IAM

概述

• 集中管理訪問AWS資源的訪問權(quán)限和用戶身份認證
• 支持聯(lián)合訪問管理，支持LADP第三方服務 （Identity Provider）
• 是非區(qū)域相關的服務，全局有效
• 創(chuàng)建用戶、組和角色以應用策略
• 安全憑證類型包括： 電子郵件和密碼、IAM用戶名和密碼、訪問密匙、多重驗證（MFA）、密匙對
• 密碼策略管理和KMS加密解密管理
• 建議始終使用創(chuàng)建和管理IAM賬戶來進行操作
• IAM遵循最低特權(quán)原則，即所有權(quán)限被隱式拒絕，而顯式拒絕擁有最高優(yōu)先級
• IAM是權(quán)限與實體進行匹配的正式語句
  • 策略可以應用于任何實體，包括用戶、組和角色
  • 策略可以一對多也可以多對一

十年的承留網(wǎng)站建設經(jīng)驗，針對設計、前端、開發(fā)、售后、文案、推廣等六對一服務，響應快，48小時及時工作處理。成都營銷網(wǎng)站建設的優(yōu)勢是能夠根據(jù)用戶設備顯示端的尺寸不同，自動調(diào)整承留建站的顯示方式，使網(wǎng)站能夠適用不同顯示終端，在瀏覽器中調(diào)整網(wǎng)站的寬度，無論在任何一種瀏覽器上瀏覽網(wǎng)站，都能展現(xiàn)優(yōu)雅布局與設計，從而大程度地提升瀏覽體驗。創(chuàng)新互聯(lián)建站從事“承留網(wǎng)站設計”,“承留網(wǎng)站推廣”以來，每個客戶項目都認真落實執(zhí)行。

委托人

• 委托人是允許與AWS資源交互的IAM實體，可以是人或應用程序，也可以是臨時或永久的。

• 有三種委托人身份：根用戶、IAM用戶(組)和角色

  • 根用戶
    • 第一次創(chuàng)建AWS時的登錄主體，可以完全訪問所有賬戶中的AWS資源與服務
    • 強烈建議不要將根賬戶用于任何的日常任務或是管理員
    • 必須安全的鎖定根用戶的用戶憑證
    • 根用戶也是Billing Account
    • 等同于Owner ，創(chuàng)建AWS賬戶的實體和Email地址
  • IAM用戶
    • 可以通過IAM服務創(chuàng)建持久性身份，可以是個人或應用程序
    • IAM用戶可以隨時由IAM管理權(quán)限的主體創(chuàng)建
    • 需要提供與AWS交互的方法, 支持AWS控制臺用戶名密碼、CLI或者SDK等方式管理IAM用戶
    • 可以提供定制的URL用于IAM用戶訪問
    • 應該使用最小權(quán)限原則管理IAM用戶
    • 最佳實踐：創(chuàng)建對根賬戶擁有管理特權(quán)的獨立IAM賬戶
  • IAM用戶組
    • 用戶的集合
    • 策略應用于整組
    • 一個用戶可以屬于多個組
    • 沒有默認組
    • 不能嵌套組

• 角色
  • 在特定時間段內(nèi)向特定角色授予特定權(quán)限
  • 這些角色通過AWS或第三方系統(tǒng)進行身份驗證
  • 通常會將某個用戶或組的權(quán)限關聯(lián)到角色，以簡化管理防止配置錯誤
  • 當一個角色開始承擔任務時，AWS會提供AWS安全令牌（STS）的臨時安全令牌似的他可以使用授權(quán)的AWS服務（STS 有效時間為15分鐘-36小時）
  • IAM組無法使用角色
  • 每個賬戶只能創(chuàng)建最多1000個IAM角色
  • EC2應用程序角色
    • 傳統(tǒng)授予應用程序權(quán)限會非常麻煩，需要安全使用某種憑證，并且還需要考慮安全的存儲和訪問這些憑證，
      • 如一個應用程序需要訪問S3時，需要該程序使用IAM用戶的密鑰，而密鑰又云需要存儲在一個安全的位置被應用程序訪問，這樣會導致憑證輪換等存在很多問題，同時不利于敏捷開發(fā)。
      • 可以利用IAM 角色功能，當該應用程序的EC2啟動時利用Config Profile分配該角色，程序利用API訪問S3時該角色會獲取一個臨時令牌，用AWS工具包將臨時令牌傳遞給API以允許訪問，這種方法不需要考慮任何密鑰管理和輪換。
    • 在實例運行過程中可以隨時替換或分離角色
    • 每個EC2只能分配一個角色
    • 跨賬戶訪問(Cross Account )
      • 將訪問AWS資源授予其他AWS賬戶中的IAM用戶
      • 通常用于與公司關聯(lián)的第三方供應商或客戶有限制的訪問公司資源
    • 臨時訪問管理 ( Federation)
      • 對聯(lián)合身份用戶提供臨時的訪問權(quán)限
      • 主要用于第三方服務，而組織又不希望為它提供組織內(nèi)長期憑證（如API管理）

