Οι οργανισμοί πρέπει να έχουν τον έλεγχο για το ποιος έχει άδεια πρόσβασης στους πόρους του AWS, τους πόρους που είναι διαθέσιμοι και τις ενέργειες που μπορούν να εκτελέσουν οι εξουσιοδοτημένοι χρήστες. Ο σκοπός του AWS IAM είναι να βοηθήσει τους διαχειριστές πληροφορικής να διαχειριστούν ταυτότητες χρήστη και τα διάφορα επίπεδα πρόσβασης σε πόρους AWS. Σε αυτό το άρθρο, θα κατανοήσουμε τις δυνατότητες και τη διαδικασία εργασίας του Identity and Access Management (IAM) με την ακόλουθη σειρά:
ευρεία αλγόριθμος αναζήτησης ψευδοκώδικα
- Τι είναι η ταυτότητα και η πρόσβαση πρόσβασης;
- Τώρα χαρακτηριστικά
- Εργασία του IAM
- Διαχείριση ταυτότητας και πρόσβασης: Παράδειγμα
Τι είναι η ταυτότητα και η πρόσβαση πρόσβασης;
Διαχείριση ταυτότητας και πρόσβασης AWS (IAM) είναι μια υπηρεσία ιστού που σας βοηθά να ελέγχετε με ασφάλεια την πρόσβαση σε πόρους AWS. Με το IAM, μπορείτε να ελέγξετε ποιος είναι επικυρωμένος και εξουσιοδοτημένος να χρησιμοποιεί πόρους.
Όταν δημιουργείτε για πρώτη φορά έναν λογαριασμό AWS, χρειάζεστε μία ταυτότητα σύνδεσης για πρόσβαση σε όλους Αυτή η ταυτότητα ονομάζεται χρήστης root του λογαριασμού AWS. Μπορείτε να αποκτήσετε πρόσβαση μέσω σύνδεσης με το αναγνωριστικό email και τον κωδικό πρόσβασης που χρησιμοποιήσατε για τη δημιουργία του λογαριασμού. Το AWS IAM βοηθά στην εκτέλεση των ακόλουθων εργασιών:
- Χρησιμοποιείται για τον καθορισμό χρηστών, αδειών και ρόλων. Σας επιτρέπει παραχωρήστε πρόσβαση στα διάφορα μέρη της πλατφόρμας AWS
- Επίσης, επιτρέπει στους πελάτες των Υπηρεσιών Ιστού Amazon να διαχείριση χρηστών και δικαιώματα χρήστη στο AWS
- Με το IAM, οι οργανισμοί μπορούν να διαχειρίζονται κεντρικά τους χρήστες, διαπιστευτήρια ασφαλείας όπως κλειδιά πρόσβασης και δικαιώματα
- Το IAM επιτρέπει στον οργανισμό να δημιουργήστε πολλούς χρήστες , το καθένα με τα δικά του διαπιστευτήρια ασφαλείας, ελέγχεται και χρεώνεται σε έναν μόνο λογαριασμό AWS
- Το IAM επιτρέπει στον χρήστη να κάνει μόνο ό, τι πρέπει να κάνει ως μέρος της εργασίας του χρήστη
Τώρα που γνωρίζετε τι είναι το IAM, ας ρίξουμε μια ματιά σε μερικές από τις δυνατότητές του.
Δυνατότητες διαχείρισης ταυτότητας και πρόσβασης
Μερικά από τα σημαντικά χαρακτηριστικά του IAM περιλαμβάνουν:
- Κοινή πρόσβαση στον λογαριασμό σας AWS : Μπορείτε να παραχωρήσετε σε άλλα άτομα άδεια για διαχείριση και χρήση πόρων στον λογαριασμό σας AWS χωρίς να χρειάζεται να μοιραστείτε τον κωδικό πρόσβασής σας ή το κλειδί πρόσβασης.
- Αναλυτικά δικαιώματα : Μπορείτε να εκχωρήσετε διαφορετικά δικαιώματα σε διαφορετικά άτομα για διαφορετικούς πόρους.
- Ασφαλής πρόσβαση σε πόρους AWS : Μπορείτε να χρησιμοποιήσετε τις δυνατότητες IAM για ασφαλή παροχή διαπιστευτηρίων για εφαρμογές που εκτελούνται σε παρουσίες EC2. Αυτά τα διαπιστευτήρια παρέχουν δικαιώματα στην εφαρμογή σας να έχει πρόσβαση σε άλλους πόρους AWS.
- Έλεγχος ταυτότητας πολλών παραγόντων (MFA) : Μπορείτε να προσθέσετε έλεγχο ταυτότητας δύο παραγόντων στο λογαριασμό σας και σε μεμονωμένους χρήστες για επιπλέον ασφάλεια.
- Ομοσπονδία ταυτότητας : Μπορείτε να επιτρέψετε σε χρήστες που έχουν ήδη κωδικούς πρόσβασης αλλού
- Πληροφορίες ταυτότητας για διασφάλιση : Λαμβάνετε αρχεία καταγραφής που περιλαμβάνουν πληροφορίες σχετικά με όσους υπέβαλαν αιτήματα για πόρους που βασίζονται σε ταυτότητες IAM.
