IAM-Tutorial: Definieren von Berechtigungen für den Zugriff auf AWS-Ressourcen basierend auf Tags

1. Erstellen Sie die folgende vom Kunden verwaltete Richtlinie namens access-assume-role. Weitere Informationen zum Erstellen einer JSON-Richtlinie finden Sie unter Erstellen von IAM-Richtlinien.

   ABAC-Richtlinie: Übernehmen einer beliebigen ABAC-Rolle, aber nur, wenn die Benutzer- und Rollen-Tags übereinstimmen

   Mit der folgenden Richtlinie kann ein Benutzer eine beliebige Rolle in Ihrem Konto mit dem access--Namenspräfix übernehmen. Die Rolle muss mit denselben Projekt-, Team- und Kostenstellen-Tags wie der Benutzer markiert sein.

   Um diese Richtlinie zu verwenden, ersetzen Sie den kursiv gedruckten Platzhaltertext durch Ihre eigenen Kontoinformationen.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeRole",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::account-ID-without-hyphens:role/access-*",
               "Condition": {
                   "StringEquals": {
                       "iam:ResourceTag/access-project": "${aws:PrincipalTag/access-project}",
                       "iam:ResourceTag/access-team": "${aws:PrincipalTag/access-team}",
                       "iam:ResourceTag/cost-center": "${aws:PrincipalTag/cost-center}"
                   }
               }
           }
       ]
   }

   Damit sich dieses Tutorial für eine große Anzahl von Benutzern eignet, können Sie die Richtlinie einer Gruppe anfügen und alle Benutzer zur Gruppe hinzufügen. Weitere Informationen erhalten Sie unter Erstellen von IAM-Gruppen und Bearbeiten von Benutzern in IAM-Gruppen.

2. Erstellen Sie die folgenden IAM-Benutzer und fügen Sie die access-assume-role-Berechtigungsrichtlinie an. Stellen Sie sicher, dass Sie Benutzerzugriff auf AWS Management Console bereitstellen auswählen, und fügen Sie dann die folgenden Tags hinzu.

   Benutzername	Benutzer-Tag-Schlüssel	Benutzer-Tag-Wert
   access-Arnav-peg-eng	access-project access-team cost-center	peg eng 987654
   access-Mary-peg-qas	access-project access-team cost-center	peg qas 987654
   access-Saanvi-uni-eng	access-project access-team cost-center	uni eng 123456
   access-Carlos-uni-qas	access-project access-team cost-center	uni qas 123456

So testen Sie das Erstellen eines Secrets mit und ohne die erforderlichen Tags

1. Bleiben Sie im Hauptbrowserfenster als Administratorbenutzer angemeldet, sodass Sie Benutzer, Rollen und Richtlinien in IAM überprüfen können. Verwenden Sie ein Browser-Inkognito-Fenster oder einen separaten Browser für Ihre Tests. Melden Sie sich dort als access-Arnav-peg-eng-IAM-Benutzer und öffnen Sie die Secrets Manager Konsole unterhttps://console.aws.amazon.com/secretsmanager/.

2. Versuchen Sie, zur access-uni-engineering-Rolle zu wechseln.

   Diese Operation schlägt fehl, da die access-project- und cost-center-Tag-Werte für den Benutzer access-Arnav-peg-eng und die Rolle access-uni-engineering nicht übereinstimmen.

   Weitere Informationen zum Wechseln von Rollen in der AWS Management Console finden Sie unter Von einem Benutzer zu einer IAM Rolle wechseln (Konsole).

3. Wechseln Sie zur access-peg-engineering-Rolle.

4. Speichern Sie ein neues Secret mit den folgenden Informationen. Weitere Informationen zum Speichern eines Secrets finden Sie unter Erstellen eines Basis-Secrets im AWS Secrets Manager-Leitfaden.

   Wichtig

   Secrets Manager zeigt Warnmeldungen an, da Sie keine Berechtigungen für zusätzliche AWS-Services haben, die mit Secrets Manager funktionieren. Um beispielsweise Anmeldeinformationen für eine Amazon RDS-Datenbank zu erstellen, benötigen Sie die Berechtigung zum Beschreiben von RDS-Instances, sowie RDS- und Amazon Redshift-Clustern. Sie können diese Warnmeldungen ignorieren, da Sie diese speziellen AWS-Services in diesem Tutorial nicht verwenden.

   1. Wählen Sie im Abschnitt Select secret type (Secret-Typ auswählen) die Option Other type of secrets (Andere Secret-Typen). Geben Sie in die beiden Textfelder test-access-key und test-access-secret ein.

   2. Geben Sie test-access-peg-eng in das Feld Secret name (Secret-Name) ein.

   3. Fügen Sie verschiedene Tag-Kombinationen aus der folgenden Tabelle hinzu und überprüfen Sie das erwartete Verhalten.

   4. Wählen Sie Store (Speichern) aus, um zu versuchen, das Secret zu erstellen. Kehren Sie zu den vorherigen Seiten der Secrets Manager-Konsole zurück, wenn das Speichern fehlschlägt, und verwenden Sie den nächsten Tag-Satz aus der folgenden Tabelle. Der letzte Tag-Satz ist zulässig und erstellt erfolgreich das Secret.

