IAM

概述

• 集中管理訪問AWS資源的訪問權(quán)限和用戶身份認證
• 支持聯(lián)合訪問管理，支持LADP第三方服務(wù) （Identity Provider）
• 是非區(qū)域相關(guān)的服務(wù)，全局有效
• 創(chuàng)建用戶、組和角色以應(yīng)用策略
• 安全憑證類型包括： 電子郵件和密碼、IAM用戶名和密碼、訪問密匙、多重驗證（MFA）、密匙對
• 密碼策略管理和KMS加密解密管理
• 建議始終使用創(chuàng)建和管理IAM賬戶來進行操作
• IAM遵循最低特權(quán)原則，即所有權(quán)限被隱式拒絕，而顯式拒絕擁有最高優(yōu)先級
• IAM是權(quán)限與實體進行匹配的正式語句
  • 策略可以應(yīng)用于任何實體，包括用戶、組和角色
  • 策略可以一對多也可以多對一

十年的承留網(wǎng)站建設(shè)經(jīng)驗，針對設(shè)計、前端、開發(fā)、售后、文案、推廣等六對一服務(wù)，響應(yīng)快，48小時及時工作處理。成都營銷網(wǎng)站建設(shè)的優(yōu)勢是能夠根據(jù)用戶設(shè)備顯示端的尺寸不同，自動調(diào)整承留建站的顯示方式，使網(wǎng)站能夠適用不同顯示終端，在瀏覽器中調(diào)整網(wǎng)站的寬度，無論在任何一種瀏覽器上瀏覽網(wǎng)站，都能展現(xiàn)優(yōu)雅布局與設(shè)計，從而大程度地提升瀏覽體驗。創(chuàng)新互聯(lián)建站從事“承留網(wǎng)站設(shè)計”,“承留網(wǎng)站推廣”以來，每個客戶項目都認真落實執(zhí)行。

委托人

• 委托人是允許與AWS資源交互的IAM實體，可以是人或應(yīng)用程序，也可以是臨時或永久的。

• 有三種委托人身份：根用戶、IAM用戶(組)和角色

  • 根用戶
    • 第一次創(chuàng)建AWS時的登錄主體，可以完全訪問所有賬戶中的AWS資源與服務(wù)
    • 強烈建議不要將根賬戶用于任何的日常任務(wù)或是管理員
    • 必須安全的鎖定根用戶的用戶憑證
    • 根用戶也是Billing Account
    • 等同于Owner ，創(chuàng)建AWS賬戶的實體和Email地址
  • IAM用戶
    • 可以通過IAM服務(wù)創(chuàng)建持久性身份，可以是個人或應(yīng)用程序
    • IAM用戶可以隨時由IAM管理權(quán)限的主體創(chuàng)建
    • 需要提供與AWS交互的方法, 支持AWS控制臺用戶名密碼、CLI或者SDK等方式管理IAM用戶
    • 可以提供定制的URL用于IAM用戶訪問
    • 應(yīng)該使用最小權(quán)限原則管理IAM用戶
    • 最佳實踐：創(chuàng)建對根賬戶擁有管理特權(quán)的獨立IAM賬戶
  • IAM用戶組
    • 用戶的集合
    • 策略應(yīng)用于整組
    • 一個用戶可以屬于多個組
    • 沒有默認組
    • 不能嵌套組

