Sicherer API Zugriff mit MFA

Der Administrator konfiguriert ein AWS MFA Gerät für jeden Benutzer, der API Anfragen stellen muss, für die eine MFA Authentifizierung erforderlich ist. Weitere Informationen finden Sie unter AWS Multi-Faktor-Authentifizierung in IAM.

Der Administrator erstellt Richtlinien für die Benutzer, die ein Condition Element enthalten, das überprüft, ob sich der Benutzer mit einem AWS MFA Gerät authentifiziert hat.

Der Benutzer ruft eine der AWS STS API Operationen auf, die die MFA Parameter unterstützen: AssumeRoleoder GetSessionToken. Als Teil des Aufrufs schließt der Benutzer die mit dem Benutzer verknüpfte Gerät-ID für das Gerät ein. Der Benutzer gibt auch das zeitbasierte Einmalkennwort (TOTP) an, das das Gerät generiert. In beiden Fällen erhält der Benutzer temporäre Sicherheitsanmeldeinformationen zurück, die der Benutzer für zusätzliche Anfragen an AWS benutzen kann.

Im vertrauenswürdigen Konto A erstellt Anaya eine IAM Rolle mit dem Namen CrossAccountRole und legt den Prinzipal in der Vertrauensrichtlinie der Rolle auf die Konto-ID von Konto B fest. Die Vertrauensrichtlinie erteilt die Genehmigung für die Aktion. AWS STS AssumeRole Anaya fügt der Vertrauensrichtlinie außerdem eine MFA Bedingung hinzu, wie im folgenden Beispiel.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS": "ACCOUNT-B-ID"},
    "Action": "sts:AssumeRole",
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }
}

Anaya fügt der Rolle eine Berechtigungsrichtlinie hinzu, die die Ausführungsberechtigungen enthält. Die Berechtigungsrichtlinie für eine geschützte Rolle unterscheidet sich nicht von anderen Rollenberechtigungsrichtlinien. MFA Das folgende Beispiel zeigt die Richtlinie, die Anaya zur Rolle hinzufügt. Sie gestattet einem Benutzer, der diese Richtlinie übernimmt, beliebige Amazon-DynamoDB-Aktionen in der Tabelle Books in Konto A durchzuführen. Diese Richtlinie gestattet auch die dynamodb:ListTables-Aktion, die zum Ausführen der Aktionen in der Konsole erforderlich ist.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TableActions",
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:*:ACCOUNT-A-ID:table/Books"
        },
        {
            "Sid": "ListTables",
            "Effect": "Allow",
            "Action": "dynamodb:ListTables",
            "Resource": "*"
        }
    ]
}

Im vertrauenswürdigen Konto B stellt der Administrator sicher, dass der IAM Benutzer Richard mit einem AWS MFA Gerät konfiguriert ist und dass er die ID des Geräts kennt. Die Geräte-ID ist die Seriennummer, wenn es sich um ein Hardwaregerät MFA handelt, oder die des Geräts, ARN wenn es sich um ein virtuelles MFA Gerät handelt.

In Konto B fügt der Administrator die folgenden Richtlinien dem Benutzer Richard an (oder einer Gruppe, deren Mitglied Bob ist), die ihm das Aufrufen der Aktion AssumeRole gestatten. Die Ressource ist auf die ARN Rolle festgelegt, die Anaya in Schritt 1 erstellt hat. Beachten Sie, dass diese Richtlinie keine MFA Bedingung enthält.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sts:AssumeRole"],
    "Resource": ["arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole"]
  }]
}

Richard (oder eine von Richard ausgeführte Anwendung) ruft im Konto B AssumeRole auf. Der API Aufruf beinhaltet die ARN Rolle, die übernommen werden soll (arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole), die ID des MFA Geräts und den StromTOTP, den Richard von seinem Gerät erhält.

Wenn Richard anruftAssumeRole, AWS stellt er fest, ob er über gültige Anmeldeinformationen verfügt, einschließlich der Anforderungen fürMFA. Wenn dies der Fall ist, übernimmt Richard die Rolle und kann beliebige DynamoDB-Aktionen in der Tabelle mit dem Namen Books im Konto A ausführen, sofern er die temporären Anmeldeinformationen der Rolle verwendet.

Ein Beispiel für ein Programm, das AssumeRole aufruft, finden Sie unter Anruf AssumeRole mit Authentifizierung MFA.

Anaya stellt sicher, dass Sofía mit einem AWS MFA Gerät konfiguriert ist und dass Sofía die ID des Geräts kennt. Die Geräte-ID ist die Seriennummer, wenn es sich um ein Hardwaregerät handelt, oder die des MFA Geräts, ARN wenn es sich um ein virtuelles Gerät handelt. MFA

Anaya erstellt eine Gruppe mit dem Namen EC2-Admins und fügt Sofía dieser Gruppe hinzu.

Anaya fügt die folgende Richtlinie an die Gruppe EC2-Admins an. Diese Richtlinie gewährt Benutzern nur dann die Erlaubnis, Amazon EC2 StopInstances und TerminateInstances Aktionen anzurufen, wenn sich der Benutzer über MFA authentifiziert hat.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "ec2:StopInstances",
      "ec2:TerminateInstances"
    ],
    "Resource": ["*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Wenn die Benutzerin Sofía eine EC2 Amazon-Instance beenden oder beenden muss, ruft GetSessionToken sie (oder eine Anwendung, die sie gerade ausführt) auf. Bei diesem API Vorgang werden die ID des MFA Geräts und der StromTOTP, den Sofía von ihrem Gerät erhält, weitergegeben.

Der Benutzer Sofía (oder eine Anwendung, die Sofía verwendet) verwendet die von bereitgestellten temporären AnmeldeinformationenGetSessionToken, um Amazon EC2 StopInstances oder TerminateInstances Action aufzurufen.

Ein Beispiel für ein Programm, das GetSessionToken aufruft, finden Sie unter Anrufe GetSessionToken mit MFA Authentifizierung weiter unten in diesem Dokument.

Anaya erstellt im Konto A einen Bucket mit dem Namen Account-A-bucket.

Anaya fügt die Bucket-Richtlinie dem Bucket hinzu. Die Richtlinie gestattet jedem Benutzer in Konto A, Konto B und Konto C, die Amazon S3-Aktionen PutObject und DeleteObject im S3-Bucket auszuführen. Die Richtlinie beinhaltet eine Bedingung. MFA

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"AWS": [
      "ACCOUNT-A-ID",
      "ACCOUNT-B-ID",
      "ACCOUNT-C-ID"
    ]},
    "Action": [
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

In Konto C stellt ein Administrator sicher, dass der Benutzer Nikhil mit einem AWS MFA Gerät konfiguriert ist und dass er die ID des Geräts kennt. Die Geräte-ID ist die Seriennummer, wenn es sich um ein MFA Hardwaregerät handelt, oder die des Geräts, ARN wenn es sich um ein virtuelles MFA Gerät handelt.

Nikhil (oder eine von Nikhil ausgeführte Anwendung) ruft im Konto C GetSessionToken auf. Der Anruf beinhaltet die ID oder ARN des MFA Geräts und den StromTOTP, den Nikhil von seinem Gerät erhält.

Nikhil (oder eine von Nikhil verwendete Anwendung) benutzt die von GetSessionToken bereitgestellten Anmeldeinformationen, um die Amazon S3–PutObjectAktion zum Hochladen einer Datei nach Account-A-bucket aufzurufen.

Ein Beispiel für ein Programm, das GetSessionToken aufruft, finden Sie unter Anrufe GetSessionToken mit MFA Authentifizierung weiter unten in diesem Dokument.