Les organitzacions han de tenir control sobre qui té permís per accedir als seus recursos AWS, quins recursos estan disponibles i les accions que poden realitzar els usuaris autoritzats. L’objectiu d’AWS IAM és ajudar els administradors de TI a gestionar-los identitats d’usuari i els seus diferents nivells d’accés als recursos d’AWS. En aquest article, comprendreem les característiques i el procediment de treball de la Gestió d’identitats i accessos (IAM) en la següent seqüència:
tutorial mysql per a principiants amb exemples
- Què és la gestió d’accés i identitat?
- Ara funcions
- Funcionament d'IAM
- Gestió d’identitats i accessos: exemple
Què és la gestió d’accés i identitat?
AWS Identity and Access Management (IAM) és un servei web que us ajuda a controlar amb seguretat l’accés als recursos d’AWS. Amb IAM, podeu controlar qui està autenticat i autoritzat a utilitzar recursos.
Quan creeu un compte d’AWS per primera vegada, necessiteu una identitat d’inici de sessió única per accedir a tots Aquesta identitat s’anomena usuari root del compte AWS. Podeu accedir-hi iniciant la sessió amb l’identificador de correu electrònic i la contrasenya que vau utilitzar per crear el compte. AWS IAM ajuda a realitzar les tasques següents:
- S'utilitza per definir usuaris, permisos i funcions. T’ho permet accés garantit a les diferents parts de la plataforma AWS
- A més, permet als clients dels serveis web d'Amazon gestionar usuaris i permisos d'usuari a AWS
- Amb IAM, les organitzacions poden gestionar de manera centralitzada els usuaris, credencials de seguretat com ara claus d'accés i permisos
- IAM permet a l'organització fer-ho crear diversos usuaris , cadascun amb les seves pròpies credencials de seguretat, controlades i facturades a un únic compte AWS
- IAM permet a l'usuari fer només el que ha de fer com a part de la feina de l'usuari
Ara que ja sabeu què és IAM, fem una ullada a algunes de les seves funcions.
Funcions de gestió d’identitats i accessos
Algunes de les funcions importants d’IAM inclouen:
- Accés compartit al vostre compte d'AWS : Podeu concedir permís a altres persones per administrar i utilitzar recursos al vostre compte AWS sense haver de compartir la contrasenya o la clau d'accés.
- Permisos granulars : Podeu concedir diferents permisos a diferents persones per a diferents recursos.
- Accés segur als recursos d’AWS : Podeu utilitzar les funcions d'IAM per proporcionar credencials de manera segura per a les aplicacions que s'executen en instàncies EC2. Aquestes credencials proporcionen permisos perquè la vostra aplicació accedeixi a altres recursos AWS.
- Autenticació multifactor (MFA) : Podeu afegir autenticació de dos factors al vostre compte i a usuaris individuals per obtenir més seguretat.
- Federació d'identitats : Podeu permetre als usuaris que ja tenen contrasenyes en altres llocs
- Informació d'identitat per garantir-la : Reps registres de registre que inclouen informació sobre aquells que van fer sol·licituds de recursos basada en identitats IAM.
- Compliment PCI DSS : IAM admet el processament, l’emmagatzematge i la transmissió de dades de targetes de crèdit per part d’un comerciant o proveïdor de serveis i ha estat validat perquè compleix la Norma de seguretat de dades (DSS) de la indústria de les targetes de pagament (PCI).
- Integrat amb molts serveis AWS : Hi ha diversos serveis AWS que funcionen amb IAM.
- Finalment coherent : IAM aconsegueix una alta disponibilitat replicant dades en diversos servidors dels centres de dades d’Amazon a tot el món. El canvi es compromet i s’emmagatzema de forma segura quan sol·liciteu alguna modificació.
- Ús gratuït : Quan accediu a altres serveis d'AWS mitjançant els vostres usuaris d'IAM o credencials de seguretat temporals d'AWS STS, només se us cobrarà.
Ara continuem i entenem el funcionament de la gestió d’accessos i identitats.
Funcionament d'IAM
Accés i gestió de la identitat ofereix el millor infraestructura que és necessari per controlar tota l'autorització i autenticació del vostre compte AWS. Aquests són alguns dels elements de la infraestructura IAM:
què és apache spark vs hadoop
Principi
El principi d'AWS IAM s'utilitza per dur a terme una acció sobre el recurs AWS. L'usuari administratiu IAM és el primer principi, que pot permetre a l'usuari els serveis concrets per tal d'assumir un paper. Podeu donar suport als usuaris federats perquè l’aplicació accedeixi al vostre compte actual d’AWS.