• 角色
  • 在特定時間段內(nèi)向特定角色授予特定權(quán)限
  • 這些角色通過AWS或第三方系統(tǒng)進行身份驗證
  • 通常會將某個用戶或組的權(quán)限關(guān)聯(lián)到角色，以簡化管理防止配置錯誤
  • 當一個角色開始承擔任務(wù)時，AWS會提供AWS安全令牌（STS）的臨時安全令牌似的他可以使用授權(quán)的AWS服務(wù)（STS 有效時間為15分鐘-36小時）
  • IAM組無法使用角色
  • 每個賬戶只能創(chuàng)建最多1000個IAM角色
  • EC2應(yīng)用程序角色
    • 傳統(tǒng)授予應(yīng)用程序權(quán)限會非常麻煩，需要安全使用某種憑證，并且還需要考慮安全的存儲和訪問這些憑證，
      • 如一個應(yīng)用程序需要訪問S3時，需要該程序使用IAM用戶的密鑰，而密鑰又云需要存儲在一個安全的位置被應(yīng)用程序訪問，這樣會導(dǎo)致憑證輪換等存在很多問題，同時不利于敏捷開發(fā)。
      • 可以利用IAM 角色功能，當該應(yīng)用程序的EC2啟動時利用Config Profile分配該角色，程序利用API訪問S3時該角色會獲取一個臨時令牌，用AWS工具包將臨時令牌傳遞給API以允許訪問，這種方法不需要考慮任何密鑰管理和輪換。
    • 在實例運行過程中可以隨時替換或分離角色
    • 每個EC2只能分配一個角色
    • 跨賬戶訪問(Cross Account )
      • 將訪問AWS資源授予其他AWS賬戶中的IAM用戶
      • 通常用于與公司關(guān)聯(lián)的第三方供應(yīng)商或客戶有限制的訪問公司資源
    • 臨時訪問管理 ( Federation)
      • 對聯(lián)合身份用戶提供臨時的訪問權(quán)限
      • 主要用于第三方服務(wù)，而組織又不希望為它提供組織內(nèi)長期憑證（如API管理）

認證

用戶名/密碼

• 人員登錄Console的設(shè)置，可以設(shè)置密碼策略執(zhí)行復(fù)雜性要求和過期
• 最大支持128個字符
• 建議設(shè)置密碼策略以確保使用強密碼且經(jīng)常更改
• IAM賬戶登錄還必須提供賬戶ID或別名（URL包含）

訪問密鑰

• 密鑰ID AKI（20字符）和訪問密鑰 SAK（40字符）的組合
• 通過API時使用密鑰對REST調(diào)用，且SAK必須簽署所有的API請求
• 簽名有助于保護消息完整性，防止在傳輸過程中被篡改，以及防止重播 attack
• 支持Signature v4， 使用SAK派生進行簽名
• 訪問密鑰需要放在安全的地方而不是嵌入代碼中
• 每個IAM用戶最多同時擁有2個激活的密鑰
• 只在區(qū)域內(nèi)有效

• 密鑰對

  • 支持RSA 2048 SSH密鑰
  • 首次訪問時實例使用顯式的私鑰授予訪問權(quán)限，公鑰放入實例中，是登錄EC2的首選方式
  • 密鑰對還可用于CloudFront 為私人內(nèi)容創(chuàng)建簽名URL實現(xiàn)私有分發(fā)
  • 若密鑰對丟失，不能被重新生成，但是可以進行替換
• 訪問密鑰+會話令牌 （STS）
  • 在服務(wù)被假定角色使用時，使用的臨時令牌用于驗證訪問密鑰，包括臨時訪問密鑰對本身和一個會話令牌。
    • 訪問ID
    • 訪問密鑰
    • 安全令牌
    • 超時時間
• 不用為訪問創(chuàng)建專門的IAM賬號
• 臨時認證無需進行密鑰rotation
• 配置超時 15min -36hr ，默認12小時

X.509

• 可用于簽署基于SOAP的請求
• AWS賬戶可以創(chuàng)建X.509, IAM必須使用第三方軟件才能創(chuàng)建X.509
• 可作為SSL/TLS服務(wù)器證書， 提交密鑰到CA進行證書簽名請求CSR
• 利用X.509為EC2創(chuàng)建定制的Linux AMI

多因素認證

• MFA是在密碼/密鑰之外為基礎(chǔ)架構(gòu)添加的額外安全層，通常需要從外部設(shè)備輸入一次性密碼OTP
• 支持硬件和軟件的MFA認證
• 支持為API實施MFA認證
• MFA可以分配個任何IAM用戶，尤其建議為根用戶啟用MFA
• 每個用戶只能與一個MFA綁定