- Συμμόρφωση PCI DSS : Το IAM υποστηρίζει την επεξεργασία, την αποθήκευση και τη μετάδοση δεδομένων πιστωτικής κάρτας από έναν έμπορο ή πάροχο υπηρεσιών και έχει επικυρωθεί ότι συμμορφώνεται με το πρότυπο ασφάλειας δεδομένων (DSS) για τη βιομηχανία καρτών πληρωμής (PCI).
- Ενσωματωμένο με πολλές υπηρεσίες AWS : Υπάρχουν πολλές υπηρεσίες AWS που λειτουργούν με το IAM.
- Τελικά συνεπής : Το IAM επιτυγχάνει υψηλή διαθεσιμότητα αντιγράφοντας δεδομένα σε πολλούς διακομιστές στα κέντρα δεδομένων του Amazon σε όλο τον κόσμο. Η αλλαγή δεσμεύεται και αποθηκεύεται με ασφάλεια όταν ζητάτε κάποια τροποποίηση.
- Δωρεάν χρήση : Όταν αποκτάτε πρόσβαση σε άλλες υπηρεσίες AWS χρησιμοποιώντας τους χρήστες IAM ή τα προσωρινά διαπιστευτήρια ασφαλείας AWS STS, μόνο τότε θα χρεωθείτε.
Τώρα ας προχωρήσουμε και κατανοήσουμε τη λειτουργία της ταυτότητας και της διαχείρισης πρόσβασης.
Εργασία του IAM
Πρόσβαση και διαχείριση ταυτότητας προσφέρει το καλύτερη υποδομή που απαιτείται για τον έλεγχο όλης της εξουσιοδότησης και του ελέγχου ταυτότητας για τον λογαριασμό σας AWS. Ακολουθούν ορισμένα από τα στοιχεία της υποδομής IAM:
Αρχή
Η αρχή στο AWS IAM χρησιμοποιείται για τη λήψη ενέργειας στον πόρο AWS. Ο διαχειριστής χρήστη IAM είναι η πρώτη αρχή, η οποία μπορεί να επιτρέψει στον χρήστη για τις συγκεκριμένες υπηρεσίες προκειμένου να αναλάβει κάποιο ρόλο. Μπορείτε να υποστηρίξετε τους ενοποιημένους χρήστες για να επιτρέψετε στην εφαρμογή να έχει πρόσβαση στον τρέχοντα λογαριασμό σας AWS.
Αίτηση
Κατά τη χρήση της κονσόλας διαχείρισης AWS, το API ή το CLI θα στείλει αυτόματα το αίτημα στο AWS. Θα καθορίσει τις ακόλουθες πληροφορίες:
- Οι ενέργειες θεωρούνται ως αρχές κανω
- Οι ενέργειες εκτελούνται με βάση το πόροι
- Οι βασικές πληροφορίες περιλαμβάνουν το περιβάλλον όπου το αίτημα έχει υποβάλει προηγουμένως
Αυθεντικοποίηση
Είναι μια από τις πιο συχνά χρησιμοποιούμενες αρχές που χρησιμοποιείται για τη σύνδεση στο AWS κατά την αποστολή του αιτήματος σε αυτήν. Ωστόσο, αποτελείται επίσης από τις εναλλακτικές υπηρεσίες όπως Amazon S3 το οποίο θα επιτρέπει αιτήματα από τους άγνωστους χρήστες. Για να πραγματοποιήσετε έλεγχο ταυτότητας από την κονσόλα, θα πρέπει να συνδεθείτε με τα διαπιστευτήρια σύνδεσής σας, όπως όνομα χρήστη και κωδικό πρόσβασης. Αλλά για έλεγχο ταυτότητας πρέπει να παρέχετε το μυστικό και το κλειδί πρόσβασης σε αυτά μαζί με τις απαιτούμενες πρόσθετες πληροφορίες ασφαλείας.
