Concedere autorizzazioni gestite dal cliente

Questo argomento fornisce istruzioni su come creare i ruoli del servizio IAM necessari per la distribuzione su più account e Regioni AWS con StackSets autorizzazioni autogestite. Questi ruoli sono necessari per stabilire una relazione di fiducia tra l'account StackSet da cui stai amministrando e l'account su cui stai distribuendo le istanze stack. Utilizzando questo modello di autorizzazioni, StackSets puoi eseguire l'implementazione su tutti i soggetti Account AWS in cui disponi delle autorizzazioni per creare un ruolo IAM.

Per utilizzare le autorizzazioni gestite dal servizio, consulta invece Attiva l’accesso attendibile.

Self-managed panoramica delle autorizzazioni

Prima di creare un servizio StackSet con autorizzazioni autogestite, devi aver creato i ruoli del servizio IAM in ogni account.

I passaggi di base sono:

Concedere a tutti gli utenti dell’account amministratore le autorizzazioni per gestire gli stack in tutti gli account di destinazione

Questa sezione mostra come impostare le autorizzazioni per consentire a tutti gli utenti e i gruppi dell'account amministratore di eseguire StackSet operazioni in tutti gli account di destinazione. Costituisce una guida per la creazione dei ruoli di servizio IAM richiesti negli account amministratore e di destinazione. Chiunque nell’account amministratore può quindi creare, aggiornare o eliminare qualsiasi stack in qualsiasi account di destinazione.

Strutturando le autorizzazioni in questo modo, gli utenti non acquisiscono un ruolo di amministrazione durante la creazione o l'aggiornamento di un file. StackSet

{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "arn:aws:iam::account-id:role/AWSCloudFormationStackSetAdministrationRole"
}

Configura le opzioni di autorizzazione avanzate per le operazioni StackSet

Se hai bisogno di un controllo più dettagliato su StackSets ciò che utenti e gruppi stanno creando tramite un singolo account amministratore, puoi utilizzare i ruoli IAM per specificare:

Controlla quali utenti possono eseguire StackSet operazioni in account target specifici

Utilizza i ruoli di amministrazione personalizzati per controllare quali utenti e gruppi possono eseguire StackSet operazioni in quali account di destinazione. Potresti voler controllare quali utenti dell'account amministratore possono eseguire StackSet operazioni in quali account di destinazione. A tale scopo, si crea una relazione di fiducia tra ciascun account di destinazione e uno specifico ruolo di amministrazione personalizzato, anziché creare il ruolo di AWSCloudFormationStackSetAdministrationRole servizio nell'account amministratore stesso. Quindi si attivano utenti e gruppi specifici per utilizzare il ruolo di amministrazione personalizzato quando si eseguono StackSet operazioni in un account di destinazione specifico.

Ad esempio, è possibile creare Ruolo A e Ruolo B all'interno dell'account amministratore. È possibile assegnare a Ruolo A le autorizzazioni per accedere all'account di destinazione 1 tramite l'account 8. È possibile assegnare a Ruolo B le autorizzazioni per accedere all'account di destinazione 9 tramite l'account 16.

L'impostazione delle autorizzazioni necessarie implica la definizione di un ruolo di amministrazione personalizzato, la creazione di un ruolo di servizio per l'account di destinazione e la concessione agli utenti del permesso di passare il ruolo di amministrazione personalizzato durante l'esecuzione StackSet delle operazioni.

In generale, ecco come funziona una volta che si dispone delle autorizzazioni necessarie: durante la creazione di un StackSet, l'utente deve specificare un ruolo di amministrazione personalizzato. L'utente deve disporre dell'autorizzazione per trasferire il ruolo a CloudFormation. Inoltre, il ruolo di amministrazione personalizzato deve avere una relazione di fiducia con gli account di destinazione specificati per. StackSet CloudFormation crea StackSet e associa ad esso il ruolo di amministrazione personalizzato. Quando si aggiorna un StackSet, l'utente deve specificare esplicitamente un ruolo di amministrazione personalizzato, anche se si tratta dello stesso ruolo di amministrazione personalizzato utilizzato in precedenza. StackSet CloudFormationutilizza quel ruolo per aggiornare lo stack, in base ai requisiti di cui sopra.

Controlla le risorse che gli utenti possono includere in specifiche StackSets

Usa ruoli di esecuzione personalizzati per controllare quali risorse dello stack possono essere incluse da utenti e gruppi StackSets. Ad esempio, potresti voler configurare un gruppo che possa includere solo S3-related le risorse Amazon create, mentre un altro team può includere solo risorse DynamoDB. StackSets Per farlo, puoi creare una relazione di trust tra il ruolo di amministrazione personalizzato per ciascun gruppo e un ruolo di esecuzione personalizzato per ciascun set di risorse. Il ruolo di esecuzione personalizzato definisce in quali stack possono essere incluse le risorse. StackSets Il ruolo di amministrazione personalizzato risiede nell'account amministratore, mentre il ruolo di esecuzione personalizzato risiede in ogni account di destinazione in cui si desidera creare StackSets utilizzando le risorse definite. Quindi si attivano utenti e gruppi specifici per utilizzare il ruolo di amministrazione personalizzato durante l'esecuzione StackSets delle operazioni.

Ad esempio, puoi creare i ruoli di amministrazione personalizzati A, B e C nell’account amministratore. Gli utenti e i gruppi autorizzati a utilizzare il ruolo A possono creare risorse StackSets contenenti lo stack specificatamente elencate nel ruolo di esecuzione personalizzato X, ma non quelle nei ruoli Y o Z o risorse non incluse in alcun ruolo di esecuzione.

Quando si aggiorna un StackSet, l'utente deve specificare esplicitamente un ruolo di amministrazione personalizzato, anche se si tratta dello stesso ruolo di amministrazione personalizzato utilizzato StackSet in precedenza. CloudFormation esegue l'aggiornamento utilizzando il ruolo di amministrazione personalizzato specificato, a condizione che l'utente disponga delle autorizzazioni per eseguire operazioni su tale ruolo. StackSet

Analogamente, l'utente può specificare anche un ruolo di esecuzione personalizzato. Se specificano un ruolo di esecuzione personalizzato, CloudFormation utilizza tale ruolo per aggiornare lo stack, in base ai requisiti di cui sopra. Se l'utente non specifica un ruolo di esecuzione personalizzato, CloudFormation esegue l'aggiornamento utilizzando il ruolo di esecuzione personalizzato precedentemente associato a StackSet, a condizione che l'utente disponga delle autorizzazioni per eseguire operazioni su tale StackSet ruolo.

Configura le autorizzazioni per operazioni specifiche StackSet

Inoltre, puoi impostare le autorizzazioni per le quali utenti e gruppi possono eseguire StackSet operazioni specifiche, come la creazione, l'aggiornamento o l'eliminazione StackSets o lo stack di istanze. Per ulteriori informazioni, consulta Operazioni, risorse e chiavi di condizione per CloudFormation nella Documentiazione di riferimento per l'autorizzazione al servizio.

Configurazione di chiavi globali per mitigare i problemi di "confused deputy"

Il problema confused deputy è un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire un’azione può costringere un’entità maggiormente privilegiata a eseguire l’azione. In AWS, l'impersonificazione tra servizi può causare il confuso problema dei sostituti. Cross-service l'imitazione può avvenire quando un servizio (il servizio chiamante) chiama un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare che ciò accada, AWS fornisce strumenti che consentono di proteggere i dati per tutti i servizi ai quali è stato concesso l'accesso alle risorse del proprio account.

Ti consigliamo di utilizzare aws:SourceArn le chiavi di contesto della condizione aws:SourceAccount globale nelle policy relative alle risorse per limitare le autorizzazioni che CloudFormation StackSets forniscono un altro servizio alla risorsa. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, il valore aws:SourceAccount e l'account nel valore aws:SourceArn devono utilizzare lo stesso ID account nella stessa istruzione di policy.

Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l’ARN completo della risorsa. Se non si conosce l’ARN completo della risorsa o si scelgono più risorse, è necessario utilizzare la chiave di contesto della condizione globale aws:SourceArn con caratteri jolly (*) per le parti sconosciute dell’ARN. Ad esempio, arn:aws:cloudformation::123456789012:*. Quando possibile, usa aws:SourceArn, perché è più specifico. Utilizza aws:SourceAccount solo quando non è possibile determinare il modello ARN o ARN corretto.

Quando StackSets assume il ruolo di amministrazione nel tuo account amministratore, StackSets compila l'ID dell'account amministratore e il nome StackSets Amazon Resource Name (ARN). Per questo motivo, puoi definire le condizioni per le chiavi globali aws:SourceAccount e aws:SourceArn nelle relazioni di trust per prevenire problemi di "confused deputy". L'esempio seguente mostra come utilizzare le chiavi di contesto aws:SourceArn e le chiavi di contesto della condizione aws:SourceAccount globale StackSets per prevenire il confuso problema del sostituto.