聯(lián)合認證 （Identity Federation）

• IAM身份供應(yīng)商IdP可以將IAM和外部身份聯(lián)合起來由外部進行認證， 并將權(quán)限分配給IAM外進行認證的用戶。
• IAM會返回與角色關(guān)聯(lián)的臨時令牌進行工作，以便驗證用與調(diào)用AWS API的身份
  • 公共IdP
    • 采用 OIDC （OpenID Connect）集成
    • 主要是授權(quán)給主要的網(wǎng)絡(luò)IdP認證用戶，如Google，F(xiàn)acebook，Amazon等，稱為Web Federation
  • 企業(yè)內(nèi)部身份驗證
    • 如企業(yè)自有的AD或LADP身份驗證服務(wù)，支持SAML 2.0
• 注意： 默認創(chuàng)建IAM用戶是不包含任何密碼和密鑰對，管理員需要手工指定

授權(quán)

• 指定委托人可以執(zhí)行和不能執(zhí)行操作的權(quán)限 ，通過策略定義。
• 策略是一個JSON文件，充分定義了一組權(quán)限的訪問和操作AWS資源
  • Version： 可選項，以日期為格式
  • Effect - 允許或拒絕
  • Resource - 適用于特定權(quán)限的AWS基礎(chǔ)架構(gòu)的資源、數(shù)據(jù)主體，利用ARN來唯一指定資源
    • Amazon 資源名稱 = Amazon Resource Name （ARN）
    • 一個AWS資源的唯一標識，當在全局環(huán)境中調(diào)用時指向唯一的一項資源
      • arn:<partition>:<service>:<region>:<account-id>:<resourcetype>:<resource>
      • 例如 arn:aws:rds:eu-west-1:1234567:db:MySQL-db
  • Service - 適用的服務(wù)名稱
  • Action - 指定服務(wù)的操作子集
  • Condition - 可選項定義一個或者多個限制權(quán)限允許操作的附加條件。

• 將策略和委托人聯(lián)系
  • 用戶策略
    • 顯式聲明的策略
    • 策略僅僅存在于所聯(lián)系的用戶中
  • 托管策略
    • 預(yù)置的策略
    • 獨立于用戶而存在的，策略可以與許多用戶或用戶組關(guān)聯(lián)。
    • 建議使用預(yù)定義的托管策略保證在添加新功能時用戶依舊保持正確的訪問權(quán)限。
  • 最佳實踐： 組策略
    • 通過將托管策略關(guān)聯(lián)到一個用戶組可以大大簡化對多用戶的策略管理。同樣也為用戶組策略和用戶組托管管理策略。
• 用戶權(quán)限
  • 無權(quán)限 - 新用戶創(chuàng)建時的默認權(quán)限
  • 授權(quán)用戶權(quán)限 - 根據(jù)需求對用戶進行授權(quán)
  • 特權(quán)（Power）權(quán)限 - 可以訪問所有AWS 服務(wù)，但是無法管理用戶和組
  • 管理員權(quán)限 - 根用戶權(quán)限

其他主要特點

密鑰輪換

• 任何憑證的安全風險都會隨著憑證使用時長而增加，所以定期對密鑰進行更換非常必要。
  • 創(chuàng)建新的訪問密鑰
  • 重新配置所有應(yīng)用程序使用新密鑰
  • 禁用老密鑰
  • 驗證新密鑰的所有應(yīng)用程序操作
  • 刪除老密鑰

多權(quán)限問題

• 為了解決委托人在執(zhí)行某個操作時，可能適用于已經(jīng)配置的多個權(quán)限。
  • 請求默認被拒絕
  • 當所有政策中有明確的拒絕，則拒絕
  • 當所有政策中有明確的允許而沒有明確的拒絕，則允許
  • 若沒有明確拒絕或允許，則保留默認拒絕
  • 策略無法覆蓋角色所默認拒絕的任何權(quán)限

