Como redigir uma política do IAM eficaz
O conceito de Identity and Access Management (IAM, acesso e gerenciamento de identidade) é muito usado nos serviços AWS quando se trata de segurança, então vale a pena entendê-lo mais detalhadamente. O IAM pode parecer muito complicado para o usuário de primeira viagem, pois consiste em diferentes componentes. O objetivo deste artigo é explorar o IAM e seus conceitos mais detalhadamente e criar uma política eficaz de IAM.
É importante lembrar que o IAM é apenas mais um serviço como todos os outros que a AWS tem a oferecer. No entanto, serve para uni-los de forma segura.
O que é uma Política do IAM?
AWS IAM é um serviço na web que permite gerenciar com segurança o acesso dos seus usuários aos recursos do S3. Você usa o IAM para gerenciar quem pode acessar seus recursos da AWS (autenticação), quais recursos eles podem acessar e como podem acessá-los (autorização).
Como o IAM mantém os recursos seguros?
Você controla o acesso a recursos definindo regras e associando-as a identidades do IAM (usuários, grupos de usuários ou funções). Uma política é um objeto que especifica as permissões associadas a uma identidade ou recurso. O sistema de armazenamento maior examina essas regras quando um principal do IAM (usuário ou função) envia uma solicitação para implementá-las de forma eficaz. As permissões definidas nas políticas ditam se uma solicitação é permitida ou negada. A maioria das políticas são arquivos JSON.
As regras do IAM estabelecem autorização para ações independentes de como a atividade é realizada. Se uma política permitir a ação GetUser, um usuário com essa política pode obter informações de um usuário por meio do AWS Management Console, da AWS CLI ou da API da AWS. Ao criar um usuário do IAM, você pode especificar se o acesso por console ou programático é permitido. Se o acesso pelo console estiver permitido, o usuário do IAM pode fazer login usando seu nome de usuário e senha. Como alternativa, se o acesso programático for permitido, o usuário pode trabalhar com a CLI ou API usando chaves de acesso.
Como as políticas do IAM otimizam o Armazenamento do Lyve Cloud?
O Lyve Cloud serve como um elemento complementar ao armazenamento de objetos S3. O Seagate Lyve Cloud adiciona segurança e usabilidade ao armazenamento frio de longo prazo e pode ser usado com serviços adicionais para aprimorar a proteção de backup e recuperação. Use políticas do IAM para personalizar medidas de segurança e permissões para objetos individuais armazenados dentro do Lyve Cloud em ambientes de nuvem privada, pública, híbrida e multinuvem.
Tipos de política do IAM
As seguintes políticas estão disponíveis na AWS das mais usadas às menos frequentes. Para obter mais informações sobre cada categoria de política, consulte as seções abaixo.
Políticas baseadas em identidade
É possível conectar identidades do IAM a políticas controladas e em linha (usuários, grupos aos quais os usuários pertencem ou funções). As permissões são concedidas à identidade por meio de políticas baseadas em identidade.
Políticas baseadas em recursos
É possível conectar recursos a políticas em linha. As políticas baseadas em recursos mais frequentes são aquelas associadas a buckets do S3 e funções do IAM. As permissões são concedidas ao principal definido na política por meio de políticas baseadas em recursos. Os principais podem estar na mesma conta ou em contas diferentes do recurso.
Limites de permissões
É possível utilizar uma política gerenciada para definir as permissões para uma entidade do IAM (usuário ou função). Essa política estabelece as permissões máximas que as políticas baseadas em identidade podem fornecer a uma entidade, mas não as lança. Os limites de permissões não especificam o número máximo de permissões que uma política baseada em recursos pode lançar para um objeto.
SCPs de organizações
Você pode utilizar uma política de controle de serviço (SCP) do AWS Organizations para definir as permissões máximas que os membros da conta de uma organização ou unidade organizacional podem ter. SCPs limitam os direitos que as regras baseadas em identidade ou baseadas em recurso fornecem às entidades de conta (usuários ou funções), mas não os concedem.
