Creare un ruolo per delegare le autorizzazioni a un utente IAM

Puoi utilizzare i ruoli IAM per delegare l'accesso alle risorse AWS. Con i ruoli IAM, puoi stabilire relazioni di attendibilità tra l'account che concede fiducia e altri account AWS considerati attendibili. L'account che concede fiducia possiede la risorsa alla quale accedere e l'account affidabile contiene gli utenti che devono accedere alla risorsa. Tuttavia, è possibile che un altro account sia proprietario di una risorsa nell'account in uso. L'account che concede fiducia potrebbe infatti consentire all'account attendibile di creare nuove risorse, ad esempio creando nuovi oggetti in un bucket Amazon S3. In tal caso, l'account che crea la risorsa ne è proprietario e controlla chi può accedervi.

Dopo aver creato la relazione di attendibilità, un utente IAM o un'applicazione dell'account attendibile può utilizzare l'operazione API AssumeRole di AWS Security Token Service (AWS STS). Questa operazione fornisce le credenziali di sicurezza temporanee che consentono l'accesso alle risorse AWS nell'account in uso.

Gli account possono essere controllati da sé stessi oppure l'account con gli utenti può essere controllato da terze parti. Se l'altro account con gli utenti è un Account AWS di cui non hai controllo, puoi utilizzare l'attributo externalId. L'ID esterno può essere qualsiasi parola o numero concordato tra l'utente e l'amministratore dell'account di terze parti. Questa opzione aggiunge automaticamente una condizione alla policy di affidabilità che consente all'utente di assumere il ruolo solo se la richiesta include il corretto sts:ExternalID. Per ulteriori informazioni, consulta Accesso agli Account AWS di proprietà di terze parti.

Per informazioni su come utilizzare i ruoli per delegare le autorizzazioni, consultare Termini e concetti dei ruoli. Per informazioni sull'utilizzo di un ruolo di servizio per consentire l'accesso a risorse nel proprio account, consultare Creare un ruolo per delegare le autorizzazioni a un servizio AWS.

Creazione di un ruolo IAM (console)

Puoi utilizzare la AWS Management Console per creare un ruolo che può essere assunto da un utente IAM. Ad esempio, supponiamo che l'organizzazione abbia più Account AWS per isolare un ambiente di sviluppo da un ambiente di produzione. Per informazioni di alto livello sulla creazione di un ruolo che consenta agli utenti nell'account di sviluppo di accedere alle risorse nell'account di produzione, consulta la sezione Esempio di uno scenario in cui si utilizzano account di sviluppo e produzione separati.

Creazione di un ruolo IAM (AWS CLI)

La creazione di un ruolo da AWS CLI richiede più passaggi. Quando si utilizza la console per creare un ruolo, molte delle fasi vengono eseguite senza alcun intervento da parte dell'utente, ma con AWS CLI ogni fase deve essere eseguita personalmente. È necessario creare il ruolo e quindi assegnargli una policy di autorizzazione. Puoi anche scegliere di impostare il limite delle autorizzazioni per il ruolo.

L'esempio seguente mostra i primi due passaggi, più comuni, per la creazione di un ruolo per più account in un ambiente semplice. Questo esempio permette agli utenti dell'account 123456789012 di assumere il ruolo e visualizzare il bucket example_bucket di Amazon S3. L'esempio presuppone inoltre l'uso un computer client con Windows e che l'interfaccia a riga di comando sia già configurata con le credenziali dell'account e la regione. Per ulteriori informazioni, consulta Configurazione di AWS Command Line Interface.

In questo esempio, è necessario includere la seguente policy di attendibilità nel primo comando al momento della creazione del ruolo. Questa policy di attendibilità consente agli utenti dell'account 123456789012 di assumere il ruolo tramite l'operazione AssumeRole, ma solo se l'utente fornisce l'autenticazione MFA utilizzando i parametri SerialNumber e TokenCode. Per ulteriori informazioni sulla funzionalità MFA, consultare Autenticazione a più fattori di AWS in IAM.

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Principal": { "AWS": "arn:aws:iam::123456789012:root" },
          "Action": "sts:AssumeRole",
          "Condition": { "Bool": { "aws:MultiFactorAuthPresent": "true" } }
      }
  ]
}

Quando si utilizza il secondo comando, è necessario collegare una policy gestita esistente al ruolo. La policy delle autorizzazioni seguente consente agli utenti che assumono il ruolo di eseguire solo l'operazione ListBucket sul bucket example_bucket di Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "s3:ListBucket",
          "Resource": "arn:aws:s3:::example_bucket"
      }
  ]
}

Per creare questo ruolo Test-UserAccess-Role, è prima necessario salvare la policy di attendibilità precedente con il nome trustpolicyforacct123456789012.json nella cartella policies dell'unità C: locale. Occorre quindi salvare la policy delle autorizzazioni precedente come policy gestita dal cliente nel tuo Account AWS con il nome PolicyForRole. È quindi possibile utilizzare i comandi seguenti per creare il ruolo e collegare la policy gestita.

# Create the role and attach the trust policy file that allows users in the specified account to assume the role.
$ aws iam create-role --role-name Test-UserAccess-Role --assume-role-policy-document file://C:\policies\trustpolicyforacct123456789012.json

# Attach the permissions policy (in this example a managed policy) to the role to specify what it is allowed to do.
$ aws iam attach-role-policy --role-name Test-UserAccess-Role --policy-arn arn:aws:iam::123456789012:policy/PolicyForRole

Dopo aver creato il ruolo e concesso le autorizzazioni per eseguire le attività AWS o per accedere alle risorse AWS, qualsiasi utente nell'account 123456789012 può assumere tale ruolo. Per ulteriori informazioni, consulta Passaggio a un ruolo IAM (AWS CLI).

Creazione di un ruolo IAM (API AWS)

La creazione di un ruolo dall'API AWS richiede più passaggi. Quando si usa la console per creare un ruolo, molti dei passaggi vengono eseguiti automaticamente, ma con l'API ogni passaggio deve essere eseguito esplicitamente dall'utente. È necessario creare il ruolo e quindi assegnargli una policy di autorizzazione. Puoi anche scegliere di impostare il limite delle autorizzazioni per il ruolo.

Dopo aver creato il ruolo e concesso le autorizzazioni per eseguire le attività AWS o per accedere alle risorse AWS, occorre concedere le autorizzazioni agli utenti nell'account per permettere loro di assumere il ruolo. Per ulteriori informazioni sull'assunzione di un ruolo, consulta Passaggio a un ruolo IAM (API AWS).

Creazione di un ruolo IAM (AWS CloudFormation)

Per informazioni sulla creazione di un ruolo IAM in AWS CloudFormation, consulta il riferimento alle risorse e alle proprietà e gli esempi nella Guida per l'utente di AWS CloudFormation.

Per ulteriori informazioni sui modelli IAM in AWS CloudFormation, consulta Frammenti di modelli AWS Identity and Access Management nella Guida per l'utente di AWS CloudFormation.