Εξουσιοδότηση
Ενώ εξουσιοδοτείτε τις τιμές IAM που αυξάνονται από το αίτημα, θα πρέπει να ελέγξετε όλες τις αντίστοιχες πολιτικές και να αξιολογήσετε εάν επιτρέπεται ή απορρίπτεται το αντίστοιχο αίτημα. Όλες οι πολιτικές αποθηκεύονται στο IAM ως JSON έγγραφα και προσφέρουν την καθορισμένη άδεια για τους άλλους πόρους. AWS IAM ελέγχει αυτόματα όλες τις πολιτικές που αντιστοιχούν ιδιαίτερα στο πλαίσιο όλων των αιτημάτων σας. Εάν απορριφθεί η μεμονωμένη ενέργεια, τότε το IAM αρνείται ολόκληρο το αίτημα και λυπάται για την αξιολόγηση των υπολοίπων, το οποίο ονομάζεται ρητή άρνηση. Ακολουθούν ορισμένοι από τους κανόνες λογικής αξιολόγησης για το IAM:
- Όλα τα αιτήματα απορρίπτονται από προεπιλογή
- Το ρητό μπορεί να επιτρέψει τις παρακάμψεις από προεπιλογή
- Ένα ρητό μπορεί επίσης να αρνηθεί την παράκαμψη επιτρέποντάς τους
Ενέργειες
Αφού επεξεργαστείτε αυτόματα την εξουσιοδότηση του αιτήματός σας ή μη αυτόματα, η AWS εγκρίνει την ενέργεια σας με τη μορφή αιτήματος. Εδώ όλες οι ενέργειες καθορίζονται από υπηρεσίες και τα πράγματα μπορούν να γίνουν από πόρους όπως δημιουργία, επεξεργασία, διαγραφή και προβολή. Για να επιτρέψουμε την αρχή της δράσης, πρέπει να συμπεριλάβουμε όλες τις απαιτούμενες ενέργειες στην πολιτική χωρίς να επηρεάσουμε τον υπάρχοντα πόρο.
Πόροι
Αφού λάβετε τις εγκρίσεις AWS, όλες οι ενέργειες στο αίτημά σας μπορούν να γίνουν με βάση τους σχετικούς πόρους που περιέχουν στον λογαριασμό σας. Γενικά, ένας πόρος ονομάζεται οντότητα που υπάρχει ιδιαίτερα εντός των υπηρεσιών. Αυτά τα υπηρεσίες πόρων μπορεί να οριστεί ως ένα σύνολο δραστηριοτήτων που εκτελούνται ιδιαίτερα σε κάθε πόρο. Εάν θέλετε να δημιουργήσετε ένα αίτημα, πρώτα πρέπει να εκτελέσετε τη μη σχετική ενέργεια που δεν μπορεί να απορριφθεί.
Τώρα ας πάρουμε ένα παράδειγμα και κατανοήσουμε καλύτερα την έννοια της διαχείρισης πρόσβασης ταυτότητας.
Διαχείριση ταυτότητας και πρόσβασης: Παράδειγμα
Να κατανοήσουμε την έννοια του Διαχείριση ταυτότητας και πρόσβασης (IAM) , ας πάρουμε ένα παράδειγμα. Ας υποθέσουμε ότι ένα άτομο έχει μια εκκίνηση με 3-4 μέλη και φιλοξένησε την εφαρμογή μέσω του Amazon. Δεδομένου ότι είναι ένας μικρός οργανισμός, όλοι θα έχουν πρόσβαση στο Amazon όπου μπορούν να διαμορφώσουν και να εκτελέσουν άλλες δραστηριότητες με τον λογαριασμό τους στο Amazon. Μόλις το μέγεθος της ομάδας αυξηθεί με ένα σύνολο ατόμων σε κάθε τμήμα, δεν θα προτιμούσε να δώσει πλήρη πρόσβαση σε αυτό , καθώς είναι όλοι υπάλληλοι και τα δεδομένα πρέπει να προστατεύονται. Σε αυτήν την περίπτωση, θα ήταν σκόπιμο να δημιουργήσετε μερικούς λογαριασμούς υπηρεσίας ιστού Amazon που ονομάζονται χρήστες IAM. Το πλεονέκτημα εδώ είναι ότι μπορούμε να ελέγξουμε σε ποιον τομέα μπορούν να λειτουργήσουν.
Τώρα, αν η ομάδα μεγαλώσει 4.000 άτομα με διάφορα καθήκοντα και τμήματα. Η καλύτερη λύση θα ήταν ότι το Amazon υποστηρίζει τη μοναδική σύνδεση με τις υπηρεσίες καταλόγου. Η Amazon παρέχει υπηρεσία που υποστηρίζεται από ΔΕΙΓΜΑ βάσει ελέγχου ταυτότητας. Δεν θα ζητούσε διαπιστευτήρια όταν κάποιος από τον οργανισμό συνδεθεί στον οργανισμό. Στη συνέχεια, στο Amazon Portal και θα έδειχνε υπηρεσίες που επιτρέπεται να χρησιμοποιεί ο συγκεκριμένος χρήστης. Το μεγαλύτερο πλεονέκτημα της χρήσης του IAM είναι ότι δεν υπάρχει ανάγκη δημιουργίας πολλών χρηστών αλλά να εφαρμοστεί μια απλή σύνδεση.
Με αυτό, φτάσαμε στο τέλος του άρθρου μας. Ελπίζω να καταλάβατε τι είναι το Identity and Access Management στο AWS και πώς λειτουργεί.
Εάν έχετε αποφασίσει να προετοιμαστείτε για πιστοποίηση AWS, θα πρέπει να δείτε τα μαθήματά μας Έχετε μια ερώτηση για εμάς; Παρακαλώ αναφέρετέ το στην ενότητα σχολίων του 'Identity and Access Management' και θα επικοινωνήσουμε μαζί σας.