AWS Directory Service

AD概念

• AD包含組織信息、用戶、組、計算機和其它資源

MS AD Service

• 將MS AD作為托管服務(wù)運行
• 在Win2012R2上運行
• AD是跨2個可用區(qū)部署的高可用域控制器
• 支持數(shù)據(jù)復(fù)制和自動每日快照
• 無需安裝軟件，AWS處理所有的bug和update
• 不能將現(xiàn)有AD遷移進來，只能新建
• 適用于超過5000人的場景

AD Connector

• 可以使用AD Connector 連接現(xiàn)有本地AD
• 通過VPC VirtualPN或者Direct Connect 連接企業(yè)數(shù)據(jù)中心
• 使用現(xiàn)有憑證訪問AWS 應(yīng)用程序
• 基于RADIUS 現(xiàn)有 MFA解決方案集成
• 適用于混合云場景

Simple AD 服務(wù)

• 使用Samba 4服務(wù)器提供AD服務(wù)
• 支持常用AD功能，如用戶賬號和組身份
• 支持Linux 和 Windows EC2加入域
• 基于Kerberos的單一登錄（SSO）和組策略
• 也提供了每日快照和基于時間點恢復(fù)
• 提供日志和審計功能
• 不支持與MS AD建立信任關(guān)系，不支持MFA、DNS動態(tài)更新、LDAP等高級功能
• 適用于不超過5000人的簡單場景

AWS Security Token Service

概念

• 輕量級Web服務(wù)，獲取臨時、有限權(quán)限的憑證
• 身份代理認證
  • 利用身份代理服務(wù)創(chuàng)建臨時憑證，用戶獲得一個臨時URL訪問AWS管理控制臺（單點登錄） ，支持
    • 跨AWS賬戶的IAM用戶組
    • 當前賬戶中的IAM用戶
    • 第三方請求
• 身份代理主要用于：
  • 查詢STS
  • 確定Web請求的用戶
  • 使用AWS憑證向AWS進行身份驗證
  • 通過AWS STS API頒發(fā)臨時憑證
• STS 返回
  • STS返回臨時安全憑證給應(yīng)用程序，其中包括了：
    • AccessKeyId
    • SecretAccessKey
    • SessionToken和時限（1到36小時）

常見場景

• 基于SAML的SSO聯(lián)合認證
  • STS支持SAML 2.0的開放標準更快更容易實現(xiàn)聯(lián)合，利用現(xiàn)有身份管理軟件管理AWS的訪問，無需編碼
  • 身份供應(yīng)商idP通過SAML2.0 使用HTTP-POST綁定啟動Web SSO，通過新的URL簡化SSO
  • 需要IAM創(chuàng)建SAML idP作為IAM信任策略的委托人
  • 步驟
    • 用戶在應(yīng)用程序內(nèi)輸入賬號密碼，應(yīng)用程序?qū)⑵浒l(fā)送給Identity Provider (Identity Broker)
    • Identity Provider (IdP)將用戶名和密碼發(fā)送到企業(yè)的LDAP目錄進行驗證
    • 驗證成功后IdP發(fā)送一個SAML認證響應(yīng)給應(yīng)用程序
    • 應(yīng)用程序使用AssumeRoleWithSAMLRequest API發(fā)送SMAL請求給STS
    • 應(yīng)用程序使用臨時憑證訪問S3存儲桶

• 基于Web的聯(lián)合身份認證
  • 使用STS API AssumeRoleWIthWebIdentity
  • 支持Amazon、Google、Facebook的身份認證

