Mengontrol akses dengan AWS Identity and Access Management

Dengan AWS Identity and Access Management (IAM), Anda dapat membuat pengguna IAM untuk mengontrol siapa yang memiliki akses ke sumber daya mana di Anda. Akun AWS Anda dapat menggunakan IAM AWS CloudFormation untuk mengontrol apa yang dapat dilakukan pengguna AWS CloudFormation, seperti apakah mereka dapat melihat templat tumpukan, membuat tumpukan, atau menghapus tumpukan.

Selain AWS CloudFormation tindakan, Anda dapat mengelola AWS layanan dan sumber daya apa yang tersedia untuk setiap pengguna. Dengan begitu, Anda dapat mengontrol sumber daya mana yang dapat diakses pengguna saat mereka menggunakannya AWS CloudFormation. Misalnya, Anda dapat menentukan pengguna mana yang dapat membuat instans Amazon EC2, menghentikan instance database, atau memperbarui VPC. Izin yang sama diterapkan kapan saja mereka gunakan AWS CloudFormation untuk melakukan tindakan tersebut.

Untuk informasi selengkapnya tentang semua layanan yang dapat Anda kontrol aksesnya, lihat AWS layanan yang mendukung IAM di Panduan Pengguna IAM.

AWS CloudFormation tindakan

Saat membuat grup atau pengguna di grup Akun AWS, Anda dapat mengaitkan kebijakan IAM dengan grup atau pengguna tersebut, yang menentukan izin yang ingin Anda berikan. Misalnya, bayangkan Anda memiliki sekelompok developer pemula. Anda dapat membuat grup Junior application developers yang berisi semua developer pemula. Kemudian, Anda mengaitkan kebijakan dengan grup yang memungkinkan pengguna hanya melihat AWS CloudFormation tumpukan. Dalam skenario ini, Anda mungkin memiliki kebijakan seperti contoh berikut:

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Allow",
        "Action":[
            "cloudformation:DescribeStacks",
            "cloudformation:DescribeStackEvents",
            "cloudformation:DescribeStackResource",
            "cloudformation:DescribeStackResources"
        ],
        "Resource":"*"
    }]
}

Kebijakan ini memberikan izin untuk semua tindakan API DescribeStack yang tercantum dalam elemen Action.

Selain AWS CloudFormation tindakan, pengguna yang membuat atau menghapus tumpukan memerlukan izin tambahan yang bergantung pada templat tumpukan. Misalnya, jika Anda memiliki template yang menjelaskan Antrian Amazon SQS, pengguna harus memiliki izin yang sesuai untuk tindakan Amazon SQS agar berhasil membuat tumpukan, seperti yang ditunjukkan dalam kebijakan contoh berikut:

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Allow",
        "Action":[
            "sqs:*",
            "cloudformation:CreateStack",
            "cloudformation:DescribeStacks",
            "cloudformation:DescribeStackEvents",
            "cloudformation:DescribeStackResources",
            "cloudformation:GetTemplate",
            "cloudformation:ValidateTemplate"  
        ],
        "Resource":"*"
    }]
}

Untuk daftar semua AWS CloudFormation tindakan yang dapat Anda izinkan atau tolak, lihat Referensi AWS CloudFormation API.

AWS CloudFormation tindakan khusus konsol

Pengguna yang menggunakan AWS CloudFormation konsol memerlukan izin tambahan yang tidak diperlukan untuk menggunakan AWS Command Line Interface atau AWS CloudFormation API. Dibandingkan dengan API AWS CLI dan, konsol menyediakan fitur tambahan yang memerlukan izin tambahan, seperti unggahan templat ke bucket Amazon S3 dan daftar drop-down untuk tipe parameter spesifik.AWS

Untuk semua tindakan berikut, berikan izin ke semua sumber daya; jangan batasi tindakan pada tumpukan atau bucket tertentu.

Tindakan wajib berikut hanya digunakan oleh AWS CloudFormation konsol dan tidak didokumentasikan dalam referensi API. Tindakan ini memungkinkan pengguna untuk mengunggah template ke bucket Amazon S3.

cloudformation:CreateUploadBucket

Saat pengguna mengunggah templat, mereka memerlukan izin Amazon S3 berikut:

s3:PutObject
s3:ListBucket
s3:GetObject
s3:CreateBucket

Untuk templat dengan Jenis parameter khusus AWS, pengguna memerlukan izin untuk membuat panggilan API deskripsi yang sesuai. Sebagai contoh, jika templat mencakup jenis parameter AWS::EC2::KeyPair::KeyName, pengguna perlu izin untuk memanggil tindakan DescribeKeyPairs EC2 (inilah cara konsol mendapatkan nilai untuk daftar menurun parameter). Contoh berikut adalah tindakan yang diperlukan pengguna untuk jenis parameter lainnya:

ec2:DescribeSecurityGroups (for the AWS::EC2::SecurityGroup::Id parameter type)
ec2:DescribeSubnets (for the Subnet::Id parameter type)
ec2:DescribeVpcs (for the AWS::EC2::VPC::Id parameter type)

