Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kontrol akses ke AWS STS dengan kebijakan titik akhir VPC

Saat Anda membuat titik akhir VPC antarmuka untuk AWS Security Token Service (AWS STS), Anda dapat melampirkan kebijakan titik akhir. Kebijakan mengontrol prinsipal mana yang dapat menggunakan titik akhir dan AWS STS tindakan apa yang dapat mereka lakukan. Jika Anda tidak melampirkan kebijakan, titik akhir menggunakan kebijakan default yang memungkinkan akses tak terbatas ke semua AWS STS tindakan untuk semua prinsipal.

Kebijakan titik akhir VPC tidak memberikan izin sendiri. Mereka bertindak sebagai batas tambahan yang bekerja bersama kebijakan lainnya. Kebijakan titik akhir dan kebijakan pemanggil yang berlaku harus mengizinkan permintaan agar berhasil.

Untuk informasi selengkapnya tentang kebijakan titik akhir VPC, lihat Meng ontrol akses ke titik akhir VPC menggunakan kebijakan titik akhir di Panduan Pengguna Amazon VPC.

Kebijakan VPC endpoint default

Jika Anda tidak melampirkan kebijakan kustom saat membuat titik akhir, AWS lampirkan kebijakan default berikut. Kebijakan ini memungkinkan akses tak terbatas ke titik akhir.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Untuk membatasi akses ke titik akhir, lampirkan kebijakan titik akhir khusus.

Pertimbangan penting untuk AWS STS Kebijakan VPC endpoint

AWS STS menangani permintaan dari dua jenis penelepon yang berbeda secara fundamental. Kebijakan titik akhir VPC Anda harus memperhitungkan kedua jenis untuk menghindari pemblokiran permintaan yang sah secara tidak sengaja.

Bagaimana AWS STS mengevaluasi kebijakan titik akhir VPC untuk pemanggil federasi

Saat pemanggil federasi memanggil AssumeRoleWithSAML atau AssumeRoleWithWebIdentity melalui titik akhir VPC, berikut ini berlaku:

Sebaiknya gunakan aws:ResourceOrgID atau aws:ResourceAccount saat menulis pernyataan kebijakan titik akhir VPC yang harus berlaku untuk pemanggil federasi, karena pemanggil ini tidak memiliki kunci kondisi berbasis utama yang tersedia.

Kunci kondisi tersedia untuk AWS STS Kebijakan VPC endpoint

Tabel berikut menunjukkan kunci kondisi yang umum digunakan dan ketersediaannya dalam konteks permintaan untuk setiap jenis pemanggil saat membuat permintaan melalui titik akhir AWS STS VPC. Kunci kondisi tambahan tersedia di luar yang tercantum di sini.

Contoh: Izinkan semua AWS STS Tindakan untuk organisasi Anda

Kebijakan titik akhir berikut membatasi titik akhir AWS STS VPC Anda ke organisasi Anda sambil mendukung akses federasi. Ini memungkinkan semua AWS STS tindakan untuk prinsipal yang diautentikasi di organisasi Anda dan secara terpisah mengizinkan pemanggil federasi untuk mengambil peran dalam organisasi Anda. Penelepon federasi (AssumeRoleWithSAMLdanAssumeRoleWithWebIdentity) memerlukan pernyataan terpisah karena mereka tidak memiliki aws:PrincipalOrgID konteks permintaan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOrganizationPrincipals",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-exampleorgid"
                }
            }
        },
        {
            "Sid": "AllowFederatedAssumeRole",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "sts:AssumeRoleWithSAML",
                "sts:AssumeRoleWithWebIdentity"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceOrgID": "o-exampleorgid"
                }
            }
        }
    ]
}

Pernyataan pertama digunakan "Principal": {"AWS": "*"} dengan untuk mengiz aws:PrincipalOrgID inkan prinsipal yang diautenti AWS kasi dari organisasi Anda. Pernyataan kedua digunakan "Principal": "*" untuk mencocokkan pemanggil federasi dan membatasi peran target untuk digunakan organisasi Anda. aws:ResourceOrgID Kebijakan kepercayaan peran tetap menjadi kontrol utama di mana identitas federasi dapat mengambil peran mana.

Untuk informasi selengkapnya tentang menerapkan kontrol perimeter jaringan, lihat Mem bangun perimeter data AWS dan contoh kebijakan perimeter data di GitHub situs web.

Contoh: Izinkan semua AWS STS tindakan untuk akun tertentu

Kebijakan titik akhir berikut mengizinkan semua AWS STS tindakan untuk kepala sekolah di akun tertentu. Gunakan kebijakan ini jika akun Anda bukan bagian dari organisasi. Penelepon federasi diizinkan dalam pernyataan terpisah karena mereka tidak memiliki aws:PrincipalAccount konteks permintaan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSpecificAccountPrincipals",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": [
                        "111122223333",
                        "444455556666"
                    ]
                }
            }
        },
        {
            "Sid": "AllowFederatedAssumeRole",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "sts:AssumeRoleWithSAML",
                "sts:AssumeRoleWithWebIdentity"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": [
                        "111122223333",
                        "444455556666"
                    ]
                }
            }
        }
    ]
}

Pernyataan pertama menggunakan "Principal": {"AWS": "*"} with aws:PrincipalAccount untuk mengizinkan prinsipal yang di AWS autentikasi dari akun yang ditentukan. Pernyataan kedua digunakan "Principal": "*" untuk mencocokkan pemanggil federasi dan membatasi peran target ke akun yang sama menggunakan. aws:ResourceAccount Kebijakan kepercayaan peran tetap menjadi kontrol utama di mana identitas federasi dapat mengambil peran mana.

Contoh: Batasi ke spesifik AWS STS tindakan

Kebijakan titik akhir berikut hanya mengizinkan AssumeRole untuk prinsipal yang diautentikasi dan AssumeRoleWithSAML untuk pemanggil federasi, keduanya dicakup untuk peran dalam organisasi Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRoleByOrgPrincipals",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:AssumeRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-exampleorgid"
                }
            }
        },
        {
            "Sid": "AllowSAMLFederation",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "sts:AssumeRoleWithSAML",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceOrgID": "o-exampleorgid"
                }
            }
        }
    ]
}

Kebijakan ini memblokir AWS STS tindakan lain sepertiGetCallerIdentity,GetSessionToken, dan AssumeRoleWithWebIdentity melalui titik akhir ini. Sesuaikan Action elemen agar sesuai dengan kebutuhan Anda.

Contoh: Menolak akses non-organisasi sambil mengizinkan federasi

Kebijakan titik akhir berikut menggunakan penolakan eksplisit untuk memblokir prinsipal yang diautentikasi di luar organisasi Anda, sambil mempertahankan akses untuk pemanggil federasi. Pendekatan ini dimulai dengan izin yang luas dan menambahkan pernyataan penolakan yang ditargetkan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAll",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        },
        {
            "Sid": "DenyNonOrgPrincipals",
            "Effect": "Deny",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-exampleorgid"
                }
            }
        }
    ]
}

Pernyataan penolakan menggunakan"Principal": {"AWS": "*"}, yang hanya mencakup prinsipal yang diautentikasi AWS . Penelepon federasi (SAML dan OIDC) bukan prinsipal dan tidak AWS dicocokkan oleh Principal elemen ini, jadi penolakan tidak berlaku untuk mereka. Pendekatan ini menghindari perlunya kompleks Null atau Bool kondisi untuk mengukir pengecualian untuk penelepon federasi.