Организации должны контролировать, у кого есть разрешение на доступ к своим ресурсам AWS, какие ресурсы доступны и какие действия могут выполнять авторизованные пользователи. Цель AWS IAM - помочь ИТ-администраторам управлять идентификаторы пользователей и их различные уровни доступа к ресурсам AWS. В этой статье мы разберемся с функциями и рабочим процессом управления идентификацией и доступом (IAM) в следующей последовательности:
- Что такое управление идентификацией и доступом?
- Теперь особенности
- Работа IAM
- Управление идентификацией и доступом: пример
Что такое управление идентификацией и доступом?
AWS Управление идентификацией и доступом (IAM) - это веб-сервис, который помогает вам безопасно контролировать доступ к ресурсам AWS. С помощью IAM вы можете контролировать, кто аутентифицирован и имеет право использовать ресурсы.
Когда вы впервые создаете учетную запись AWS, вам потребуется единая учетная запись для доступа ко всем Этот идентификатор называется корневым пользователем учетной записи AWS. Вы можете получить к нему доступ, войдя в систему с помощью идентификатора электронной почты и пароля, которые вы использовали для создания учетной записи. AWS IAM помогает в выполнении следующих задач:
преобразовать двоичный код в int java
- Он используется для установки пользователей, разрешений и ролей. Это позволяет вам Предоставление доступа в разные части платформы AWS
- Кроме того, это позволяет клиентам Amazon Web Services Управление пользователями и разрешения пользователей в AWS
- С IAM организации могут централизованно управлять пользователями, учетные данные безопасности такие как ключи доступа и разрешения
- IAM позволяет организации создать несколько пользователей , каждый со своими учетными данными безопасности, контролируемыми и оплачиваемыми для одной учетной записи AWS
- IAM позволяет пользователю делать только то, что ему нужно, как часть работы пользователя.
Теперь, когда вы знаете, что такое IAM, давайте взглянем на некоторые из его функций.
Функции управления идентификацией и доступом
Некоторые из важных функций IAM включают:
- Общий доступ к вашей учетной записи AWS : Вы можете предоставить другим людям разрешение на администрирование и использование ресурсов в вашей учетной записи AWS, не сообщая свой пароль или ключ доступа.
- Детальные разрешения : Вы можете предоставлять разные разрешения разным людям для разных ресурсов.
- Безопасный доступ к ресурсам AWS : Вы можете использовать функции IAM для безопасного предоставления учетных данных для приложений, работающих на экземплярах EC2. Эти учетные данные предоставляют вашему приложению разрешения на доступ к другим ресурсам AWS.
- Многофакторная аутентификация (MFA) : Вы можете добавить двухфакторную аутентификацию для своей учетной записи и для отдельных пользователей для дополнительной безопасности.
- Федерация идентичности : Вы можете разрешить пользователям, у которых уже есть пароли в другом месте
- Идентификационная информация для уверенности : Вы получаете записи журнала, которые включают информацию о тех, кто делал запросы на ресурсы, на основе идентификаторов IAM.
- Соответствие PCI DSS : IAM поддерживает обработку, хранение и передачу данных о кредитных картах продавцом или поставщиком услуг и был проверен на соответствие стандарту безопасности данных (DSS) индустрии платежных карт (PCI).
- Интегрирован со многими сервисами AWS : Есть ряд сервисов AWS, которые работают с IAM.
- В конечном итоге согласованный : IAM обеспечивает высокую доступность за счет репликации данных на нескольких серверах в центрах обработки данных Amazon по всему миру. Изменение фиксируется и надежно сохраняется, когда вы запрашиваете какое-либо изменение.
- Бесплатное использование : Только тогда, когда вы получаете доступ к другим сервисам AWS с использованием ваших пользователей IAM или временных учетных данных безопасности AWS STS, с вас будет взиматься плата.
Теперь давайте продолжим и разберемся, как работает Управление идентификацией и доступом.
Работа IAM
Identity Access and Management предлагает лучшая инфраструктура это необходимо для управления всей авторизацией и аутентификацией для вашей учетной записи AWS. Вот некоторые из элементов инфраструктуры IAM:
Принцип
Принцип в AWS IAM используется для выполнения действия с ресурсом AWS. Административный пользователь IAM - это первый принцип, который может позволить пользователю для определенных услуг взять на себя роль. Вы можете поддержать федеративных пользователей, чтобы разрешить приложению доступ к вашей текущей учетной записи AWS.