   Die folgende Tabelle zeigt ABAC-Tag-Kombinationen für die Rolle test-access-peg-eng.

   access-project-Tag-Wert	access-team-Tag-Wert	cost-center-Tag-Wert	Zusätzliche Tags	Erwartetes Verhalten
   (Keine)	(Keine)	(Keine)	(Keine)	Verweigert, da der access-project-Tag-Wert nicht mit dem Wert der Rolle von peg übereinstimmt.
   uni	eng	987654	(Keine)	Verweigert, da der access-project-Tag-Wert nicht mit dem Wert der Rolle von peg übereinstimmt.
   peg	qas	987654	(Keine)	Verweigert, da der access-team-Tag-Wert nicht mit dem Wert der Rolle von eng übereinstimmt.
   peg	eng	123456	(Keine)	Verweigert, da der cost-center-Tag-Wert nicht mit dem Wert der Rolle von 987654 übereinstimmt.
   peg	eng	987654	Eigentümer = Jane	Verweigert, da die Richtlinie das zusätzliche Tag owner nicht zulässt, auch wenn alle drei erforderlichen Tags vorhanden sind und ihre Werte mit den Werten der Rolle übereinstimmen.
   peg	eng	987654	Name = Jane	Zulässig, da alle drei erforderlichen Tags vorhanden sind und ihre Werte mit den Werten der Rolle übereinstimmen. Sie können auch das optionale Name-Tag mit einschließen.

5. Melden Sie sich ab und wiederholen Sie die ersten drei Schritte dieses Verfahrens für alle folgenden Rollen und Tag-Werte. Testen Sie im vierten Schritt dieses Verfahrens alle von Ihnen ausgewählten fehlenden Tags, optionalen Tags, unzulässigen Tags und ungültigen Tag-Werte. Verwenden Sie dann die erforderlichen Tags, um ein Secret mit den folgenden Tags und dem folgenden Namen zu erstellen.

   Benutzername	Rollenname	Secret-Name	Secret-Tags
   access-Mary-peg-qas	access-peg-quality-assurance	test-access-peg-qas	access-project = peg access-team = qas cost-center = 987654
   access-Saanvi-uni-eng	access-uni-engineering	test-access-uni-eng	access-project = uni access-team = eng cost-center = 123456
   access-Carlos-uni-qas	access-uni-quality-assurance	test-access-uni-qas	access-project = uni access-team = qas cost-center = 123456

So testen Sie die Anzeige eines Secrets mit und ohne die erforderlichen Tags

1. Melden Sie sich als einer der folgenden IAM-Benutzer an:

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

2. Wechseln Sie zur übereinstimmenden Rolle:

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-uni-quality-assurance

   Weitere Informationen zum Wechseln von Rollen in der AWS Management Console finden Sie unter Von einem Benutzer zu einer IAM Rolle wechseln (Konsole).

3. Klicken Sie im Navigationsbereich auf der linken Seite auf das Menüsymbol, um das Menü zu erweitern, und wählen Sie dann Secrets aus.

4. Sie sollten alle vier Secrets in der Tabelle sehen, unabhängig von Ihrer aktuellen Rolle. Das wird erwartet, da die Richtlinie namens access-same-project-team die Aktion secretsmanager:ListSecrets für alle Ressourcen zulässt.

5. Wählen Sie den Namen eines der Secrets.

6. Auf der Detailseite für das Secret bestimmen die Tags Ihrer Rolle, ob Sie den Seiteninhalt anzeigen können. Vergleichen Sie den Namen Ihrer Rolle mit dem Namen Ihres Secrets. Wenn sie denselben Teamnamen haben, stimmen die access-team-Tags überein. Wenn sie nicht übereinstimmen, wird der Zugriff verweigert.

   Die folgende Tabelle zeigt das Anzeigeverhalten von ABAC-Geheimnissen für jede Rolle.

   Rollenname	Secret-Name	Erwartetes Verhalten
   access-peg-engineering	test-access-peg-eng	Zulässig
   	test-access-peg-qas	Nicht zulässig
   	test-access-uni-eng	Zulässig
   	test-access-uni-qas	Nicht zulässig
   access-peg-quality-assurance	test-access-peg-eng	Nicht zulässig
   	test-access-peg-qas	Zulässig
   	test-access-uni-eng	Nicht zulässig
   	test-access-uni-qas	Zulässig
   access-uni-engineering	test-access-peg-eng	Zulässig
   	test-access-peg-qas	Nicht zulässig
   	test-access-uni-eng	Zulässig
   	test-access-uni-qas	Nicht zulässig
   access-uni-quality-assurance	test-access-peg-eng	Nicht zulässig
   	test-access-peg-qas	Zulässig
   	test-access-uni-eng	Nicht zulässig
   	test-access-uni-qas	Zulässig

7. Wählen Sie aus den Breadcrumbs oben auf der Seite Secrets aus, um zur Liste der Secrets zurückzukehren. Wiederholen Sie die Schritte in diesem Verfahren mit verschiedenen Rollen, um zu testen, ob Sie alle Secrets anzeigen können.

