红帽白皮书新鲜出炉!点击获取,让你的云战略更胜一筹! 了解详情
写点什么

AWS 身份和访问管理模块新增标签和基于属性的访问控制能力

  • 2019-02-13
  • 本文字数:1814 字

    阅读完需:约 6 分钟

AWS身份和访问管理模块新增标签和基于属性的访问控制能力

最近,Amazon Web Services(AWS)启用了 IAM 用户和角色标签,以简化 IAM 资源的管理工作。值得注意的是,这个版本还提供了基于属性的访问控制(ABAC)能力,并将 AWS 资源与 IAM 主体动态匹配,以“简化大规模的权限管理”。


最近,Amazon Web Services(AWS)启用了IAM用户和角色标签,以简化 IAM 资源的管理工作。值得注意的是,这个版本还提供了基于属性的访问控制(ABAC)能力,并将 AWS 资源与 IAM 主体动态匹配,以“简化大规模的权限管理”。


AWS身份和访问管理(IAM)是主要的帐户级功能,用来安全地管理对 AWS 服务和资源的细粒度访问控制。IAM 的核心是通过在策略中定义权限并将其附加到适用的主体(IAM 用户和角色)来支持基于角色的访问控制(RBAC)。此外,除了支持基于身份和资源的策略之外,IAM 还通过可选的条件策略元素和“使用了条件运算符的表达式(等于、小于,等等)”来支持基于属性的访问控制(ABAC),例如 IP 地址或时间。此外,还可以使用标签动态控制对支持基于标签授权的资源类型(相对较少的)的访问。


IAM 产品经理 Sulay Shah 在一篇介绍性文章中详细地说明了 AWS 添加的 IAM 用户和角色标签功能,通过启用委托标记权限和执行标记 schema 来简化 IAM 实体的​​管理。在随后的文章中,Shah 接着说明了如何通过两个新的条件上下文键来启用“基于属性的访问控制(ABAC)来大规模简化权限管理”:


  • aws:PrincipalTag/——这个全局条件键将检查附加到发出请求的主体(用户或角色)的标记是否与指定的键名和值匹配。

  • iam:ResourceTag/——这个IAM条件键将检查附加到请求中的目标标识资源(用户或角色)的标记是否与指定的键名和值匹配。新功能的一个主要使用场景是根据属性动态地授予 IAM 主体对 AWS 资源的访问权限。现在可以通过在一个条件中匹配 AWS 资源标签来实现——在以下的示例中,可以为每个团队的当前和未来实例和成员操作 EC2 实例,并且可以通过调整“team”标签值将实例和成员移动到另一个团队:


{  "Version": "2012-10-17",  "Statement": [    {      "Effect": "Allow",      "Action": [        "ec2:RebootInstances",        "ec2:StartInstances",        "ec2:StopInstances"      ],      "Resource": "*",      "Condition": {        "StringEquals": {          "ec2:ResourceTag/team": "${aws:PrincipalTag/team}"        }      }    }  ]}
复制代码


另一个重要的使用场景是允许 IAM 主体基于属性动态地假设 IAM 角色。虽然通过 AWS Organizations 进行多账户使用和基于策略的集中式账户管理变得越来越普遍(之前的报道),但到目前为止,安全地管理底层跨账户 IAM 角色仍然是一个繁琐的过程。在添加新角色时,需要重复“AssumeRole”语句,并且 IAM 主体需要被授予访问权限,使用特定角色的 ARN 作为目标“Resource”。现在可以使用通配符“*”来表示所有的角色,这有利于在条件中对匹配的 IAM 资源标记进行细粒度访问控制——下面的示例表示只有当角色的“audit”标签值为“true”时才允许主体为每个角色假设一个安全审计:


{  "Version": "2012-10-17",  "Statement": [    {      "Action": "sts:AssumeRole",      "Effect": "Allow",      "Resource": "*",      "Condition": {        "Bool": {          "iam:ResourceTag/audit": "true"        }      }    }  ]}
复制代码


微软的 Azure 资源管理器和谷歌的 Cloud IAM 主要支持 RBAC,尽管 Cloud IAM 在一个私有测试版中(之前的报道)提供了条件。Kubernetes 是一个例外,它支持 ABAC 和 RBAC 授权模块。不过,一篇介绍 Kubernetes 对 RBAC 的支持的文章承认了 ABAC 功能强大,但“在 Kubernetes 中的实现却难以管理和理解”,并建议将 RBAC 作为首选方法。