Запрос
При использовании консоли управления AWS API или интерфейс командной строки автоматически отправляют запрос в AWS. В нем будет указана следующая информация:
- Действия рассматриваются как принципы выполнять
- Действия выполняются на основе Ресурсы
- Основная информация включает в себя Окружающая среда где запрос был сделан ранее
Аутентификация
Это один из наиболее часто используемых принципов, который используется для входа в AWS при отправке на него запроса. Однако он также состоит из альтернативных сервисов, таких как Amazon S3 который разрешит запросы от неизвестных пользователей. Чтобы пройти аутентификацию с консоли, вам необходимо войти в систему, используя свои учетные данные, такие как имя пользователя и пароль. Но для аутентификации вам необходимо предоставить секрет и ключ доступа к ним вместе с необходимой дополнительной информацией безопасности.
Авторизация
При авторизации значений IAM, которые возникают из запроса, контекст будет проверять все соответствующие политики и оценивать, разрешен или запрещен соответствующий запрос. Все политики хранятся в IAM как JSON документы и предложить указанное разрешение для других ресурсов. AWS IAM автоматически проверяет все политики, которые особенно соответствуют контексту всех ваших запросов. Если одно действие отклонено, то IAM отклоняет весь запрос и с сожалением оценивает оставшиеся, что называется явным отказом. Ниже приведены некоторые из правил логики оценки для IAM:
- По умолчанию все запросы отклонены
- Явный может разрешить переопределения по умолчанию
- Явный может также отклонить переопределение, разрешив им
Действия
После обработки вашего запроса авторизация или автоматическая деаутентификация AWS одобряет ваше действие в форме запроса. Здесь все действия определяются службами, а действия могут выполняться такими ресурсами, как создание, редактирование, удаление и просмотр. Чтобы разрешить принцип действия, нам нужно включить все необходимые действия в политику, не затрагивая существующий ресурс.
Ресурсы
После получения одобрения AWS все действия в вашем запросе могут быть выполнены на основе связанных ресурсов, содержащихся в вашем аккаунте. Обычно ресурс называется сущностью, которая существует, в частности, внутри служб. Эти ресурсные услуги можно определить как набор действий, которые выполняются отдельно для каждого ресурса. Если вы хотите создать один запрос, сначала вам нужно выполнить несвязанное действие, которое нельзя отклонить.
Теперь давайте возьмем пример и лучше поймем концепцию управления доступом к удостоверениям.
Управление идентификацией и доступом: пример
Чтобы понять концепцию Управление идентификацией и доступом (IAM) , возьмем пример. Предположим, у человека есть стартап с 3-4 участниками, и он разместил приложение на Amazon. Поскольку это небольшая организация, у всех будет доступ к Amazon, где они смогут настраивать и выполнять другие действия со своей учетной записью Amazon. Когда размер команды будет расти вместе с набором людей в каждом отделе, он не предпочтет предоставлять полный доступ к , поскольку все они сотрудники, и данные необходимо защитить. В этом случае было бы целесообразно создать несколько учетных записей веб-служб Amazon, называемых пользователями IAM. Преимущество здесь в том, что мы можем контролировать, в какой области они могут работать.
Теперь, если команда вырастет до 4 000 люди с разными задачами и отделами. Лучшим решением было бы то, что Amazon поддерживает единый вход со службами каталогов. Amazon предоставляет услуги, поддерживаемые SAML на основе аутентификации. Он не будет запрашивать учетные данные, когда кто-то из организации входит в систему на компьютере организации. Затем он перейдет на портал Amazon и покажет услуги, которые разрешено использовать конкретному пользователю. Самым большим преимуществом использования IAM является то, что нет необходимости создавать несколько пользователей, а нужно реализовать простой вход.
На этом мы подошли к концу нашей статьи. Надеюсь, вы поняли, что такое управление идентификацией и доступом в AWS и как оно работает.
Если вы решили подготовиться к сертификации AWS, вам следует пройти наши курсы по Есть вопрос к нам? Пожалуйста, укажите это в разделе комментариев «Управление идентификацией и доступом», и мы свяжемся с вами.