Listas de controle de acesso (ACLs)
Você pode usar ACLs para restringir o acesso a um recurso por principais em outras contas. ACLs são semelhantes a políticas baseadas em recursos. Entretanto, é a única forma de política que não emprega a estrutura JSON para documentos de política. ACLs são regras de permissões que abrangem várias contas e fornecem permissões para a entidade de segurança especificada. ACLs não podem ser usadas para conceder permissões a entidades que sejam membros da mesma conta.
Políticas de sessão
Você pode aprovar regras de sessão avançadas ao usar a AWS CLI ou API da AWS para assumir uma função ou um usuário centralizado. As políticas de sessão restringem os direitos concedidos à sessão pela função ou pelas regras baseadas na identidade do usuário. Essas políticas definem as permissões associadas a uma sessão recém-estabelecida, mas não as concedem.
Elementos importantes na estrutura da política do IAM
Usuário do IAM
Usuários do AWS IAM são entidades que você cria para representar qualquer pessoa ou aplicativo que interage com a AWS. Usuários da AWS consistem em um nome e credenciais.
Os usuários do IAM com permissões de administrador não são o mesmo do que os usuários raiz da conta da AWS. As contas da AWS são associadas a apenas um usuário do IAM.
Identidade do IAM
Objetos de recurso que são usados para identificar e agrupar recursos do IAM. Políticas podem ser anexadas às identidades do IAM. Isso inclui usuários, grupos e funções.
Recurso do IAM
Contém objetos, como usuários, grupos, funções, políticas e provedores de identidade. Com o IAM, você pode adicionar, editar e remover recursos como com outros serviços da AWS.
Entidade do IAM
A AWS usa objetos de recurso do IAM para autenticação. Entre elas estão usuários e funções do IAM.
Principal
Um aplicativo ou usuário que usa o usuário raiz da conta da AWS, um usuário do IAM ou uma função do IAM para fazer login na AWS. Isso inclui usuários centralizados, bem como funções assumidas.
Função
Na AWS, as funções são semelhantes a usuários, pois são objetos de identidade cujas políticas de permissão determinam o que a identidade pode fazer. Entretanto, uma função não é associada a nenhuma credencial (senhas ou chaves de acesso). Uma função individual deve ser assumida por qualquer pessoa que precisar, em vez de ser associada a uma única pessoa.
Como redigir uma política do IAM eficaz
Você pode criar uma política gerenciada pelo cliente usando uma das seguintes técnicas no AWS Management Console:
- JSON: cole e modifique um exemplo de política baseada em identidade que foi publicada.
- Editor visual: use o editor visual para criar uma nova política do zero. Você não precisa aprender a sintaxe JSON se utilizar o editor visual.
- Importação: de dentro da sua conta, importe e modifique uma política gerenciada. Você pode importar uma política gerenciada pela AWS desenvolvida anteriormente ou uma política gerenciada pelo cliente.
As contas da AWS têm uma restrição de número e quantidade de recursos do IAM. Mais informações estão disponíveis em Cotas do IAM e AWS STS.
Gerador de políticas do IAM: Posso automatizar esse processo?
O Gerador de políticas do IAM é uma ferramenta para o desenvolvimento de regras que controlam o acesso a produtos e recursos da AWS.
O Gerador de políticas do IAM, lançado recentemente, simplifica o processo de desenvolvimento de documentos de política para fins de armazenamento de objetos. Para começar, escolha o tipo de política que deseja escrever.
Etapa 1: Selecionar o tipo de política
As permissões são incluídas dentro de uma política. Você pode elaborar os seguintes tipos de política: Políticas do IAM, Políticas de bucket do S3, Políticas de tópico do SNS, Políticas de endpoint VPC e Políticas de fila do SQS.
Etapa 2: Adicionar instruções
Uma instrução é uma visão geral concisa de uma única permissão. Confira a seguinte explicação dos itens que podem ser usados em instruções.
Etapa 3: Gerar política
Após adicionar instruções, você pode gerar uma política. Uma política é um documento (na Linguagem da política de acesso) que contém uma ou mais instruções.
