Kimlik Tabanlı ve Kaynak Tabanlı İlkeler

AWS'deki izinler, iki yerde eklenen politikalardan gelir: bir kimliğe (kullanıcı, grup veya rol) ya da bir kaynağa (S3 paketi veya KMS anahtarı gibi). Hangi türün geçerli olduğunu ve bunların nasıl birleştiğini bilmek sınav için çok önemlidir; çünkü hesaplar arası erişim tamamen bu ayrıma bağlıdır.

Kimlik tabanlı politika, bir IAM principal'ına eklenir ve bu principal'ın neler yapabileceğini tanımlar. Principal, politikanın eklendiği kişi veya kaynak olduğundan Principal öğesi yoktur. Bunlar AWS tarafından yönetilen, müşteri tarafından yönetilen veya satır içi politikalar olabilir ve izin vermenin en yaygın yoludur.

Kaynak tabanlı politika, doğrudan bir kaynağa eklenir ve erişime kimin izinli olduğunu belirten bir Principal öğesi içerir. S3 paket politikaları, KMS anahtar politikaları, SQS kuyruk politikaları ve Lambda işlev politikaları bunlara örnektir. Bu politikalar, tek bir kaynak üzerinde hem kimin (Principal) hem de neyin (Action) yapılabileceğini belirtir.

Bu S3 paket politikası başka bir hesaba okuma erişimi verir. Principal, güvenilen hesabı belirtir; bunu yalnızca kaynak tabanlı bir politika yapabilir.

Tek bir hesap içinde kimlik tabanlı ve kaynak tabanlı politikalar bir birleşim olarak değerlendirilir: politikalardan herhangi biri isteğe izin veriyorsa ve hiçbir politika reddetmiyorsa istek kabul edilir. Bu nedenle bir S3 nesnesine, kullanıcının politikası veya paket politikası izin veriyorsa erişilebilir. Erişimi taraflardan birinin açması yeterlidir.

Hesaplar arası erişimde kural daha katıdır: her iki taraf da izin vermelidir. Principal'ın eyleme izin veren bir kimlik tabanlı politikaya sahip olması ve diğer hesaptaki kaynak tabanlı politikanın bu principal'a erişim vermesi gerekir. İki parçadan biri eksikse istek reddedilir. Bu ayrım sınavda yoğun biçimde ölçülür.

Rollerdeki güven politikaları teknik olarak bir tür kaynak tabanlı politikadır. Bu nedenle hesaplar arası rol üstlenme işlemi, güven politikasının yanı sıra çağrıyı yapanın sts:AssumeRole kimlik iznini de gerektirir. Güven politikasını kaynak tabanlı olarak tanımak, erişimin nasıl verildiğine ilişkin zihinsel modelinizi bütünleştirmenize yardımcı olur.

Her hizmet kaynak tabanlı politikaları desteklemez. Destekleyen başlıca hizmetler şunlardır: S3, KMS, SQS, SNS, Lambda, Secrets Manager ve ECR. Bir hizmette kaynak politikaları yoksa hesaplar arası erişim bunun yerine rol üstlenme yoluyla verilmelidir. Sınav, seçilen yaklaşımın belirli bir hizmet için mümkün olup olmadığını ölçebilir.

Genel olarak "bu ekip şu işleri yapabilir" türündeki izinler için kimlik tabanlı politikaları kullanın. Belirli bir harici principal'a erişim vermeniz, destekleyen bir hizmette hesaplar arası paylaşımı etkinleştirmeniz veya kaynakla birlikte taşınan izinler ayarlamanız gerektiğinde kaynak tabanlı politikaları kullanın.

Erişim her iki taraftan da gelebileceği için denetim sırasında her ikisini de kontrol etmek gerekir. IAM Access Analyzer, harici olarak veya herkese açık biçimde paylaşılan kaynakları bulmak için kaynak tabanlı politikaları inceler. Politika benzetimi ve son erişim verileri kimlik tarafında yardımcı olur. Eksiksiz bir inceleme hiçbir zaman yalnızca tek bir türe bakmaz.

Aynı hesap içi erişim bir birleşimdir (her iki politikadan biri izin verebilir); hesaplar arası erişimde ise hem kimlik politikasının hem de kaynak politikasının izin vermesi gerekir. Kimlik politikalarında Principal bulunmaz; kaynak politikalarında bulunur. Politika türünü senaryoya uygun seçin ve hangi hizmetlerin kaynak tabanlı politikaları desteklediğini hatırlayın.

Politika türlerini ayırt etme becerinizi sınayın.

Kimlik tabanlı politikalar principal'lara eklenir ve Principal öğesi içermez; kaynak tabanlı politikalar kaynaklara eklenir ve bir Principal belirtir. Aynı hesap içi erişim ikisinin birleşimidir; hesaplar arası erişimde her ikisinin de izin vermesi gerekir. Yalnızca bazı hizmetler (S3, KMS, SQS, SNS, Lambda, Secrets Manager, ECR) kaynak politikalarını destekler; aksi durumda rol üstlenme kullanılmalıdır.