• 跨賬戶訪問
  • 跨賬號訪問權(quán)限（Cross Account Access），可以在AWS管理控制臺上輕松地進行賬號（角色）的切換，讓用戶在不同的開發(fā)賬號（角色）、測試賬號（角色）、生產(chǎn)賬號（角色）中進行快捷的切換。
  • 示例 ： 讓開發(fā)賬號擁有一定的訪問權(quán)限，讓其訪問生產(chǎn)賬號中的S3資源。
    • 生產(chǎn)賬號中的管理員需要在IAM中創(chuàng)建一個新的角色UpdateAPP，在角色中定義了策略（Policy），策略具體定義了允許特定的AWS賬號ID訪問名為productionapp的S3存儲桶
    • 在開發(fā)賬戶中，管理員向開發(fā)人員組的成員授權(quán)切換角色的權(quán)限。向開發(fā)人員組授予針對UpdateApp角色調(diào)用AWS Security Token Service (AWS STS) AssumeRole API 的權(quán)限。
    • 用戶請求切換角色
    • 可以在AWS控制臺使用Switch Role的按鈕切換到生產(chǎn)賬號
    • 或者使用AWS API/CLI，使用AssumeRole函數(shù)獲取UpdateAPP角色的憑證
    • AWS STS返回臨時憑證
    • 臨時憑證允許訪問AWS資源，這樣切換后的角色就可以訪問productionapp的存儲桶里的內(nèi)容了。

AWS KMS （Key Management Service）

概述

• 托管型加密服務(wù)
• 采用雙層密鑰結(jié)構(gòu)，通過主密鑰對不同的數(shù)據(jù)密鑰進行加密，數(shù)據(jù)密鑰對應(yīng)用程序進行加密
• 數(shù)據(jù)密鑰是唯一的， 主密鑰不能脫離KMS系統(tǒng)
• 僅支持對稱加密。

CMK

• KMS使用客戶主密鑰（CMK）來加密和解密數(shù)據(jù)。CMK可以是客戶托管的密鑰也可以使AWS托管的密鑰
• CMK不能以未加密的狀態(tài)脫離AWS KMS，但是數(shù)據(jù)密鑰可以。
• 默認情況下，啟用KMS集成后，每個賬戶都會生成一個AWS托管的默認密鑰，如果沒有特別指定CMK，這個默認密鑰就會作為CMK對資源進行加密。
• CMK密鑰長度為256位，數(shù)據(jù)密鑰為128位或256位
• CMK的創(chuàng)建需要有相應(yīng)的權(quán)限，并定義IAM中哪些用戶和角色可以管理和使用密鑰，也可以允許其他AWS賬戶使用該密鑰。
• CMK支持對最大4KB數(shù)據(jù)的加密和解密
• AWS可以選擇自動進行每年的CMK輪換
• CMK刪除可以設(shè)置7-30天的等待期，以確保沒有任何影響
• 每個區(qū)域的每個賬戶最多可以創(chuàng)建1000個CMK

• 信封加密

  • CMK加密數(shù)據(jù)密鑰加密后，會返回明文和加密版本
  • 明文版本用于對數(shù)據(jù)加密，完成后應(yīng)立即從內(nèi)存中刪除
  • 加密版本可與加密數(shù)據(jù)一起存放
  • 加密上下文
    • 所有加密操作都支持附加上下文信息的可選Key/value對
    • 加密和解密操作必須先確定上下文相同，否則無法解密
    • 上下文可用細粒度授權(quán)和額外審計

安全實踐

• 為密鑰創(chuàng)建唯一的別名和描述
• 定義哪些IAM用戶和角色可以管理密鑰
• 選擇讓KMS每年輪換密鑰
• 臨時禁用和啟用密鑰
• 檢查和審核CloudTrail日志中密鑰的使用情況
• KMS只能在生成的區(qū)域使用，無法傳輸?shù)搅硪粎^(qū)域

KMS+HSA

• AWS KMS提供簡單的Web接口RESTful API，用戶訪問彈性、多租戶的強化安全設(shè)備（HSA）
• 使用CMK構(gòu)建基于HSA的加密上下文，僅可在HSA上訪問，用于常駐HSA的加密操作
• KMS是一項分級服務(wù)，由面向Web的KMS主機和一個HSA梯隊組成
• 客戶對KMS所有請求通過SSL發(fā)出，在KMS主機上中止
• KMS主機使用協(xié)議和程序通過HSA完成相關(guān)的加密解密操作。