So fügen Sie das neue Projekt zu AWS hinzu

1. Melden Sie sich als IAM-Administratorbenutzer an und öffnen Sie die -Konsole unterhttps://console.aws.amazon.com/iam/.

2. Wählen Sie links im Navigationsbereich Roles (Rollen) aus und fügen Sie eine IAM-Rolle namens access-cen-engineering hinzu. Fügen Sie die access-same-project-team-Berechtigungsrichtlinie an die Rolle an und fügen Sie folgenden Rollen-Tags hinzu:

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

3. Wählen Sie im Navigationsbereich auf der linken Seite Users (Benutzer).

4. Fügen Sie einen neuen Benutzer mit dem Namen access-Nikhil-cen-eng hinzu, fügen Sie die Richtlinie namens access-assume-role an und fügen Sie die folgenden Benutzer-Tags hinzu.

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

5. Verwenden Sie die Verfahren in Schritt 4: Testen der Erstellung von Secrets und Schritt 5: Testen der Anzeige von Secrets. Vergewissern Sie sich in einem anderen Browserfenster, dass Nikhil nur Centaur-Engineering-Secrets erstellen kann und dass er alle Engineering-Secrets anzeigen kann.

6. Wählen Sie im Hauptfenster des Browsers, in dem Sie sich als Administrator angemeldet haben, den Benutzer access-Saanvi-uni-eng.

7. Entfernen Sie auf der Registerkarte Permissions (Berechtigungen) die Berechtigungsrichtlinie access-assume-role.

8. Fügen Sie die folgende Inlinerichtlinie namens access-assume-specific-roles hinzu. Weitere Informationen zum Hinzufügen einer Inlinerichtlinie zu einem Benutzer finden Sie unter So betten Sie eine eingebundene Richtlinie für einen Benutzer oder eine Rolle ein (Konsole).

   ABAC-Richtlinie: Nur bestimmte Rollen übernehmen

   Diese Richtlinie erlaubt Saanvi, die Engineering-Rollen für das Pegasus- oder Centaur-Projekt anzunehmen. Diese benutzerdefinierte Richtlinie muss erstellt werden, da IAM keine mehrwertigen Tags unterstützt. Sie können den Benutzernamen von Saanvi nicht mit access-project = peg und access-project = cen markieren. Darüber hinaus kann das AWS-Autorisierungsmodell nicht mit beiden Werten übereinstimmen. Weitere Informationen finden Sie unter Regeln für das Tagging in IAM und AWS STS. Stattdessen müssen Sie die beiden Rollen, die sie übernehmen kann, manuell angeben.

   Um diese Richtlinie zu verwenden, ersetzen Sie den kursiv gedruckten Platzhaltertext durch Ihre eigenen Kontoinformationen.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeSpecificRoles",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": [
                   "arn:aws:iam::account-ID-without-hyphens:role/access-peg-engineering",
                   "arn:aws:iam::account-ID-without-hyphens:role/access-cen-engineering"
               ]
           }
       ]
   }

9. Verwenden Sie die Verfahren in Schritt 4: Testen der Erstellung von Secrets und Schritt 5: Testen der Anzeige von Secrets. Bestätigen Sie in einem anderen Browserfenster, dass Saanvi beide Rollen übernehmen kann. Stellen Sie sicher, dass sie je nach den Tags der Rolle nur für ihr Projekt, ihr Team und ihre Kostenstelle Secrets erstellen kann. Bestätigen Sie auch, dass sie Details zu allen Secrets des Engineering-Teams anzeigen kann, einschließlich der Secrets, die sie gerade erstellt hat.

So testen Sie das Aktualisieren und Löschen eines Secrets mit und ohne die erforderlichen Tags

1. Melden Sie sich als einer der folgenden IAM-Benutzer an:

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

   • access-Nikhil-cen-eng

2. Wechseln Sie zur übereinstimmenden Rolle:

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-peg-quality-assurance

   • access-cen-engineering

   Weitere Informationen zum Wechseln von Rollen in der AWS Management Console finden Sie unter Von einem Benutzer zu einer IAM Rolle wechseln (Konsole).

3. Versuchen Sie für jede Rolle, die Secret-Beschreibung zu aktualisieren, und versuchen Sie dann, die folgenden Secrets zu löschen. Weitere Informationen finden Sie unter Ändern eines Secrets und Löschen und Wiederherstellen eines Secrets im AWS Secrets Manager-Leitfaden.

   Die folgende Tabelle zeigt das Aktualisierungs- und Löschverhalten von ABAC-Geheimnissen für jede Rolle.

   Rollenname	Secret-Name	Erwartetes Verhalten
   access-peg-engineering	test-access-peg-eng	Zulässig
   	test-access-uni-eng	Nicht zulässig
   	test-access-uni-qas	Nicht zulässig
   access-peg-quality-assurance	test-access-peg-qas	Zulässig
   	test-access-uni-eng	Nicht zulässig
   access-uni-engineering	test-access-uni-eng	Zulässig
   	test-access-uni-qas	Nicht zulässig
   access-peg-quality-assurance	test-access-uni-qas	Zulässig