認證

用戶名/密碼

• 人員登錄Console的設置，可以設置密碼策略執(zhí)行復雜性要求和過期
• 最大支持128個字符
• 建議設置密碼策略以確保使用強密碼且經(jīng)常更改
• IAM賬戶登錄還必須提供賬戶ID或別名（URL包含）

訪問密鑰

• 密鑰ID AKI（20字符）和訪問密鑰 SAK（40字符）的組合
• 通過API時使用密鑰對REST調(diào)用，且SAK必須簽署所有的API請求
• 簽名有助于保護消息完整性，防止在傳輸過程中被篡改，以及防止重播 attack
• 支持Signature v4， 使用SAK派生進行簽名
• 訪問密鑰需要放在安全的地方而不是嵌入代碼中
• 每個IAM用戶最多同時擁有2個激活的密鑰
• 只在區(qū)域內(nèi)有效

• 密鑰對

  • 支持RSA 2048 SSH密鑰
  • 首次訪問時實例使用顯式的私鑰授予訪問權(quán)限，公鑰放入實例中，是登錄EC2的首選方式
  • 密鑰對還可用于CloudFront 為私人內(nèi)容創(chuàng)建簽名URL實現(xiàn)私有分發(fā)
  • 若密鑰對丟失，不能被重新生成，但是可以進行替換
• 訪問密鑰+會話令牌 （STS）
  • 在服務被假定角色使用時，使用的臨時令牌用于驗證訪問密鑰，包括臨時訪問密鑰對本身和一個會話令牌。
    • 訪問ID
    • 訪問密鑰
    • 安全令牌
    • 超時時間
• 不用為訪問創(chuàng)建專門的IAM賬號
• 臨時認證無需進行密鑰rotation
• 配置超時 15min -36hr ，默認12小時

X.509

• 可用于簽署基于SOAP的請求
• AWS賬戶可以創(chuàng)建X.509, IAM必須使用第三方軟件才能創(chuàng)建X.509
• 可作為SSL/TLS服務器證書， 提交密鑰到CA進行證書簽名請求CSR
• 利用X.509為EC2創(chuàng)建定制的Linux AMI

多因素認證

• MFA是在密碼/密鑰之外為基礎架構(gòu)添加的額外安全層，通常需要從外部設備輸入一次性密碼OTP
• 支持硬件和軟件的MFA認證
• 支持為API實施MFA認證
• MFA可以分配個任何IAM用戶，尤其建議為根用戶啟用MFA
• 每個用戶只能與一個MFA綁定

聯(lián)合認證 （Identity Federation）

• IAM身份供應商IdP可以將IAM和外部身份聯(lián)合起來由外部進行認證， 并將權(quán)限分配給IAM外進行認證的用戶。
• IAM會返回與角色關聯(lián)的臨時令牌進行工作，以便驗證用與調(diào)用AWS API的身份
  • 公共IdP
    • 采用 OIDC （OpenID Connect）集成
    • 主要是授權(quán)給主要的網(wǎng)絡IdP認證用戶，如Google，F(xiàn)acebook，Amazon等，稱為Web Federation
  • 企業(yè)內(nèi)部身份驗證
    • 如企業(yè)自有的AD或LADP身份驗證服務，支持SAML 2.0
• 注意： 默認創(chuàng)建IAM用戶是不包含任何密碼和密鑰對，管理員需要手工指定

授權(quán)

• 指定委托人可以執(zhí)行和不能執(zhí)行操作的權(quán)限 ，通過策略定義。
• 策略是一個JSON文件，充分定義了一組權(quán)限的訪問和操作AWS資源
  • Version： 可選項，以日期為格式
  • Effect - 允許或拒絕
  • Resource - 適用于特定權(quán)限的AWS基礎架構(gòu)的資源、數(shù)據(jù)主體，利用ARN來唯一指定資源
    • Amazon 資源名稱 = Amazon Resource Name （ARN）
    • 一個AWS資源的唯一標識，當在全局環(huán)境中調(diào)用時指向唯一的一項資源
      • arn:<partition>:<service>:<region>:<account-id>:<resourcetype>:<resource>
      • 例如 arn:aws:rds:eu-west-1:1234567:db:MySQL-db
  • Service - 適用的服務名稱
  • Action - 指定服務的操作子集
  • Condition - 可選項定義一個或者多個限制權(quán)限允許操作的附加條件。