KMS加密EBS卷

AWS CloudHSM

• 在AWS云中部署專用的硬件安全模塊，使用SafeNet Inc 的 Luna SA7000 HSM設(shè)備
• 提供防篡改的硬件模塊內(nèi)的安全密鑰加密和存儲，且不會將其暴露在設(shè)備的加密邊界外

• CloudHSM主要針對專用的VPC中，為單租戶提供HSM服務(wù)，支持對稱和非對稱加密

  • 使用 AWS CloudHSM 服務(wù)時，您需要創(chuàng)建 CloudHSM 集群。
  • 集群可以包含多個 HSM 實例，這些實例分布在一個區(qū)域的多個可用區(qū)中。
  • 集群中的 HSM 實例會自動同步并進行負載均衡。
  • 您可獲得對集群中每個 HSM 實例的專用單租戶訪問權(quán)限。
  • 每個 HSM 實例在 Amazon Virtual Private Cloud (VPC) 中都顯示為網(wǎng)絡(luò)資源。向集群中添加 HSM 或?qū)⑵鋸闹袆h除只需調(diào)用 AWS CloudHSM API（或在命令行上使用 AWS CLI）即可完成。
  • 創(chuàng)建和初始化 CloudHSM 集群后，您可以在 EC2 實例上配置一個客戶端，以允許您的應(yīng)用程序通過經(jīng)過身份驗證的安全網(wǎng)絡(luò)連接使用該集群。
  • Amazon 管理員可監(jiān)控 HSM 的運行狀況，但無權(quán)配置、管理和使用它們。
  • 您的應(yīng)用程序?qū)藴实募用?API 與應(yīng)用程序?qū)嵗习惭b的 HSM 客戶端軟件配合使用，以向 HSM 發(fā)送加密請求?？蛻舳塑浖删S護通向集群中所有 HSM 的安全通道，并在此通道上發(fā)送請求，而 HSM 執(zhí)行相關(guān)操作并通過該安全通道返回結(jié)果。然后，客戶端通過加密 API 將結(jié)果返回到應(yīng)用程序。
• 建議配置高可用的HSM服務(wù)

Amazon Cognito 服務(wù)

• Cognito為移動和基于Web應(yīng)用的程序提供身份和同步服務(wù)
• 與公共的IdP合作，如Google、Facebook和Amazon
  • 利用SDK訪問IdP，并利用它進行身份識別和授權(quán)
  • IdP認證成功后會回傳一個OAuth或OpenID Connect給Cognito，Cognito會給用戶返回一個新的Cognito ID以及一組臨時AWS憑證
  • Cognito 作為代理，需要創(chuàng)建一個身份池，用于AWS賬戶中特定的用戶信息存儲，即角色和權(quán)限
  • Cognito會有限的創(chuàng)建新角色對AWS資源進行訪問，而最終用戶實際只能訪問到Cognito Sync服務(wù)和Mobile Analytics服務(wù)
• Cognito利用客戶端SDK管理本地的SQLite存儲作為讀寫緩存，并異步同步到云端，
  • 用戶即使處于脫機狀態(tài)依舊可以繼續(xù)進行數(shù)據(jù)交互，但數(shù)據(jù)可能過時
  • 但多賬戶同步時必須得到Cognito的驗證
  • Cognito身份只會同步和存儲角色授權(quán)的自己的數(shù)據(jù)，且數(shù)據(jù)傳輸使用HTTPS加密

歡迎大家掃碼關(guān)注，獲取更多信息

名稱欄目：AWS身份及驗證服務(wù)（四）
網(wǎng)站鏈接：http://www.ekvhdxd.cn/article32/podhpc.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供App開發(fā)、網(wǎng)站建設(shè)、外貿(mào)網(wǎng)站建設(shè)、網(wǎng)站改版、域名注冊、動態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)