AWS 在最近的相关新闻中表示,他们已经提供了用来查看服务上次访问的数据的 API,以便让用户自动执行权限分析,而这个操作在之前需要通过 AWS 管理控制台进行手动检查。仍然需要专用 IAM 用户而不是使用基于 IAM 角色和临时安全凭证的身份联合的场景也将从通过“我的安全凭证”页面进行凭证自我管理的可用性改进中受益。


IAM 文档中包含了用户指南,包括 IAM 工作原理、策略评估逻辑以及 AWS 服务支持的 IAM 功能的专门章节,还包括有关 IAM 最佳实践和 AWS 标记策略的指导。用户可以通过身份和访问管理论坛寻求支持。IAM 是一项帐户级 AWS 功能,无需额外费用。


查看英文原文:https://www.infoq.com/news/2019/02/iam-tags-attribute-based-access


2019-02-13 16:043715
用户头像

发布了 731 篇内容, 共 431.7 次阅读, 收获喜欢 1996 次。

关注

评论

发布
暂无评论
发现更多内容

“链游版羊了个羊”Matching Game即将登陆Gate

股市老人

基于鸿蒙系统的commonEvent和限制与约束原子化服务代码简析

恒山其若陋兮

前端 11月月更

感恩每一位 RockStar!

StarRocks

数据库

China SAFe Day 2022中国规模化敏捷大会圆满落幕!

Scrum中文网

敏捷 safe 规模化敏捷 SAFeDay

Timers和进程在Client里的性能表现实战心得【Node.js】

恒山其若陋兮

前端 11月月更

华为云GaussDB(for Influx):让智能电网时序数据处理更高效

路过的憨憨

华为

Linux 文件基本属性

攻城狮Wayne

chmod 11月月更 Linux文件属主 charp chown

支持向量机-非线性SVM与核函数

烧灯续昼2002

Python 机器学习 算法 sklearn 11月月更

成为数字游民,他们为何「All in Web3」?

One Block Community

程序员 web3 数字游民

一文了解 Go 的复合数据类型(数组、切片 Slice、Map)

陈明勇

Go golang go基础 11月月更

性能测试知识科普(六):三大模型

老张

性能测试 数据模型 业务模型 流量模型

Springboot超详细入门

陈老老老板

spring-boot 11月月更

SpringBoot整合EasyExcel超详细教学

陈老老老板

spring-boot 11月月更

软件架构的定义与分类

穿过生命散发芬芳

架构 11月月更

2022-11-24:小团在地图上放了3个定位装置,想依赖他们进行定位! 地图是一个n*n的棋盘, 有3个定位装置(x1,y1),(x2,y2),(x3,y3),每个值均在[1,n]内。 小团在(a,

福大大架构师每日一题

golang 算法 福大大

JavaWeb项目部署到腾讯云教学

陈老老老板

腾讯云 javaWeb java; 11月月更

Web3领域首个三消小游戏Matching Game,近30交易量破800万U

BlockChain先知

“链游版羊了个羊”Matching Game即将登陆Gate

EOSdreamer111

C++--- 类型萃取 ---is_void && is_null_pointer

桑榆

C++ STL 11月月更

华为云区块链三大核心技术国际标准立项通过

科技怪授

广告业务存储神器:华为云GaussDB(for Redis)

秃头也爱科技

【Python 基础学习】-基础语法

度假的小鱼

11月月更 Python基础语法

【Python 基础学习】-运算符

度假的小鱼

11月月更 Python运算符 Python运算符优先级

Node.js在Buffers对象在数据报的表现交互在Modules的实战心得

恒山其若陋兮

前端 11月月更

如何使用Git进行代码托管

我是一个茶壶

git 代码托管 11月月更

kitti数据集在3D目标检测中的入门(二)可视化详解

Studying_swz

人工智能 11月月更

【Python 基础学习】-变量和常量、输入输出

度假的小鱼

11月月更 Python变量常量 Python变量

支持向量机-探索核函数在不同数据集上的表现

烧灯续昼2002

Python 机器学习 算法 sklearn 11月月更

【web 开发基础】PHP 中的可变参数个数的函数 (34)

迷彩

函数 web开发基础 11月月更 可变个数参数的函数

Mysql基础超详细讲解

陈老老老板

MySQL 数据库 11月月更

聊聊Mybatis的类型转换注册类TypeHandlerRegistry

急需上岸的小谢

11月月更

AWS身份和访问管理模块新增标签和基于属性的访问控制能力_服务革新_Steffen Opel_InfoQ精选文章