• 將策略和委托人聯(lián)系
  • 用戶策略
    • 顯式聲明的策略
    • 策略僅僅存在于所聯(lián)系的用戶中
  • 托管策略
    • 預置的策略
    • 獨立于用戶而存在的，策略可以與許多用戶或用戶組關聯(lián)。
    • 建議使用預定義的托管策略保證在添加新功能時用戶依舊保持正確的訪問權(quán)限。
  • 最佳實踐： 組策略
    • 通過將托管策略關聯(lián)到一個用戶組可以大大簡化對多用戶的策略管理。同樣也為用戶組策略和用戶組托管管理策略。
• 用戶權(quán)限
  • 無權(quán)限 - 新用戶創(chuàng)建時的默認權(quán)限
  • 授權(quán)用戶權(quán)限 - 根據(jù)需求對用戶進行授權(quán)
  • 特權(quán)（Power）權(quán)限 - 可以訪問所有AWS 服務，但是無法管理用戶和組
  • 管理員權(quán)限 - 根用戶權(quán)限

其他主要特點

密鑰輪換

• 任何憑證的安全風險都會隨著憑證使用時長而增加，所以定期對密鑰進行更換非常必要。
  • 創(chuàng)建新的訪問密鑰
  • 重新配置所有應用程序使用新密鑰
  • 禁用老密鑰
  • 驗證新密鑰的所有應用程序操作
  • 刪除老密鑰

多權(quán)限問題

• 為了解決委托人在執(zhí)行某個操作時，可能適用于已經(jīng)配置的多個權(quán)限。
  • 請求默認被拒絕
  • 當所有政策中有明確的拒絕，則拒絕
  • 當所有政策中有明確的允許而沒有明確的拒絕，則允許
  • 若沒有明確拒絕或允許，則保留默認拒絕
  • 策略無法覆蓋角色所默認拒絕的任何權(quán)限

AWS Directory Service

AD概念

• AD包含組織信息、用戶、組、計算機和其它資源

MS AD Service

• 將MS AD作為托管服務運行
• 在Win2012R2上運行
• AD是跨2個可用區(qū)部署的高可用域控制器
• 支持數(shù)據(jù)復制和自動每日快照
• 無需安裝軟件，AWS處理所有的bug和update
• 不能將現(xiàn)有AD遷移進來，只能新建
• 適用于超過5000人的場景

AD Connector

• 可以使用AD Connector 連接現(xiàn)有本地AD
• 通過VPC VirtualPN或者Direct Connect 連接企業(yè)數(shù)據(jù)中心
• 使用現(xiàn)有憑證訪問AWS 應用程序
• 基于RADIUS 現(xiàn)有 MFA解決方案集成
• 適用于混合云場景

Simple AD 服務

• 使用Samba 4服務器提供AD服務
• 支持常用AD功能，如用戶賬號和組身份
• 支持Linux 和 Windows EC2加入域
• 基于Kerberos的單一登錄（SSO）和組策略
• 也提供了每日快照和基于時間點恢復
• 提供日志和審計功能
• 不支持與MS AD建立信任關系，不支持MFA、DNS動態(tài)更新、LDAP等高級功能
• 適用于不超過5000人的簡單場景

AWS Security Token Service

概念

• 輕量級Web服務，獲取臨時、有限權(quán)限的憑證
• 身份代理認證
  • 利用身份代理服務創(chuàng)建臨時憑證，用戶獲得一個臨時URL訪問AWS管理控制臺（單點登錄） ，支持
    • 跨AWS賬戶的IAM用戶組
    • 當前賬戶中的IAM用戶
    • 第三方請求
• 身份代理主要用于：
  • 查詢STS
  • 確定Web請求的用戶
  • 使用AWS憑證向AWS進行身份驗證
  • 通過AWS STS API頒發(fā)臨時憑證
• STS 返回
  • STS返回臨時安全憑證給應用程序，其中包括了：
    • AccessKeyId
    • SecretAccessKey
    • SessionToken和時限（1到36小時）

