Rol Oluşturmayı Güvenle Yetkilendirme

Ekipler kendi IAM rollerini ve politikalarını oluşturabildiğinde daha hızlı ilerler; ancak kısıtlanmamış IAM erişimi tehlikelidir: bir geliştirici kendisine yönetici yetkileri verebilir. Zorluk, ekiplerin roller oluşturmasına izin verirken bu rollerin güvenli sınırlar içinde kalmasını garanti etmektir. İzin sınırları bunu mümkün kılar ve sınavda sıkça test edilen bir senaryodur.

Güvenlik korumaları olmadan birine iam:CreateRole ve iam:AttachRolePolicy vermek, fiilen yönetici yetkisi vermek demektir. Bu kişi AdministratorAccess içeren bir rol oluşturup bu rolü üstlenebilir. Bu ayrıcalık yükseltme yolu, meşru rol oluşturulmasına izin verilirken güvenli yetki devriyle kesinlikle kapatılmalıdır.

Çözüm şudur: Devredilmiş bir kullanıcının oluşturduğu her rolde belirli bir izin sınırının ekli olması zorunlu kılınır. Kullanıcı yeni role AdministratorAccess eklese bile sınır, etkili izinlerini kısıtlar. Oluşturulan rol, sınırın izin verdiği kapsamı hiçbir zaman aşamaz ve ayrıcalık yükseltme riski etkisiz hâle gelir.

Güvenli bir yetki devri politikası iki koşul denetimi kullanır: biri yeni rolün gerekli sınıra sahip olmasını (iam:PermissionsBoundary aracılığıyla), diğeri ise kullanıcının sınırı değiştirmesini veya silmesini kısıtlar. İkisi de gereklidir; aksi hâlde becerikli bir geliştirici sınırı sonradan kaldırabilir.

Bu koşul, her CreateRole çağrısında adı belirtilen sınırın eklenmesini zorunlu kılar. Bu koşul olmadan oluşturma eylemi reddedilir.

Devredilmiş kullanıcının sınır politikasını düzenlemesini veya sınırı rollerden ayırmasını da engellemelisiniz. Sınır ARN'sine karşı iam:DeleteRolePermissionsBoundary ve iam:CreatePolicyVersion gibi eylemlerde açık Deny ifadeleri ekleyin. Aksi hâlde güvenlik koruması sessizce kaldırılabilir ve tüm tasarım etkisizleşir.

Yetki devri politikaları, kullanıcının oluşturabileceği rollerin yolunu veya adlandırmasını genellikle kısıtlar; örneğin yalnızca /developers/ altında oluşturulmalarına izin verir. Bu, rollerini bilinen bir ad alanı içinde tutar, denetlemelerini kolaylaştırır ve hesabın başka yerlerindeki ayrıcalıklı rollere müdahale edilmesini önler.

Sınır olsa bile yeni rolün güven politikasını kontrol edin. Bir geliştirici, harici bir hesaba güvenen bir rol oluşturabilir. Güvenilen sorumlular olarak kimi belirleyebileceklerini kısıtlayın veya yetki devrini SCP'ler ve Access Analyzer ile birleştirerek beklenmeyen harici güven ilişkilerinin algılanıp engellenmesini sağlayın.

Doğru uygulandığında yetki devri, ekiplere gerçek bir öz hizmet olanağı verir: ekipler sınır içinde rolleri serbestçe oluşturup yönetirken güvenlik ekibi, hiçbir rolün tavanı aşamayacağını bilerek rahatça çalışır. Hız ile güvenlik arasındaki bu denge, SCS-C02 sınavının tasarlamanızı beklediği şeydir.

Çok hesaplı ortamlarda, kimlik başına uygulanan sınırları hesap genelindeki SCP'lerle birleştirin. SCP, hesabın tamamı için bir tavan belirler; sınırlar ise devredilmiş kullanıcı başına kısıtları ayrıntılandırır. Her iki katmanı kullanmak, bir denetimdeki açığın diğeri tarafından yakalanmasını sağlayarak derinlemesine savunma sunar.

Güvenli rol oluşturma yetki devri şunları gerektirir: oluşturulan her role izin sınırı eklenmesini zorunlu kılmak, açık retlerle sınırı değişiklikten veya kaldırılmaktan korumak, yolları/adları kapsamlandırmak ve yeni roller üzerindeki güveni kısıtlamak. Hesap genelindeki tavanlar için SCP'lerle katman oluşturun. Bu, ekiplere öz hizmet olanağı sunarken ayrıcalık yükseltme yollarını kapatır.

Güvenli yetki devrini test edin.

IAM rolü oluşturma yetkisinin güvenli biçimde devredilmesi; iam:PermissionsBoundary koşulu aracılığıyla oluşturulan her role izin sınırı eklenmesini zorunlu kılmayı, bu sınırda değişiklik yapılmasını reddetmeyi, rol yollarını/adlarını kapsamlandırmayı ve yeni rollerin güven politikalarını kısıtlamayı gerektirir. Ayrıcalık yükseltme yollarını kapatırken öz hizmet olanağı sağlamak için bunu hesap genelindeki tavanlar sunan SCP'lerle birleştirin.