6- AWS Identity and Access Management

6- AWS Identity and Access Management

1. Controlar como permissões de pessoas e programas na manipulação da infraestrutura AWS (não aplicações ou SO)

   • - Para aplicações, usar mecanismo próprio ou AWS Directory Service (compativel com Active Directory).  - Para SOs, usar Amazzon EC2

2. Usuários, grupos, políticas de controle de acesso

3. Controle granular para limitar um único usuário à capacidade de executar uma única ação em um recurso específico a partir de um endereço IP específico durante uma janela de tempo específica

4. Controlado por AWS Management Console, CLI, AWS SDKs ou via ferramentas da AWS Partner Network

5. Principals

   • Entidade IAM que pode interagir com recursos AWS
   • Permanente ou temporário
   • Representado por humano ou aplicação
   • Tipos: usuário root, usuário IAM e regras ou tokens de segurança temporários
     • Root
       • Acesso completo aos serviços AWS
     • IAM
       • Controlados por políticas de permissão
       • Persistentes, sem tempo de expiração
     • Regras/Tokens de segurança temporários
       • Garante privilégios para atores autenticados por um tempo determinado
       • Papeis/funções
         • Amazon EC2
           • Token temporário cedido à aplicação por meio de chamada via SDK quando ela é iniciada (não precisa se preocupar com autenticação)
         • Cross Account
           • Acesso a recursos para usuários em outras contas AWS, de outras empresas, clientes ou fornecedores
         • Federation
           • Integração com Identity externo
             • OpenID Connect (OIDC)
               • Web
             • Security Assertion Markup Language 2.0 (SAML)
               • Identities internos, como Active Directory ou LDAP
           • Retorna token temporário associado à regra para IdP (Identity providers) da identidade autenticada através de chamadas na API
         • Similar a um usuário, mas aplicaveis a quem precisa
       • Token
         • Ciclo de vida entre 15 minutos e 36 horas
         • Token fornecido por STS (AWS Security Token Service)
   • Authentication
     • Username/Password
       • IAM representa humano
       • Permite política de complexidade e expiração de senha
     • Access Key
       • Access Key ID (20 caracteres) + Access Secret Key (40 caracteres)
       • Assina chamadas REST da API que manipula infraestrutura AWS
     • Access Key/ Session Token
       • Retornos usados para autenticação

6. Authorization

   • Políicas
     • JSON com conjunto de permissões sobre recursos AWS
     • Contém 1 ou mais permissões
       • Effect
         • Permitir/negar
       • Service
         • Permissão sobre serviço
       • Resource
         • Permissão sobre recurso AWS
         • Especificado pelo ARN (Amazon Resource Name)
       • Action
         • Subconjunto de ações em um serviço, que contém controle de acesso (permitir/negar)
       • Condition
         • Opcional
         • Restrições adicionais aplicáveis sobre as permissões
         • Pode-se basear em horários, IP de origem, dentre outras restrições
     • Associa-se a principal
       • Política de usuário
         • Quando usuário que é anexado
       • Política gerenciada
         • Independente de usuários
         • Pode ser associada a usuários ou grupos
     • Associa-se grupo IAM
       • Política de grupo
         • Quando grupo é anexado
       • Política gerenciada
       • Não pode ter outros grupos
     • Em múltiplas permissões, a política tem prioridade sobre as regras
   • Define as ações que um principal pode ou não tomar

7. MFA (Multi Factor Authentication)

   • Camada extra de segurança
   • One Time Password (OTP) adicional na autenticação, fornecido de um dispositivo
   • Designado para qualquer conta de usuário IAM

8. Chaves rotacionadas

   • Via console, CLI ou SDK
   • Cuida da expiração de chaves de acesso
   • Permite 2 chaves de acesso ativas, para facilitar o processo

9. Amazon Cognito Identity

   • Provedor de identidades
   • Acesso aos serviços sem inserir credenciais privadas
   • define que serviços usuário pode acessar via roles

10. Administrator access

    • Full, exceto seu perfil de conta AWS e suas credenciais de segurança AWS

11. Permissões

    • Identity-based
      • a um usuário, grupo ou papel e define o que pode fazer
    • Resource based
      • anexado a um recurso, definindo quem pode acessar e que ações fazer

12. Usuário

    • quando deletado, se deleta também certificados e chaves

Images and files in the map