Creare un ruolo per delegare le autorizzazioni a un utente IAM

Puoi utilizzare IAM i ruoli per delegare l'accesso al tuo AWS risorse. Con IAM i ruoli, puoi stabilire relazioni di fiducia tra il tuo account di fiducia e altri AWS account attendibili. L'account che concede fiducia possiede la risorsa alla quale accedere e l'account affidabile contiene gli utenti che devono accedere alla risorsa. Tuttavia, è possibile che un altro account sia proprietario di una risorsa nell'account in uso. L'account che concede fiducia potrebbe infatti consentire all'account attendibile di creare nuove risorse, ad esempio creando nuovi oggetti in un bucket Amazon S3. In tal caso, l'account che crea la risorsa ne è proprietario e controlla chi può accedervi.

Dopo aver creato la relazione di trust, un IAM utente o un'applicazione dell'account affidabile può utilizzare AWS Security Token Service (AWS STS) AssumeRoleAPIoperazione. Questa operazione fornisce credenziali di sicurezza temporanee che consentono l'accesso a AWS risorse presenti nel tuo account.

Gli account possono essere controllati da sé stessi oppure l'account con gli utenti può essere controllato da terze parti. Se l'altro account con gli utenti è un Account AWS che non controlli, puoi usare l'externalIdattributo. L'ID esterno può essere qualsiasi parola o numero concordato tra l'utente e l'amministratore dell'account di terze parti. Questa opzione aggiunge automaticamente una condizione alla policy di affidabilità che consente all'utente di assumere il ruolo solo se la richiesta include il corretto sts:ExternalID. Per ulteriori informazioni, consulta Accesso a Account AWS proprietà di terzi.

Per informazioni su come utilizzare i ruoli per delegare le autorizzazioni, consultare Termini e concetti dei ruoli. Per informazioni sull'utilizzo di un ruolo di servizio per consentire l'accesso a risorse nel proprio account, consultare Creare un ruolo per delegare le autorizzazioni a un servizio AWS.

Creazione di un ruolo IAM (Console)

Puoi utilizzare il plugin AWS Management Console per creare un ruolo che un IAM utente possa assumere. Ad esempio, supponiamo che la tua organizzazione ne abbia più Account AWS per isolare un ambiente di sviluppo da un ambiente di produzione. Per informazioni di alto livello sulla creazione di un ruolo che consenta agli utenti nell'account di sviluppo di accedere alle risorse nell'account di produzione, consulta la sezione Esempio di uno scenario in cui si utilizzano account di sviluppo e produzione separati.

Creazione di un IAM ruolo (AWS CLI)

Creazione di un ruolo da AWS CLI prevede più passaggi. Quando si utilizza la console per creare un ruolo, molti passaggi vengono eseguiti automaticamente, ma con AWS CLI devi eseguire personalmente ogni passaggio in modo esplicito. È necessario creare il ruolo e quindi assegnargli una policy di autorizzazione. Puoi anche scegliere di impostare il limite delle autorizzazioni per il ruolo.

L'esempio seguente mostra i primi due passaggi, più comuni, per la creazione di un ruolo per più account in un ambiente semplice. Questo esempio permette agli utenti dell'account 123456789012 di assumere il ruolo e visualizzare il bucket example_bucket di Amazon S3. L'esempio presuppone inoltre l'uso un computer client con Windows e che l'interfaccia a riga di comando sia già configurata con le credenziali dell'account e la regione. Per ulteriori informazioni, vedere Configurazione di AWSInterfaccia a riga di comando.

In questo esempio, è necessario includere la seguente policy di attendibilità nel primo comando al momento della creazione del ruolo. Questa politica di attendibilità consente agli utenti dell'123456789012account di assumere il ruolo utilizzando l'AssumeRoleoperazione, ma solo se l'utente fornisce MFA l'autenticazione utilizzando i TokenCode parametri SerialNumber and. Per ulteriori informazioni suMFA, vedereAWS Autenticazione a più fattori in IAM.

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Principal": { "AWS": "arn:aws:iam::123456789012:root" },
          "Action": "sts:AssumeRole",
          "Condition": { "Bool": { "aws:MultiFactorAuthPresent": "true" } }
      }
  ]
}

Quando si utilizza il secondo comando, è necessario collegare una policy gestita esistente al ruolo. La policy delle autorizzazioni seguente consente agli utenti che assumono il ruolo di eseguire solo l'operazione ListBucket sul bucket example_bucket di Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "s3:ListBucket",
          "Resource": "arn:aws:s3:::example_bucket"
      }
  ]
}

Per creare questo ruolo Test-UserAccess-Role, è prima necessario salvare la policy di attendibilità precedente con il nome trustpolicyforacct123456789012.json nella cartella policies dell'unità C: locale. Quindi salva la precedente politica di autorizzazione come politica gestita dai clienti nel tuo Account AWS con il nomePolicyForRole. È quindi possibile utilizzare i comandi seguenti per creare il ruolo e collegare la policy gestita.

# Create the role and attach the trust policy file that allows users in the specified account to assume the role.
$ aws iam create-role --role-name Test-UserAccess-Role --assume-role-policy-document file://C:\policies\trustpolicyforacct123456789012.json

# Attach the permissions policy (in this example a managed policy) to the role to specify what it is allowed to do.
$ aws iam attach-role-policy --role-name Test-UserAccess-Role --policy-arn arn:aws:iam::123456789012:policy/PolicyForRole

Dopo aver creato il ruolo e avergli concesso le autorizzazioni di esecuzione AWS attività o accesso AWS risorse, qualsiasi utente dell'123456789012account può assumere il ruolo. Per ulteriori informazioni, consulta Passa a un IAM ruolo (AWS CLI).

Creazione di un IAM ruolo (AWS API)

Creazione di un ruolo da AWS APIprevede più passaggi. Quando si utilizza la console per creare un ruolo, molti passaggi vengono eseguiti automaticamente, ma con la console è API necessario eseguire ogni passaggio in modo esplicito e autonomo. È necessario creare il ruolo e quindi assegnargli una policy di autorizzazione. Puoi anche scegliere di impostare il limite delle autorizzazioni per il ruolo.

Dopo aver creato il ruolo e avergli concesso le autorizzazioni di esecuzione AWS attività o accesso AWS risorse, è necessario concedere le autorizzazioni agli utenti dell'account per consentire loro di assumere il ruolo. Per ulteriori informazioni sull'assunzione di un ruolo, consulta Passa a un IAM ruolo (AWS API).

Creazione di un IAM ruolo (AWS CloudFormation)

Per informazioni sulla creazione di un IAM ruolo in AWS CloudFormation, consultate il riferimento alle risorse e alle proprietà e gli esempi disponibili in AWS CloudFormation Guida per l'utente.

Per ulteriori informazioni sui IAM modelli in AWS CloudFormation, vedi AWS Identity and Access Management frammenti di modello in AWS CloudFormation Guida per l'utente.