AWS CloudFormation sumber daya

AWS CloudFormation mendukung izin tingkat sumber daya, sehingga Anda dapat menentukan tindakan untuk tumpukan tertentu, seperti yang ditunjukkan dalam kebijakan berikut:

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Deny",
        "Action":[
            "cloudformation:DeleteStack",
            "cloudformation:UpdateStack"
        ],
        "Resource":"arn:aws:cloudformation:us-east-1:123456789012:stack/MyProductionStack/*"
    }]
}

Kebijakan di atas menggunakan wild card di akhir nama tumpukan sehingga hapus tumpukan dan perbarui tumpukan ditolak pada ID tumpukan penuh (seperti arn:aws:cloudformation:us-east-1:123456789012:stack/MyProductionStack/abc9dbf0-43c2-11e3-a6e8-50fa526be49c) dan pada nama tumpukan (seperti MyProductionStack).

Untuk memungkinkan AWS::Serverless berubah untuk membuat set perubahan, kebijakan harus menyertakan izin tingkat sumber daya arn:aws:cloudformation:<region>:aws:transform/Serverless-2016-10-31, seperti yang ditunjukkan dalam kebijakan berikut:

 {
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "cloudformation:CreateChangeSet"
        ],
        "Resource": "arn:aws:cloudformation:us-west-2:aws:transform/Serverless-2016-10-31"
    }]
}

Contoh kebijakan yang memberikan izin set tumpukan yang dikelola layanan

Berikut ini adalah contoh kebijakan IAM yang memberikan izin set tumpukan yang dikelola layanan ke entitas utama (pengguna, peran, atau grup). Pengguna dengan kebijakan ini hanya dapat menjalankan operasi pada kumpulan tumpukan dengan templat yang berisi tipe sumber daya Amazon S3 (AWS::S3::*) atau jenis AWS::SES::ConfigurationSet sumber daya. Jika masuk ke akun manajemen organisasi dengan ID123456789012, pengguna juga hanya dapat melakukan operasi pada kumpulan tumpukan yang menargetkan OU dengan ID ou-1sfsrsdsfrewr, dan hanya dapat melakukan operasi pada kumpulan tumpukan dengan ID yang menargetkan ID with 987654321012. stack-set-id Akun AWS

Operasi set tumpukan gagal jika templat kumpulan tumpukan berisi tipe sumber daya selain yang ditentukan dalam kebijakan, atau jika target penerapan adalah OU atau ID akun selain yang ditentukan dalam kebijakan untuk akun manajemen dan kumpulan tumpukan terkait.

Pembatasan kebijakan ini hanya berlaku ketika operasi set tumpukan menargetkanus-east-1,us-west-2, atau eu-west-2 Wilayah AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stackset/*",
                "arn:aws:cloudformation:*:*:type/resource/AWS-S3-*",
                "arn:aws:cloudformation:us-west-2::type/resource/AWS-SES-ConfigurationSet",
                "arn:aws:cloudformation:*:123456789012:stackset-target/*/ou-1fsfsrsdsfrewr",
                "arn:aws:cloudformation:*:123456789012:stackset-target/stack-set-id/987654321012"
            ],
            "Condition": {
                "ForAllValues:StringEqualsIgnoreCase": {
                    "cloudformation:TargetRegion": [
                        "us-east-1",
                        "us-west-2",
                        "eu-west-1"
                    ]
                }
            }
        }
    ]
}

AWS CloudFormation kondisi

Dalam kebijakan IAM, Anda dapat secara opsional menentukan kondisi yang mengontrol kapan kebijakan diberlakukan. Misalnya, Anda dapat menentukan kebijakan yang mengizinkan pengguna membuat tumpukan hanya saat mereka menentukan URL templat tertentu. Anda dapat menentukan kondisi AWS CloudFormation-spesifik dan kondisi AWS-wide, sepertiDateLessThan, yang menentukan kapan kebijakan berhenti berlaku. Untuk informasi selengkapnya dan daftar kondisi AWS-wide, lihat Kondisi dalam referensi elemen kebijakan IAM di Panduan Pengguna IAM.

Daftar berikut menjelaskan kondisi AWS CloudFormation-spesifik. Syarat ini diterapkan hanya ketika pengguna membuat atau memperbarui tumpukan:

Contoh

Contoh kebijakan berikut mengizinkan pengguna untuk hanya menggunakan URL templat https://s3.amazonaws.com/testbucket/test.template untuk membuat atau memperbarui tumpukan.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack", "cloudformation:UpdateStack" ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "cloudformation:TemplateUrl" : [ "https://s3.amazonaws.com/testbucket/test.template" ]
        }
      }
    }
  ]
}

Contoh kebijakan berikut memungkinkan pengguna untuk menyelesaikan semua AWS CloudFormation operasi kecuali operasi impor.

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "AllowAllStackOperations",
      "Effect": "Allow", 
      "Action": "cloudformation:*", 
      "Resource": "*" 
    }, 
    { 
      "Sid": "DenyImport", 
      "Effect": "Deny", 
      "Action": "cloudformation:*", 
      "Resource": "*",
      "Condition": { 
        "ForAnyValue:StringLike": {
          "cloudformation:ImportResourceTypes": [ 
            "*" 
          ] 
        } 
      } 
    } 
  ] 
}

Contoh kebijakan berikut memungkinkan semua operasi tumpukan, selain operasi impor hanya pada sumber daya tertentu (dalam contoh ini,AWS::S3::Bucket.

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "AllowImport",
      "Effect": "Allow", 
      "Action": "cloudformation:*", 
      "Resource": "*" 
      "Condition": { 
        "ForAllValues:StringEqualsIgnoreCase": {
          "cloudformation:ImportResourceTypes": [ 
            "AWS::S3::Bucket" 
          ] 
        } 
      } 
    } 
  ] 
}

Contoh kebijakan berikut memungkinkan pengguna untuk membuat tumpukan tetapi menolak permintaan jika template stack menyertakan sumber daya apa pun dari layanan IAM. Kebijakan ini juga mengharuskan pengguna untuk menentukan ResourceTypes parameter, yang hanya tersedia untuk AWS CLI dan permintaan API. Kebijakan ini menggunakan pernyataan penolakan eksplisit sehingga jika ada kebijakan lain yang memberikan izin tambahan, kebijakan ini selalu tetap berlaku (pernyataan penolakan eksplisit selalu mengesampingkan pernyataan izin eksplisit).

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*"
    },
    {
      "Effect" : "Deny",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "ForAnyValue:StringLikeIfExists" : {
          "cloudformation:ResourceTypes" : [ "AWS::IAM::*" ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "cloudformation:ResourceTypes": "true"
        }
      }
    }
  ]
}

Contoh kebijakan berikut ini mirip dengan contoh sebelumnya. Kebijakan ini memungkinkan pengguna untuk membuat tumpukan kecuali template stack menyertakan sumber daya apa pun dari layanan IAM. Hal ini juga mengharuskan pengguna untuk menentukan ResourceTypes parameter, yang hanya tersedia untuk AWS CLI dan permintaan API. Kebijakan ini lebih sederhana, tetapi tidak menggunakan pernyataan penolakan eksplisit. Kebijakan lain, yang memberikan izin tambahan, dapat menimpa kebijakan ini.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "ForAllValues:StringNotLikeIfExists" : {
          "cloudformation:ResourceTypes" : [ "AWS::IAM::*" ]
        },
        "Null":{
          "cloudformation:ResourceTypes": "false"
        }
      }
    }
  ]
}

Mengakui sumber daya IAM dalam templat AWS CloudFormation

Sebelum Anda dapat membuat tumpukan, AWS CloudFormation memvalidasi template Anda. Selama validasi, AWS CloudFormation periksa template Anda untuk sumber daya IAM yang mungkin dibuatnya. Sumber daya IAM, seperti pengguna dengan akses penuh, dapat mengakses dan memodifikasi sumber daya apa pun di sumber daya Anda Akun AWS. Oleh karena itu, kami menyarankan agar Anda meninjau izin yang terkait dengan setiap sumber daya IAM sebelum melanjutkan sehingga Anda tidak secara tidak sengaja membuat sumber daya dengan izin yang meningkat. Untuk memastikan bahwa Anda telah melakukannya, Anda harus mengakui bahwa template berisi sumber daya tersebut, memberikan kemampuan AWS CloudFormation yang ditentukan sebelum membuat tumpukan.

