Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Disabilitazione delle autorizzazioni per le credenziali di sicurezza temporanee

Le credenziali di sicurezza provvisorie sono valide finché non scadono. Queste credenziali sono valide per la durata specificata, da 900 secondi (15 minuti) a un massimo di 129.600 secondi (36 ore). La durata predefinita della sessione è di 43.200 secondi (12 ore). Puoi revocare queste credenziali, ma devi anche modificare le autorizzazioni per il ruolo per bloccare l'uso di credenziali compromesse che consentirebbero attività dannose per l'account. Le autorizzazioni assegnate alle credenziali di sicurezza temporanee vengono valutate ogni volta che vengono utilizzate per creare un AWS richiesta. Dopo aver rimosso tutte le autorizzazioni dalle credenziali, AWS le richieste che le utilizzano hanno esito negativo.

Potrebbero essere necessari alcuni minuti prima che gli aggiornamenti delle politicy siano applicati. Revoca le credenziali di sicurezza temporanee del ruolo per obbligare tutti gli utenti che assumono il ruolo a riautenticarsi e richiedere nuove credenziali.

Non è possibile modificare le autorizzazioni per un Utente root dell'account AWS. Allo stesso modo, non è possibile modificare le autorizzazioni per le credenziali di sicurezza temporanee create chiamando GetFederationToken o GetSessionToken effettuando l'accesso come utente root. Per questo motivo, consigliamo di non effettuare la chiamata a GetFederationToken o GetSessionToken come utente root.

Negare l'accesso a tutte le sessioni associate a un ruolo

Usa questo approccio quando hai il dubbio che sia stato effettuato un accesso sospetto da:

Questa procedura nega le autorizzazioni a tutti gli utenti che dispongono delle autorizzazioni per assumere un ruolo.

Per modificare o rimuovere le autorizzazioni assegnate alle credenziali di sicurezza provvisorie ottenute richiamando AssumeRole, AssumeRoleWithSAML, o AssumeRoleWithWebIdentity, GetFederationToken o GetSessionToken, puoi modificare o eliminare la policy di autorizzazione che definisce le autorizzazioni per il ruolo.

Quando si modifica o si elimina la policy, le modifiche riguardano le autorizzazioni di tutte le credenziali di sicurezza provvisorie associate a tale ruolo, tra cui credenziali che sono state rilasciate prima di aver modificato la policy di autorizzazione del ruolo. Dopo aver aggiornato la policy, è possibile revocare le credenziali di sicurezza temporanee del ruolo per revocare immediatamente tutte le autorizzazioni alle credenziali emesse per il ruolo.

Negare l'accesso a una sessione specifica

Quando aggiorni i ruoli assumibili da un IdP con una policy di negazione totale o elimini completamente il ruolo, tutti gli utenti che hanno accesso al ruolo vengono scollegati Puoi negare l'accesso in base all’elemento Principal senza influire sulle autorizzazioni di tutte le altre sessioni associate al ruolo.

Ai Principal possono essere negate le autorizzazioni usando chiavi di contesto delle condizioni o policy basate sulle risorse.

Negare una sessione utente con le chiavi di contesto delle condizioni

È possibile utilizzare le chiavi di contesto delle condizioni in cui si desidera negare l'accesso a specifiche sessioni temporanee di credenziali di sicurezza senza influire sulle autorizzazioni dell'IAMutente o del ruolo che ha creato le credenziali.

Per ulteriori informazioni su queste chiavi di contesto della condizione, consulta AWS chiavi di contesto della condizione globale.

Dopo aver aggiornato la policy, puoi revocare le credenziali di sicurezza temporanee del ruolo per revocare immediatamente tutte le credenziali emesse.

leggi: PrincipalArn

È possibile utilizzare la chiave di contesto della condizione Leggi: PrincipalArn per negare l'accesso a un principale ARN specifico. A tale scopo, è necessario specificare l'identificatore univoco (ID) dell'IAMutente, del ruolo o dell'utente federato a cui sono associate le credenziali di sicurezza temporanee nell'elemento Condition di una politica.

leggi: SourceIdentity

È possibile utilizzare la chiave di contesto della condizione Leggi: SourceIdentity per negare l'accesso a un'identità di origine specifica associata a una sessione di ruolo. Ciò vale a condizione che la sessione di ruolo sia stata emessa impostando il parametro di SourceIdentity richiesta quando il principale ha assunto un ruolo utilizzando uno AWS STS assume-role* CLI comandi, o AWS STS AssumeRole* API operazioni. A tale scopo, è necessario specificare l'identità di origine a cui sono associate le credenziali di sicurezza temporanee nell'Conditionelemento di una policy.

A differenza della chiave contestuale sts:RoleSessionName, dopo aver impostato l'identità di origine, il valore non può essere modificato. La aws:SourceIdentity chiave è presente nel contesto della richiesta per tutte le azioni intraprese dal ruolo. L'identità di origine persiste nelle sessioni di ruolo successive quando si utilizzano le credenziali di sessione per assumere un altro ruolo. L'assunzione di un ruolo partendo da un altro si chiama concatenamento del ruolo.

La seguente policy mostra un esempio di come puoi negare l'accesso a sessioni con credenziali di sicurezza temporanee utilizzando la chiave di contesto della condizione.aws:SourceIdentity. Se si specifica l'identità di origine associata a una sessione di ruolo, verranno negate le sessioni di ruolo con l'identità di origine denominata senza influire sulle autorizzazioni del ruolo che ha creato le credenziali. Per questo esempio, l'identità di origine impostata dal principale al momento del rilascio della sessione di ruolo è. nikki_wolf@example.com Qualsiasi richiesta effettuata da una sessione di ruolo con l'identità di origine nikki_wolf@example.com verrà rifiutata perché l'identità di origine è inclusa nella condizione della policy e la policy Effect è impostata suDeny.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": [
            "nikki_wolf@example.com",
            "<source identity value>"
          ]
        }
      }
    }
  ]
}

aws:userid

È possibile utilizzare la chiave di contesto della condizione aws:userid per negare l'accesso a tutte o a specifiche sessioni di credenziali di sicurezza temporanee associate all'IAMutente o al ruolo. A tale scopo, è necessario specificare l'identificatore univoco (ID) dell'IAMutente, del ruolo o dell'utente federato a cui sono associate le credenziali di sicurezza temporanee nell'elemento di una politica. Condition

La seguente policy mostra un esempio di come puoi negare l'accesso a sessioni con credenziali di sicurezza temporanee utilizzando la chiave di contesto della condizione.aws:userid.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:userId": [
            "AIDAXUSER1",
            "AROAXROLE1",
            "AROAXROLE2:<caller-specified-role-session-name>",
            "account-id:<federated-user-caller-specified-name>"
          ]
        }
      }
    }
  ]
}

Per esempi specifici di valori chiave del principale, consulta Valori della chiave dell'entità principale. Per informazioni sugli identificatori IAM univoci, vedere. Identificatori univoci

Rifiutare un utente di sessione con policy basate sulle risorse

Se il principale ARN è incluso anche in qualsiasi politica basata sulle risorse, è inoltre necessario revocare l'accesso in base all'utente principalId o ai sourceIdentity valori specifici nell'elemento di una politica basata sulle risorse. Principal Se aggiorni solo la policy delle autorizzazioni per il ruolo, l'utente può comunque eseguire le azioni consentite nella policy basata sulle risorse.