SEC 3: 如何管理人员和机器的权限？

管理权限以控制对需要访问 AWS 和您的工作负载的人员和机器身份的访问。权限用于控制哪些人可以在什么条件下访问哪些内容。

资源

Become an IAM Policy Master in 60 Minutes or Less
Separation of Duties, Least Privilege, Delegation, and CI/CD
Grant least privilege
Working with Policies
IAM Access Analyzer
Remove unnecessary credentials
Attribute-based access control (ABAC)

最佳实践:

• 定义访问要求: 管理员、最终用户或其他组件都需要访问您工作负载的每个组件或资源。明确定义哪些人员或事物应当有权访问每个组件，选择用于进行身份验证和授权的适当身份类型和方法。

• 授予最低访问权限: 通过允许在特定条件下访问特定 AWS 资源上的特定操作，仅授予身份所需的访问权限。依靠组和身份属性来大规模动态设置权限，而不是为单个用户定义权限。例如，您可以允许一组开发人员访问，以便仅管理其项目的资源。这样，当开发人员从组中删除时，开发人员的访问权限将在使用该组进行访问控制的任何位置被撤消，而无需对访问策略进行任何更改。

• 建立紧急访问流程: 此流程允许在遇到不太可能发生的自动化流程或管道问题时紧急访问您的工作负载。这将帮助您依赖最低权限访问，但确保用户可以在需要时获得相应的访问级别。例如，为管理员建立一个验证和批准其请求的流程。

• 持续减少权限: 当团队和工作负载确定他们需要哪些访问权限时，删除他们不再使用的权限，并建立审核流程以实现最低权限。持续监控和减少未使用的身份和权限。

• 为您的组织定义权限防护: 建立通用控件以限制对组织中所有身份的访问权限。例如，您可以限制对特定 AWS 区域的访问，或防止操作员删除常见资源，例如用于您的核心安全团队的 IAM 角色。

• 基于生命周期管理访问权限: 将访问控制措施与操作员和应用程序生命周期以及您的集中式联合提供工具集成。例如，在用户离开组织或角色发生变化时删除用户的访问权限。

• 分析公共和跨账户访问: 持续监控突出公共和跨账户访问的发现。减少对仅需要此类访问的资源的公共访问和跨账户访问。

• 安全地共享资源: 管理跨账户或您的 AWS 组织内共享资源的占用。监控共享资源并查看共享资源访问。

改进计划

定义访问要求

定义工作职能和职责所需的权限: 根据用户的工作职能、角色或职责，定义他们需要访问哪些资源以及可能适用的条件。将具有共同要求的用户分组在一起，以便更轻松地委派策略。
IAM use cases

授予最低访问权限

实施最低权限策略: 向 IAM 组和角色分配具有最低权限的访问策略，以反映所定义的用户角色或职能。
Grant least privilege

删除不必要的权限: 通过删除不必要的权限来实施最低权限。
Reducing policy scope by viewing user activity
View role access

考虑权限边界: 权限边界是一项高级功能，它使用托管策略设置基于身份的策略可向 IAM 实体授予的最高权限。实体的权限边界仅允许实体执行其基于身份的策略及其权限边界都允许的操作。
Lab: IAM permissions boundaries delegating role creation

考虑为权限分配资源标签: 您可以使用标签来控制对支持标记的 AWS 资源的访问。您还可以对 IAM 用户和角色进行标记，以控制他们可以访问的内容。
Lab: IAM tag based access control for EC2
Attribute-based access control (ABAC)

建立紧急访问流程

预置紧急访问: 预置一个角色，用于从受信任的账户进行紧急访问（例如，用于安全团队的账户），以帮助您实现快速访问。
Tutorial: Delegate Access Across AWS Accounts Using IAM Roles

持续减少权限

配置 IAM Access Analyzer: AWS IAM Access Analyzer 可帮助您识别组织和账户中与外部实体共享的资源（例如，Amazon S3 存储桶或 IAM 角色）。
AWS IAM Access Analyzer

为您的组织定义权限防护

定义适用于所有身份的常见限制条件: 根据您组织的独特要求（例如，仅访问特定 AWS 区域），创建了许多可使用 AWS Organizations 应用的限制条件。
AWS Organizations Service Control Policies

使用 AWS Control Tower 管理防护措施: 根据您组织的独特要求（例如，仅访问特定 AWS 区域），创建了许多可使用 AWS Organizations 应用的限制条件。
AWS Control Tower Guardrails

基于生命周期管理访问权限

用户访问生命周期: 针对加入的人员、工作职能变更和离开的人员实施用户访问生命周期策略，以确保只有当前用户具有访问权限。

分析公共和跨账户访问

配置 IAM Access Analyzer: AWS IAM Access Analyzer 可帮助您识别组织和账户中与外部实体共享的资源（例如，Amazon S3 存储桶或 IAM 角色）。
AWS IAM Access Analyzer

安全地共享资源

使用 AWS Resource Access Manager: AWS Resource Access Manager (RAM) 是一项服务，使您能够轻松、安全地与任何 AWS 账户或您的 AWS 组织共享 AWS 资源。
AWS Resource Access Manager