常見場景

• 基于SAML的SSO聯(lián)合認證
  • STS支持SAML 2.0的開放標準更快更容易實現(xiàn)聯(lián)合，利用現(xiàn)有身份管理軟件管理AWS的訪問，無需編碼
  • 身份供應商idP通過SAML2.0 使用HTTP-POST綁定啟動Web SSO，通過新的URL簡化SSO
  • 需要IAM創(chuàng)建SAML idP作為IAM信任策略的委托人
  • 步驟
    • 用戶在應用程序內(nèi)輸入賬號密碼，應用程序?qū)⑵浒l(fā)送給Identity Provider (Identity Broker)
    • Identity Provider (IdP)將用戶名和密碼發(fā)送到企業(yè)的LDAP目錄進行驗證
    • 驗證成功后IdP發(fā)送一個SAML認證響應給應用程序
    • 應用程序使用AssumeRoleWithSAMLRequest API發(fā)送SMAL請求給STS
    • 應用程序使用臨時憑證訪問S3存儲桶

• 基于Web的聯(lián)合身份認證
  • 使用STS API AssumeRoleWIthWebIdentity
  • 支持Amazon、Google、Facebook的身份認證

• 跨賬戶訪問
  • 跨賬號訪問權(quán)限（Cross Account Access），可以在AWS管理控制臺上輕松地進行賬號（角色）的切換，讓用戶在不同的開發(fā)賬號（角色）、測試賬號（角色）、生產(chǎn)賬號（角色）中進行快捷的切換。
  • 示例 ： 讓開發(fā)賬號擁有一定的訪問權(quán)限，讓其訪問生產(chǎn)賬號中的S3資源。
    • 生產(chǎn)賬號中的管理員需要在IAM中創(chuàng)建一個新的角色UpdateAPP，在角色中定義了策略（Policy），策略具體定義了允許特定的AWS賬號ID訪問名為productionapp的S3存儲桶
    • 在開發(fā)賬戶中，管理員向開發(fā)人員組的成員授權(quán)切換角色的權(quán)限。向開發(fā)人員組授予針對UpdateApp角色調(diào)用AWS Security Token Service (AWS STS) AssumeRole API 的權(quán)限。
    • 用戶請求切換角色
    • 可以在AWS控制臺使用Switch Role的按鈕切換到生產(chǎn)賬號
    • 或者使用AWS API/CLI，使用AssumeRole函數(shù)獲取UpdateAPP角色的憑證
    • AWS STS返回臨時憑證
    • 臨時憑證允許訪問AWS資源，這樣切換后的角色就可以訪問productionapp的存儲桶里的內(nèi)容了。

AWS KMS （Key Management Service）

概述

• 托管型加密服務
• 采用雙層密鑰結(jié)構(gòu)，通過主密鑰對不同的數(shù)據(jù)密鑰進行加密，數(shù)據(jù)密鑰對應用程序進行加密
• 數(shù)據(jù)密鑰是唯一的， 主密鑰不能脫離KMS系統(tǒng)
• 僅支持對稱加密。

CMK

• KMS使用客戶主密鑰（CMK）來加密和解密數(shù)據(jù)。CMK可以是客戶托管的密鑰也可以使AWS托管的密鑰
• CMK不能以未加密的狀態(tài)脫離AWS KMS，但是數(shù)據(jù)密鑰可以。
• 默認情況下，啟用KMS集成后，每個賬戶都會生成一個AWS托管的默認密鑰，如果沒有特別指定CMK，這個默認密鑰就會作為CMK對資源進行加密。
• CMK密鑰長度為256位，數(shù)據(jù)密鑰為128位或256位
• CMK的創(chuàng)建需要有相應的權(quán)限，并定義IAM中哪些用戶和角色可以管理和使用密鑰，也可以允許其他AWS賬戶使用該密鑰。
• CMK支持對最大4KB數(shù)據(jù)的加密和解密
• AWS可以選擇自動進行每年的CMK輪換
• CMK刪除可以設置7-30天的等待期，以確保沒有任何影響
• 每個區(qū)域的每個賬戶最多可以創(chuàng)建1000個CMK

• 信封加密

  • CMK加密數(shù)據(jù)密鑰加密后，會返回明文和加密版本
  • 明文版本用于對數(shù)據(jù)加密，完成后應立即從內(nèi)存中刪除
  • 加密版本可與加密數(shù)據(jù)一起存放
  • 加密上下文
    • 所有加密操作都支持附加上下文信息的可選Key/value對
    • 加密和解密操作必須先確定上下文相同，否則無法解密
    • 上下文可用細粒度授權(quán)和額外審計

