Controle el acceso a los servicios de Lattice mediante políticas de autenticación VPC

VPCLas políticas de autenticación de Lattice son documentos de IAM política que se adjuntan a las redes o servicios de servicio para controlar si un responsable específico tiene acceso a un grupo de servicios o a un servicio específico. Puede adjuntar una política de autenticación a cada red de servicio o servicio cuyo acceso quiera controlar.

Las políticas de autenticación son diferentes de las políticas basadas en la IAM identidad. IAMLas políticas basadas en la identidad se asocian a IAM los usuarios, grupos o roles y definen qué acciones pueden realizar esas identidades en qué recursos. Las políticas de autenticación están asociadas a los servicios y a las redes de servicios. Para que la autorización funcione, tanto las políticas de autenticación como las políticas basadas en identidades deben incluir instrucciones de autorización explícitas. Para obtener más información, consulte Cómo funciona la autorización.

Puede utilizar el AWS CLI y una consola para ver, añadir, actualizar o eliminar las políticas de autenticación en los servicios y las redes de servicios. Al utilizar la AWS CLI, recuerde que sus comandos se ejecutan en Región de AWS configurado para su perfil. Si desea ejecutar los comandos en otra región, cambie la región predeterminada de su perfil o utilice el parámetro --region con el comando.

Para empezar a utilizar las políticas de autenticación, siga el procedimiento para crear una política de autenticación que se aplique a una red de servicios. Para obtener permisos más restrictivos que no quieran que se apliquen a otros servicios, puede optar por establecer políticas de autenticación en servicios individuales.

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

Si habilita políticas de autenticación que requieren solicitudes autenticadas para un servicio, todas las solicitudes para ese servicio deben contener una firma de solicitud válida que se calcule con Signature Version 4 (SigV4). Para obtener más información, consulte SIGv4solicitudes autenticadas para Amazon Lattice VPC.

Elementos comunes de una política de autenticación

VPCLas políticas de autenticación de Lattice se especifican con la misma IAM sintaxis que las políticas. Para obtener más información, consulte las políticas basadas en la identidad y las políticas basadas en recursos en la Guía del usuario. IAM

Una política de autenticación contiene los siguientes elementos:

Al crear y administrar políticas de autenticación, es posible que desee utilizar el generador de IAMpolíticas.

Requisito

La política no JSON debe contener líneas nuevas o líneas en blanco.

Formato de recurso para políticas de autenticación

Puede restringir el acceso a recursos específicos al crear una política de autenticación que utilice un esquema coincidente con un patrón <serviceARN>/<path> y codificar el elemento Resource, como se muestra en los siguientes ejemplos.

Utilice el siguiente formato de recurso Amazon Resource Name (ARN) para<serviceARN>:

arn:aws:vpc-lattice:region:account-id:service/service-id

Por ejemplo:

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

Claves de condición que se pueden utilizar en políticas de autenticación

El acceso puede controlarse aún más mediante las claves de condición en el elemento Condición de las políticas de autenticación. Estas claves de condición están presentes para su evaluación en función del protocolo y de si la solicitud está firmada con Signature Version 4 (SigV4) o es anónima. Las claves de condición distinguen entre mayúsculas y minúsculas.

AWS proporciona claves de condición globales que puede utilizar para controlar el acceso, como aws:PrincipalOrgID yaws:SourceIp. Para ver una lista de AWS claves de condición globales, consulte AWS claves de contexto de condiciones globales en la Guía IAM del usuario.

En la siguiente tabla se enumeran las claves de condición de VPC Lattice. Para obtener más información, consulte las claves de condición de Amazon VPC Lattice Services en la Referencia de autorización de servicio.

Entidades principales anónimas (no autenticadas)

Los directores anónimos son personas que llaman y no firman sus AWS solicitudes con la versión 4 de Signature (SigV4) y se encuentran dentro de una red VPC que está conectada a la red de servicio. Las entidades principales anónimas pueden realizar solicitudes no autenticadas a los servicios de la red de servicios si una política de autenticación así lo permite.

Ejemplo de políticas de autenticación

Los siguientes son ejemplos de políticas de autenticación que requieren que las solicitudes las realicen las entidades principales autenticadas.

Todos los ejemplos utilizan la us-west-2 región y contienen una cuenta ficticia. IDs

Ejemplo 1: Restringir el acceso a los servicios a una persona específica AWS organización

El siguiente ejemplo de política de autenticación concede permisos a cualquier solicitud autenticada para acceder a cualquier servicio de la red de servicios a la que se aplique la política. Sin embargo, la solicitud debe provenir de los directores que pertenezcan a AWS organización especificada en la condición.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "aws:PrincipalOrgID": [ 
                  "o-123456example"
               ]
            }
         }
      }
   ]
}

Ejemplo 2: restringir el acceso a un servicio a un IAM rol específico

El siguiente ejemplo de política de autenticación concede permisos a cualquier solicitud autenticada que utilice el IAM rol rates-client para realizar HTTP GET solicitudes en el servicio especificado en el Resource elemento. El recurso del elemento Resource es el mismo que el servicio al que está asociada la política.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": [
               "arn:aws:iam::123456789012:role/rates-client"
            ]
         },
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": [
            "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*"
         ],
         "Condition": {
            "StringEquals": {
               "vpc-lattice-svcs:RequestMethod": "GET"
            }
         }
      }
   ]
}

Ejemplo 3: Restringir el acceso a los servicios por parte de los directores autenticados en un entorno específico VPC

El siguiente ejemplo de política de autenticación solo permite las solicitudes autenticadas de los principales cuyo identificador sea. VPC VPC vpc-1a2b3c4d

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringNotEquals": {
               "aws:PrincipalType": "Anonymous"
            },
            "StringEquals": {
               "vpc-lattice-svcs:SourceVpc": "vpc-1a2b3c4d"
            }
         }
      }
   ]
}

Cómo funciona la autorización

Cuando un servicio de VPC Lattice recibe una solicitud, el AWS el código de cumplimiento evalúa todas las políticas de permisos relevantes en conjunto para determinar si se debe autorizar o denegar la solicitud. Evalúa todas las políticas IAM basadas en la identidad y las políticas de autenticación que se aplican en el contexto de la solicitud durante la autorización. De forma predeterminada, todas las solicitudes se deniegan de manera implícita si el tipo de autenticación es AWS_IAM. Un permiso explícito de todas las políticas relevantes anula el valor predeterminado.

La autorización incluye:

En el diagrama se muestra el flujo de trabajo de la autorización. Cuando se realiza una solicitud, las políticas relevantes permiten o deniegan el acceso de la solicitud a un servicio determinado.