Sol·licitud
Mentre utilitzeu la consola d'administració d'AWS, l'API o CLI enviaran la sol·licitud automàticament a AWS. S'especificarà la informació següent:
- Les accions es consideren com principis actuar
- Les accions es realitzen en funció del fitxer recursos
- La informació principal inclou el fitxer entorn on s’ha fet la sol·licitud anteriorment
Autenticació
És un dels principis més utilitzats que s’utilitza per iniciar la sessió a AWS mentre li envia la sol·licitud. No obstant això, també consta de serveis alternatius com Amazon S3 que permetrà les sol·licituds dels usuaris desconeguts. Per autenticar-vos des de la consola, heu d'iniciar la sessió amb les vostres credencials d'inici de sessió, com ara el nom d'usuari i la contrasenya. Però, per autenticar-vos, heu de proporcionar-los la clau secreta i d’accés, juntament amb la informació de seguretat addicional necessària.
Autorització
Tot i autoritzar els valors IAM que es generen de la sol·licitud, es contextualitzarà la comprovació de totes les polítiques de coincidència i s’avaluarà si es permet o no la sol·licitud respectiva. Totes les polítiques s’emmagatzemen a IAM com a JSON documents i oferiu el permís especificat per a la resta de recursos. AWS IAM comprova automàticament totes les polítiques que coincideixen particularment amb el context de totes les vostres sol·licituds. Si es denega l'acció única, l'IAM rebutja tota la sol·licitud i lamenta avaluar les restants, cosa que es denomina denegació explícita. Les següents són algunes de les regles de la lògica d’avaluació per a IAM:
- Totes les sol·licituds es deneguen per defecte
- L'explicit pot permetre les substitucions per defecte
- Un explícit també pot negar la substitució en permetre'ls
Accions
Després de processar l'autorització de la sol·licitud o no s'ha autenticat automàticament, AWS aprova la vostra acció en forma de sol·licitud. Aquí totes les accions estan definides pels serveis i es poden fer coses mitjançant recursos com ara crear, editar, suprimir i visualitzar. Per permetre el principi d’acció, hem d’incloure totes les accions necessàries a la política sense afectar el recurs existent.
Recursos
Després d'obtenir les aprovacions d'AWS, es poden fer totes les accions de la vostra sol·licitud en funció dels recursos relacionats que continguin al vostre compte. En general, un recurs es denomina entitat que existeix particularment dins dels serveis. Aquests serveis de recursos es pot definir com un conjunt d’activitats que es realitzen particularment en tots i cadascun dels recursos. Si voleu crear una sol·licitud, primer heu de dur a terme l'acció no relacionada que no es pot negar.
com invertir la cadena en python
Prenem ara un exemple i entenem millor el concepte de gestió d’accés a la identitat.
Gestió d’identitats i accessos: exemple
Comprendre el concepte de Gestió d’identitats i accessos (IAM) , posem un exemple. Suposem que una persona té una start-up amb 3-4 membres i ha allotjat l'aplicació a Amazon. Com que és una organització petita, tothom tindria accés a Amazon, on podrà configurar i realitzar altres activitats amb el seu compte d’Amazon. Un cop la mida de l’equip creixi amb un conjunt de persones a cada departament, no preferiria donar-hi accés complet , ja que tots són empleats i cal protegir les dades. En aquest cas, seria recomanable crear uns quants comptes del servei web d’Amazon anomenats usuaris d’IAM. L’avantatge aquí és que podem controlar en quin domini poden treballar.
Ara bé, si l’equip creix 4,000 persones amb diverses tasques i departaments. La millor solució seria que Amazon admeti l'inici de sessió únic amb els serveis de directori. Amazon proporciona servei suportat per SAML autenticació basada. No demanaria cap credencial quan algú de l'organització iniciï la sessió a la màquina de l'organització. Aleshores es dirigiria al portal d’Amazon i mostraria serveis que l’usuari en concret pot utilitzar. L’avantatge més gran d’utilitzar IAM és que no cal crear diversos usuaris, sinó implementar un inici de sessió simple.
Amb això, hem arribat al final del nostre article. Espero que hagueu entès què és la gestió d’accés i identitat a AWS i com funciona.
Si heu decidit preparar-vos per obtenir una certificació AWS, consulteu els nostres cursos a Tens alguna pregunta? Esmenteu-lo a la secció de comentaris de 'Gestió d’identitats i accessos' i us respondrem.