安全實踐

• 為密鑰創(chuàng)建唯一的別名和描述
• 定義哪些IAM用戶和角色可以管理密鑰
• 選擇讓KMS每年輪換密鑰
• 臨時禁用和啟用密鑰
• 檢查和審核CloudTrail日志中密鑰的使用情況
• KMS只能在生成的區(qū)域使用，無法傳輸?shù)搅硪粎^(qū)域

KMS+HSA

• AWS KMS提供簡單的Web接口RESTful API，用戶訪問彈性、多租戶的強化安全設備（HSA）
• 使用CMK構(gòu)建基于HSA的加密上下文，僅可在HSA上訪問，用于常駐HSA的加密操作
• KMS是一項分級服務，由面向Web的KMS主機和一個HSA梯隊組成
• 客戶對KMS所有請求通過SSL發(fā)出，在KMS主機上中止
• KMS主機使用協(xié)議和程序通過HSA完成相關的加密解密操作。

KMS加密EBS卷

AWS CloudHSM

• 在AWS云中部署專用的硬件安全模塊，使用SafeNet Inc 的 Luna SA7000 HSM設備
• 提供防篡改的硬件模塊內(nèi)的安全密鑰加密和存儲，且不會將其暴露在設備的加密邊界外

• CloudHSM主要針對專用的VPC中，為單租戶提供HSM服務，支持對稱和非對稱加密

  • 使用 AWS CloudHSM 服務時，您需要創(chuàng)建 CloudHSM 集群。
  • 集群可以包含多個 HSM 實例，這些實例分布在一個區(qū)域的多個可用區(qū)中。
  • 集群中的 HSM 實例會自動同步并進行負載均衡。
  • 您可獲得對集群中每個 HSM 實例的專用單租戶訪問權(quán)限。
  • 每個 HSM 實例在 Amazon Virtual Private Cloud (VPC) 中都顯示為網(wǎng)絡資源。向集群中添加 HSM 或?qū)⑵鋸闹袆h除只需調(diào)用 AWS CloudHSM API（或在命令行上使用 AWS CLI）即可完成。
  • 創(chuàng)建和初始化 CloudHSM 集群后，您可以在 EC2 實例上配置一個客戶端，以允許您的應用程序通過經(jīng)過身份驗證的安全網(wǎng)絡連接使用該集群。
  • Amazon 管理員可監(jiān)控 HSM 的運行狀況，但無權(quán)配置、管理和使用它們。
  • 您的應用程序?qū)藴实募用?API 與應用程序?qū)嵗习惭b的 HSM 客戶端軟件配合使用，以向 HSM 發(fā)送加密請求?？蛻舳塑浖删S護通向集群中所有 HSM 的安全通道，并在此通道上發(fā)送請求，而 HSM 執(zhí)行相關操作并通過該安全通道返回結(jié)果。然后，客戶端通過加密 API 將結(jié)果返回到應用程序。
• 建議配置高可用的HSM服務

Amazon Cognito 服務

• Cognito為移動和基于Web應用的程序提供身份和同步服務
• 與公共的IdP合作，如Google、Facebook和Amazon
  • 利用SDK訪問IdP，并利用它進行身份識別和授權(quán)
  • IdP認證成功后會回傳一個OAuth或OpenID Connect給Cognito，Cognito會給用戶返回一個新的Cognito ID以及一組臨時AWS憑證
  • Cognito 作為代理，需要創(chuàng)建一個身份池，用于AWS賬戶中特定的用戶信息存儲，即角色和權(quán)限
  • Cognito會有限的創(chuàng)建新角色對AWS資源進行訪問，而最終用戶實際只能訪問到Cognito Sync服務和Mobile Analytics服務
• Cognito利用客戶端SDK管理本地的SQLite存儲作為讀寫緩存，并異步同步到云端，
  • 用戶即使處于脫機狀態(tài)依舊可以繼續(xù)進行數(shù)據(jù)交互，但數(shù)據(jù)可能過時
  • 但多賬戶同步時必須得到Cognito的驗證
  • Cognito身份只會同步和存儲角色授權(quán)的自己的數(shù)據(jù)，且數(shù)據(jù)傳輸使用HTTPS加密

歡迎大家掃碼關注，獲取更多信息

名稱欄目：AWS身份及驗證服務（四）
網(wǎng)站鏈接：http://chinadenli.net/article32/podhpc.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供App開發(fā)、網(wǎng)站建設、外貿(mào)網(wǎng)站建設、網(wǎng)站改版、域名注冊、動態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)