Anda dapat mengetahui kemampuan AWS CloudFormation template dengan menggunakan AWS CloudFormation konsol, AWS Command Line Interface (AWS CLI), atau API:

Mengelola kredensional untuk aplikasi yang berjalan di instans Amazon EC2

Jika Anda memiliki aplikasi yang berjalan pada instans Amazon EC2 dan perlu membuat permintaan ke AWS sumber daya seperti bucket Amazon S3 atau tabel DynamoDB, aplikasi memerlukan kredensi keamanan. AWS Namun, mendistribusikan dan menyematkan kredensial keamanan jangka panjang di setiap instans yang Anda luncurkan merupakan tantangan dan potensi risiko keamanan. Alih-alih menggunakan kredensil jangka panjang, seperti kredensil pengguna IAM, sebaiknya Anda membuat peran IAM yang terkait dengan instans Amazon EC2 saat instans diluncurkan. Aplikasi kemudian bisa mendapatkan kredensil keamanan sementara dari instans Amazon EC2. Anda tidak perlu menyematkan kredensial jangka panjang pada instans. Selain itu, untuk mempermudah pengelolaan kredensional, Anda dapat menentukan hanya satu peran untuk beberapa instans Amazon EC2; Anda tidak perlu membuat kredensil unik untuk setiap instans.

Untuk potongan templat yang menunjukkan cara meluncurkan instans dengan peran, lihat Contoh templat IAM role.

Memberikan akses sementara (akses gabungan)

Dalam beberapa kasus, Anda mungkin ingin memberi pengguna tanpa AWS kredensi akses sementara ke Anda. Akun AWS Daripada membuat dan menghapus kredensi jangka panjang kapan pun Anda ingin memberikan akses sementara, gunakan AWS Security Token Service ().AWS STS Misalnya, Anda dapat menggunakan peran IAM. Dari satu peran IAM, Anda dapat secara terprogram membuat dan kemudian mendistribusikan banyak kredensil keamanan sementara (yang mencakup kunci akses, kunci akses rahasia, dan token keamanan). Kredensi ini memiliki masa pakai yang terbatas, sehingga tidak dapat digunakan untuk mengakses Anda Akun AWS setelah kedaluwarsa. Anda juga dapat membuat beberapa peran IAM untuk memberikan tingkat izin yang berbeda kepada pengguna individu. Peran IAM berguna untuk skenario seperti identitas federasi dan sistem masuk tunggal.

Identitas gabungan adalah identitas berbeda yang dapat Anda gunakan di berbagai sistem. Untuk pengguna perusahaan dengan sistem identitas on-premise yang sudah ditetapkan (seperti LDAP atau Direktori Aktif), Anda dapat menangani semua autentikasi dengan sistem identitas on-premise Anda. Setelah pengguna diautentikasi, Anda memberikan kredensi keamanan sementara dari pengguna atau peran IAM yang sesuai. Misalnya, Anda dapat membuat peran dan administrators developers peran, di mana administrator memiliki akses penuh ke AWS akun dan pengembang memiliki izin untuk bekerja hanya dengan AWS CloudFormation tumpukan. Setelah administrator diautentikasi, administrator berwenang untuk mendapatkan kredensial keamanan sementara dari peran administrators tersebut. Namun, untuk developer, mereka dapat memperoleh kredensial keamanan sementara hanya dari peran developers tersebut.

Anda juga dapat memberikan akses kepada pengguna federasi ke file. AWS Management Console Setelah pengguna mengautentikasi dengan sistem identitas on-premise, Anda dapat membuat URL sementara secara terprogram yang memberikan akses langsung ke AWS Management Console. Saat pengguna menggunakan URL sementara, mereka tidak perlu masuk AWS karena telah diautentikasi (single sign-on). Selain itu, karena URL dibuat dari kredensial keamanan sementara pengguna, izin yang tersedia dengan kredensial tersebut menentukan izin apa yang dimiliki pengguna di AWS Management Console.

Anda dapat menggunakan beberapa AWS STS API berbeda untuk menghasilkan kredensil keamanan sementara. Untuk informasi selengkapnya tentang API mana yang akan digunakan, lihat Cara mendapatkan kredensil keamanan sementara di Menggunakan Kredensial Keamanan Sementara.

AWS CloudFormation berinteraksi dengan banyak AWS layanan lainnya. Saat Anda menggunakan kredensil keamanan sementara AWS CloudFormation, verifikasi bahwa semua layanan yang ingin Anda gunakan mendukung kredensil keamanan sementara. Untuk informasi selengkapnya, lihat AWS layanan yang mendukung AWS STS.

Untuk informasi selengkapnya, lihat sumber daya terkait berikut di Menggunakan Kredensial Keamanan Sementara: