Controllo dell'accesso con AWS Identity and Access Management

Con AWS Identity and Access Management (IAM), puoi creare utenti IAM per controllare chi ha accesso a quali risorse del tuo Account AWS. Puoi utilizzare IAM con AWS CloudFormation per controllare cosa possono fare gli utenti AWS CloudFormation, ad esempio se possono visualizzare modelli di stack, creare stack o eliminare stack.

Oltre alle AWS CloudFormation azioni, puoi gestire i AWS servizi e le risorse disponibili per ogni utente. In questo modo, puoi controllare a quali risorse gli utenti possono accedere quando le utilizzano AWS CloudFormation. Ad esempio, puoi specificare quali utenti possono creare istanze Amazon EC2, terminare le istanze database oppure aggiornare i VPC. Le stesse autorizzazioni vengono applicate ogni volta che vengono utilizzate AWS CloudFormation per eseguire tali azioni.

Per ulteriori informazioni su tutti i servizi di cui è possibile controllare l'accesso, consulta la pagina relativa ai servizi AWS che supportano IAM nella Guida per l'utente di IAM.

AWS CloudFormation azioni

Quando crei un gruppo o un utente nel tuo Account AWS, puoi associare una policy IAM a quel gruppo o utente, che specifica le autorizzazioni che desideri concedere. Ad esempio, immagina di disporre di un gruppo di sviluppatori non esperti. Puoi creare un gruppo Junior application developers che comprenda tutti gli sviluppatori non esperti. Quindi, associ una policy a quel gruppo che consente agli utenti di visualizzare AWS CloudFormation solo gli stack. In questo scenario, è possibile disporre di una policy quale:

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Allow",
        "Action":[
            "cloudformation:DescribeStacks",
            "cloudformation:DescribeStackEvents",
            "cloudformation:DescribeStackResource",
            "cloudformation:DescribeStackResources"
        ],
        "Resource":"*"
    }]
}

La policy concede autorizzazioni a tutte le azioni API DescribeStack elencati nell'elemento Action.

Oltre alle AWS CloudFormation azioni, gli utenti che creano o eliminano gli stack richiedono autorizzazioni aggiuntive che dipendono dai modelli di stack. Ad esempio, se disponi di un modello che descrive una coda Amazon SQS, l'utente deve disporre delle autorizzazioni corrispondenti per le operazioni Amazon SQS per poter creare lo stack, come indicato nella seguente policy di esempio:

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Allow",
        "Action":[
            "sqs:*",
            "cloudformation:CreateStack",
            "cloudformation:DescribeStacks",
            "cloudformation:DescribeStackEvents",
            "cloudformation:DescribeStackResources",
            "cloudformation:GetTemplate",
            "cloudformation:ValidateTemplate"  
        ],
        "Resource":"*"
    }]
}

Per un elenco di tutte le AWS CloudFormation azioni che puoi consentire o negare, consulta l'API Reference.AWS CloudFormation

AWS CloudFormation azioni specifiche della console

Gli utenti che utilizzano la AWS CloudFormation console richiedono autorizzazioni aggiuntive che non sono necessarie per l'utilizzo delle AWS Command Line Interface API or. AWS CloudFormation Rispetto all'API AWS CLI and, la console offre funzionalità aggiuntive che richiedono autorizzazioni aggiuntive, come il caricamento di modelli su bucket Amazon S3 ed elenchi a discesa per tipi di parametri specifici.AWS

Per tutte le seguenti operazioni, concedi le autorizzazioni a tutte le risorse e non limitare le azioni a stack o bucket specifici.

La seguente azione richiesta viene utilizzata solo dalla AWS CloudFormation console e non è documentata nel riferimento all'API. L'operazione consente agli utenti di caricare i modelli nei bucket Amazon S3.

cloudformation:CreateUploadBucket

Quando gli utenti caricano i modelli, devono disporre delle seguenti autorizzazioni Amazon S3:

s3:PutObject
s3:ListBucket
s3:GetObject
s3:CreateBucket

Per i modelli con tipi di parametri specifici per AWS, gli utenti devono disporre di autorizzazioni per effettuare le chiamate API Describe corrispondenti. Ad esempio, se un modello comprende il tipo di parametro AWS::EC2::KeyPair::KeyName, gli utenti necessitano dell'autorizzazione per chiamare l'azione DescribeKeyPairs EC2 (questo è il modo in cui la console ottiene i valori per l'elenco a discesa dei parametri). Nei seguenti esempi sono indicate le operazioni che gli utenti devono eseguire per altri tipi di parametri:

ec2:DescribeSecurityGroups (for the AWS::EC2::SecurityGroup::Id parameter type)
ec2:DescribeSubnets (for the Subnet::Id parameter type)
ec2:DescribeVpcs (for the AWS::EC2::VPC::Id parameter type)

AWS CloudFormation risorse

AWS CloudFormation supporta le autorizzazioni a livello di risorsa, quindi puoi specificare azioni per uno stack specifico, come illustrato nella seguente politica:

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Deny",
        "Action":[
            "cloudformation:DeleteStack",
            "cloudformation:UpdateStack"
        ],
        "Resource":"arn:aws:cloudformation:us-east-1:123456789012:stack/MyProductionStack/*"
    }]
}

La policy sopra riportata utilizza un carattere jolly alla fine del nome dello stack in modo da impedire l'eliminazione e l'aggiornamento per l'ID stack completo (ad esempio arn:aws:cloudformation:us-east-1:123456789012:stack/MyProductionStack/abc9dbf0-43c2-11e3-a6e8-50fa526be49c) e per il nome dello stack (ad esempio MyProductionStack).

Per consentire che le trasformazioni AWS::Serverless creino un set di modifiche, la policy deve includere l'autorizzazione a livello di risorsa arn:aws:cloudformation:<region>:aws:transform/Serverless-2016-10-31, come indicato nella seguente policy:

 {
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "cloudformation:CreateChangeSet"
        ],
        "Resource": "arn:aws:cloudformation:us-west-2:aws:transform/Serverless-2016-10-31"
    }]
}

Policy di esempio che concede autorizzazioni del set di stack gestito dal servizio

Di seguito è riportata una policy IAM di esempio che concede le autorizzazioni del set di stack gestito dal servizio a un'entità principale (utente, ruolo o gruppo). Un utente con questa policy può eseguire operazioni solo sui set di stack con modelli contenenti tipi di risorse Amazon S3 (AWS::S3::*) o il tipo di risorsa AWS::SES::ConfigurationSet. Se ha effettuato l'accesso all'account di gestione dell'organizzazione con ID 123456789012, l'utente può eseguire operazioni solo sui set di stack destinati all'unità organizzativa con ID ou-1fsfsrsdsfrewr e sul set di stack con ID stack-set-id destinato all' Account AWS con ID 987654321012.

Le operazioni sul set di stack hanno esito negativo se il modello del set di stack contiene tipi di risorse diversi da quelli specificati nella policy o se le destinazioni di implementazione sono unità organizzative o ID account diversi da quelli specificati nella policy per gli account di gestione e i set di stack corrispondenti.

Queste restrizioni di policy si applicano solo quando le operazioni sul set di stack sono destinate alle Regioni us-east-1, us-west-2 o eu-west-2 Regioni AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stackset/*",
                "arn:aws:cloudformation:*:*:type/resource/AWS-S3-*",
                "arn:aws:cloudformation:us-west-2::type/resource/AWS-SES-ConfigurationSet",
                "arn:aws:cloudformation:*:123456789012:stackset-target/*/ou-1fsfsrsdsfrewr",
                "arn:aws:cloudformation:*:123456789012:stackset-target/stack-set-id/987654321012"
            ],
            "Condition": {
                "ForAllValues:StringEqualsIgnoreCase": {
                    "cloudformation:TargetRegion": [
                        "us-east-1",
                        "us-west-2",
                        "eu-west-1"
                    ]
                }
            }
        }
    ]
}

AWS CloudFormation condizioni

In una policy IAM, puoi specificare facoltativamente le condizioni che controllano la validità della policy. Ad esempio, puoi definire una policy che consenta agli utenti di creare uno stack solo quando specificano un determinato URL del modello. È possibile definire condizioni AWS CloudFormation-specifiche e AWS-wide, ad esempioDateLessThan, che specificano quando una policy smette di avere effetto. Per ulteriori informazioni e un elenco di condizioni AWS-wide, consulta Condition in IAM Policy Elements di riferimento nella IAM User Guide.

L'elenco seguente descrive le condizioni specifiche. AWS CloudFormation Queste condizioni si applicano solo quando gli utenti creano o aggiornano gli stack:

Esempi

Nel seguente esempio la policy consente agli utenti di utilizzare solo l'URL del modello https://s3.amazonaws.com/testbucket/test.template per creare o aggiornare uno stack.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack", "cloudformation:UpdateStack" ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "cloudformation:TemplateUrl" : [ "https://s3.amazonaws.com/testbucket/test.template" ]
        }
      }
    }
  ]
}

La seguente politica di esempio consente agli utenti di completare tutte le AWS CloudFormation operazioni tranne le operazioni di importazione.

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "AllowAllStackOperations",
      "Effect": "Allow", 
      "Action": "cloudformation:*", 
      "Resource": "*" 
    }, 
    { 
      "Sid": "DenyImport", 
      "Effect": "Deny", 
      "Action": "cloudformation:*", 
      "Resource": "*",
      "Condition": { 
        "ForAnyValue:StringLike": {
          "cloudformation:ImportResourceTypes": [ 
            "*" 
          ] 
        } 
      } 
    } 
  ] 
}

La policy di esempio seguente consente tutte le operazioni di stack, oltre alle operazioni di importazione solo su risorse specificate (in questo esempio, AWS::S3::Bucket).

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "AllowImport",
      "Effect": "Allow", 
      "Action": "cloudformation:*", 
      "Resource": "*" 
      "Condition": { 
        "ForAllValues:StringEqualsIgnoreCase": {
          "cloudformation:ImportResourceTypes": [ 
            "AWS::S3::Bucket" 
          ] 
        } 
      } 
    } 
  ] 
}

Nel seguente esempio la policy consente agli utenti di creare stack ma rifiuta le richieste se il modello dello stack include risorse del servizio IAM. Inoltre, in base a questa policy gli utenti devono anche specificare il parametro ResourceTypes, disponibile solo per la AWS CLI e per le richieste API. Questa policy usa istruzioni di rifiuto esplicito, pertanto se altre policy concedono autorizzazioni aggiuntive, questa policy resta sempre valida (un'istruzione di rifiuto esplicito ha sempre la precedenza su un'istruzione di consenso esplicito).

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*"
    },
    {
      "Effect" : "Deny",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "ForAnyValue:StringLikeIfExists" : {
          "cloudformation:ResourceTypes" : [ "AWS::IAM::*" ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "cloudformation:ResourceTypes": "true"
        }
      }
    }
  ]
}

Il seguente esempio di policy è simile a quello precedente. La policy consente agli utenti di creare uno stack, a meno che il modello dello stack includa risorse del servizio IAM. Richiede inoltre agli utenti di specificare il ResourceTypes parametro, che è disponibile solo per AWS CLI le richieste API. Questa policy è più semplice, ma non utilizza istruzioni di rifiuto esplicito. Altre policy, che concedono autorizzazioni aggiuntive, potrebbe sostituire questa policy.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "ForAllValues:StringNotLikeIfExists" : {
          "cloudformation:ResourceTypes" : [ "AWS::IAM::*" ]
        },
        "Null":{
          "cloudformation:ResourceTypes": "false"
        }
      }
    }
  ]
}

Riconoscimento delle risorse IAM nei modelli AWS CloudFormation

Prima di poter creare uno stack, AWS CloudFormation convalida il modello. Durante la convalida, AWS CloudFormation verifica nel modello la presenza di risorse IAM che potrebbe creare. Le risorse IAM, ad esempio un utente con accesso completo, possono accedere e modificare tutte le risorse nell' Account AWS. Pertanto, ti consigliamo di esaminare le autorizzazioni associate a ogni risorsa IAM prima di continuare, in modo da non creare inavvertitamente le risorse con autorizzazioni di escalation. Per assicurarti di averlo fatto, devi riconoscere che il modello contiene tali risorse e fornisce AWS CloudFormation le funzionalità specificate prima di creare lo stack.

Puoi riconoscere le funzionalità dei AWS CloudFormation modelli utilizzando la AWS CloudFormation console, AWS Command Line Interface (AWS CLI) o l'API:

Gestione delle credenziali per le applicazioni in esecuzione su istanze Amazon EC2

Se hai un'applicazione che viene eseguita su un'istanza Amazon EC2 e devi effettuare richieste a AWS risorse come i bucket Amazon S3 o una tabella DynamoDB, l'applicazione richiede credenziali di sicurezza. AWS Tuttavia, la distribuzione e l'incorporamento delle credenziali di sicurezza a lungo termine in ogni istanza avviata è una sfida nonché un potenziale rischio per la sicurezza. Invece di utilizzare credenziali di lungo termine, ad esempio le credenziali utente IAM, è consigliabile creare un ruolo IAM associato a un'istanza Amazon EC2 all'avvio dell'istanza. Un'applicazione può quindi ottenere le credenziali di sicurezza temporanee dall'istanza Amazon EC2. Non è necessario incorporare le credenziali a lungo termine nell'istanza. Inoltre, per semplificare la gestione delle credenziali, è possibile specificare un solo ruolo per più istanze Amazon EC2. In tal modo non dovrai creare credenziali univoche per ogni istanza.

Per un frammento di modello che mostra come avviare un'istanza con un ruolo, consulta Esempi di modello per i ruoli IAM.

Concessione di un accesso temporaneo (accesso federato)

In alcuni casi, potresti voler concedere agli utenti senza AWS credenziali l'accesso temporaneo al tuo Account AWS. Invece di creare ed eliminare credenziali a lungo termine ogni volta che desideri concedere un accesso temporaneo, usa AWS Security Token Service ().AWS STS Ad esempio, puoi utilizzare i ruoli IAM. Da un ruolo IAM, è possibile creare e distribuire in modo programmatico molte credenziali di sicurezza temporanee (che includono una chiave di accesso, una chiave di accesso segreta e un token di sicurezza). Queste credenziali hanno una durata limitata, quindi non possono essere utilizzate per accedere alle tue credenziali Account AWS dopo la loro scadenza. Puoi anche creare più ruoli IAM per concedere ai singoli utenti livelli di autorizzazioni diversi. I ruoli IAM sono utili per scenari quali le identità federate e i Single Sign-On (SSO).

Un'identità federata è un'identità distinta che puoi utilizzare in più sistemi. Per gli utenti enterprise con un sistema di identità locale (ad esempio LDAP o Active Directory), è possibile gestire tutte le autenticazioni con il sistema di identità locale. Dopo l'autenticazione dell'utente, è necessario fornire le credenziali di sicurezza temporanee dell'utente o ruolo IAM corrispondente. Ad esempio, puoi creare un administrators ruolo e un developers ruolo, in cui gli amministratori abbiano pieno accesso all' AWS account e gli sviluppatori abbiano le autorizzazioni per lavorare solo con gli stack. AWS CloudFormation Dopo l'autenticazione, un amministratore è autorizzato a ottenere le credenziali di sicurezza temporanee dal ruolo administrators. Tuttavia, gli sviluppatori, possono ottenere le credenziali di sicurezza temporanee solo dal ruolo developers.

Puoi anche concedere agli utenti federati l'accesso a. AWS Management Console Dopo l'autenticazione degli utenti con il sistema di identità locale, è possibile creare un URL temporaneo a livello di codice che offra un accesso diretto a AWS Management Console. Quando gli utenti utilizzano l'URL temporaneo, non avranno bisogno di accedere AWS perché sono già stati autenticati (single sign-on). Inoltre, poiché l'URL viene creato in base alle credenziali di sicurezza temporanee degli utenti, le autorizzazioni disponibili con tali credenziali definiscono le autorizzazioni degli utenti in AWS Management Console.

Puoi utilizzare diverse AWS STS API per generare credenziali di sicurezza temporanee. Per ulteriori informazioni sulle API da usare, consulta la sezione su come ottenere le credenziali di sicurezza temporanee nella Utilizzo di credenziali di sicurezza temporanee.

AWS CloudFormation interagisce con molti altri servizi. AWS Quando utilizzi credenziali di sicurezza temporanee con AWS CloudFormation, verifica che tutti i servizi che desideri utilizzare supportino credenziali di sicurezza temporanee. Per ulteriori informazioni, consulta AWS i servizi che supportano AWS STS.

Per ulteriori informazioni, consulta le risorse correlate nella Utilizzo di credenziali di sicurezza temporanee: