?) ilkeleri kısa ve öz tutar, ancak gereğinden fazla izin verebilir. ${aws:username} gibi ilke değişkenleri ve etiket tabanlı ABAC, ölçeklenebilir ve sorumluya özel en az ayrıcalık sağlar.