Oturum İlkeleri ve Etiket Tabanlı Kapsam Belirleme

Bazen bir rol vermek, ancak rolün kendisini düzenlemeden belirli bir oturumun yapabileceklerini sınırlamak istersiniz. Oturum politikaları ve oturum etiketleri, rolün üstlenildiği anda izinleri daraltmanızı sağlar. Bu gelişmiş STS özellikleri, sınavda ödüllendirilen ayrıntılı ve ölçeklenebilir en az ayrıcalık uygulamasını destekler.

Oturum politikası, AssumeRole çağrısına (Policy veya PolicyArns aracılığıyla) geçirilen satır içi ya da yönetilen bir politikadır. Yeni izinler vermez; yalnızca o oturum için rolün mevcut izinlerini filtreleyebilir. Etkin izinler, rol politikaları ile oturum politikasının kesişimidir.

Sonuç bir kesişim olduğundan oturum politikası, oturumun rolün zaten izin verdiğinden fazlasını yapmasına hiçbir zaman olanak tanımaz. Rol s3:* izni veriyor, ancak oturum politikası yalnızca s3:GetObject kullanımına izin veriyorsa oturum yalnızca nesneleri alabilir. Bu, oturum politikalarını daha geniş bir rolden izinleri daraltılmış bir bölüm vermek için güvenli bir yöntem hâline getirir.

Yaygın bir kullanım şöyledir: Tek bir güçlü rolü bir düzenleme aracı üstlenir ve her iş için bu işe ait izinleri tek bir paketle veya kaynak grubuyla sınırlayan bir oturum politikası ekler. Temel rol geniş olsa da her oturumun kapsamı sıkı biçimde sınırlandırılır. Böylece dar amaçlara özel onlarca rol oluşturmak gerekmez.

Bu CLI kod parçacığı, oturumu daha da kısıtlayan satır içi bir oturum politikasının nasıl geçirildiğini gösterir. İşlemlerin etkili olabilmesi için rolün bunlara zaten izin veriyor olması gerekir.

Oturum etiketleri, AssumeRole sırasında bir oturuma eklenen anahtar-değer öznitelikleridir. Tags parametresiyle geçirilir, istek bağlamının bir parçası hâline gelir ve politikalar tarafından aws:PrincipalTag aracılığıyla okunabilir. Oturum etiketleri, rolü kimin üstlendiğine ilişkin öznitelikleri her yetkilendirme kararına taşır.

Oturum etiketleri, üstlenilen roller için Öznitelik Tabanlı Erişim Denetimi'nin (ABAC) temelini oluşturur. Bir politika, oturumun aws:PrincipalTag/Project değerinin kaynağın aws:ResourceTag/Project değerine eşit olmasını gerektirebilir; böylece erişim yalnızca proje etiketleri eşleştiğinde verilir. Tek bir politika birçok projeye hizmet ederek temiz biçimde ölçeklenir.

Roller zincirlendiğinde normal oturum etiketleri ileriye taşınmaz. Bir etiketi geçişli olarak işaretlemek, sonraki rol üstlenme işlemleri boyunca korunmasını sağlar. Böylece özgün kullanıcının departmanı gibi öznitelikler kimlikle birlikte birden çok geçişte taşınır; bu, tutarlı ABAC için önemlidir.

Oturum etiketlerini aktarmak için sts:TagSession izninin yanı sıra sts:AssumeRole izni de gerekir. Güven politikası, hangi etiket anahtarlarına veya değerlerine izin verildiğini de kısıtlayabilir. Kimlerin hangi oturum etiketlerini ayarlayabileceğini denetlemek, kullanıcıların ayrıcalıklı etiket değerlerini kendilerine atayarak erişim elde etmesini önler.

Oturum politikaları ve oturum etiketleri birlikte çalışır: etiketler, ABAC eşleştirmesi için oturumun kimi temsil ettiğini belirtirken oturum politikaları oturumun ne yapabileceğini sınırlar. Birlikte, tek bir geniş kapsamlı rolün kapsamı sıkı biçimde belirlenmiş birçok oturuma güvenli şekilde hizmet vermesini sağlarlar; bu, sınavda vurgulanan zarif ve ölçeklenebilir tasarım türüdür.

Bir rolün izinlerini oturum başına kesiştirmek ve daraltmak için oturum politikalarını kullanın; bunları hiçbir zaman izin eklemek için kullanmayın. ABAC'yi aws:PrincipalTag aracılığıyla yönlendirmek için (sts:TagSession ile) oturum etiketlerini kullanın; rol zincirleme sırasında etiketleri geçişli olarak işaretleyin. Bu STS özellikleri, az sayıda yeniden kullanılabilir rolden oturum başına en az ayrıcalık ilkesini sağlar.

Oturum kapsamlandırmasını test edin.

AssumeRole'a aktarılan oturum politikaları, rolün izinleriyle kesişir ve bu izinleri daraltır; ancak hiçbir zaman genişletmez. Oturum etiketleri (sts:TagSession gerektirir), aws:PrincipalTag aracılığıyla ABAC'yi besler ve geçişli etiketler rol zincirleme boyunca varlığını korur. Birlikte, birkaç yeniden kullanılabilir rolden oturum başına en az ayrıcalık ilkesini mümkün kılarlar.