Risoluzione dei problemi relativi a IAM - AWS Identity and Access Management
Non riesco ad accedere al mio account AWSChiavi di accesso smarriteVariabili della policy non funzionantiLe modifiche che apporto non sono sempre immediatamente visibiliNon sono autorizzato a eseguire: iam:DeleteVirtualMFADeviceCome posso creare utenti IAM in modo sicuro?Risorse aggiuntive

Risoluzione dei problemi relativi a IAM

Utilizza le informazioni qui riportate per eseguire la diagnosi e risolvere problemi comuni durante l'utilizzo di AWS Identity and Access Management (IAM).

Problemi

Non riesco ad accedere al mio account AWS

Verifica di disporre delle credenziali corrette e di utilizzare il metodo corretto per accedere. Per ulteriori informazioni, consulta Risoluzione dei problemi di accesso nella Guida per l'utente‏ di Accedi ad AWS.

Chiavi di accesso smarrite

Le chiavi di accesso sono costituite da due parti:

  • Identificatore della chiave di accesso: Questo non è un segreto e può essere visualizzato nella console IAM ovunque le chiavi di accesso siano elencate, ad esempio nella pagina di riepilogo dell'utente.

  • Chiave di accesso segreta: questa informazione viene fornita quando si crea inizialmente la coppia di chiavi di accesso. Proprio come una password, non può essere recuperata in seguito. Se la chiave di accesso segreta viene persa, è necessario creare una nuova coppia di chiavi di accesso. Se si disponi già del numero massimo di chiavi di accesso, è necessario eliminare una coppia esistente prima di crearne un'altra.

Se perdi la chiave di accesso segreta, è necessario eliminarla e crearne una nuova. Per ulteriori istruzioni, consulta Aggiornare le chiavi di accesso.

Variabili della policy non funzionanti

Se le variabili della policy non funzionano, si è verificato uno dei seguenti errori:

La data è errata nell'elemento della policy Version.

Verificare che tutte le policy che includono variabili includano il seguente numero di versione nella policy: "Version": "2012-10-17". Senza il numero di versione corretto, le variabili non vengono sostituite durante la valutazione. Al contrario, le variabili vengono valutate letteralmente. Le policy che non includono variabili continueranno a funzionare se si include il numero di versione più recente.

Un elemento di policy Version è diverso da una versione di policy. L'elemento di policy Version viene utilizzato all'interno di una policy e definisce la versione del linguaggio di policy. Una versione della policy viene creata quando si modifica una policy gestita dal cliente in IAM. La policy modificata non viene sovrascritta a quella precedente. IAM crea invece una nuova versione della policy gestita. Per ulteriori informazioni sull'elemento di policy Version, consultare Elementi delle policy JSON IAM: Version. Per ulteriori informazioni sulle versioni di policy, consultare Controllo delle versioni delle policy IAM.

I caratteri variabili sono scritti con lettere maiuscole e minuscole errate.

Verificare che le variabili della policy applichino la distinzione maiuscole/minuscole corretta. Per informazioni dettagliate, consultare Elementi delle policy IAM: variabili e tag.

Le modifiche che apporto non sono sempre immediatamente visibili

Essendo un servizio a cui si accede da computer in data center presenti in tutto il mondo, IAM utilizza un modello di elaborazione distribuito denominato consistenza finale. Le modifiche apportate in IAM (o in altri servizi AWS), compresi i tag di controllo degli accessi basato su attributi (ABAC) richiedono del tempo per essere visibili da tutti i possibili endpoint. Alcuni dei ritardi sono dovuti al tempo necessario per inviare i dati da un server a un altro, da una zona di replica a un'altra e da una regione a un'altra. IAM utilizza inoltre la memorizzazione nella cache per migliorare le prestazioni, è possibile che ciò aumenti ulteriormente il tempo richiesto, in quanto la modifica potrebbe risultare visibile solo dopo il timeout dei dati memorizzati nella cache.

È necessario progettare le applicazioni globali in modo da considerare questi potenziali ritardi e assicurarsi che funzionino come previsto, anche quando una modifica apportata in una posizione non è immediatamente visibile in un'altra. Tali modifiche includono la creazione o l'aggiornamento di utenti, gruppi, ruoli, o policy. Si consiglia di non includere tali modifiche IAM nei percorsi critici e ad alta disponibilità del codice dell'applicazione. Al contrario, apporta modifiche IAM in un'inizializzazione separata o in una routine di configurazione che si esegue meno frequentemente. Inoltre, assicurarsi di verificare che le modifiche siano state propagate prima che i flussi di lavoro di produzione dipendano da esse.

Per ulteriori informazioni sull'impatto di questo problema su alcuni altri servizi AWS, consulta le risorse seguenti:

Non sono autorizzato a eseguire: iam:DeleteVirtualMFADevice

Quando si tenta di assegnare o rimuovere un dispositivo MFA virtuale per sé stessi o altri, è possibile che venga visualizzato il seguente errore:

User: arn:aws:iam::123456789012:user/Diego is not authorized to perform: iam:DeleteVirtualMFADevice on resource: arn:aws:iam::123456789012:mfa/Diego with an explicit deny

Ciò può accadere se qualcuno in precedenza ha iniziato ad assegnare un dispositivo MFA virtuale a un utente nella console IAM e poi ha annullato il processo. Questa operazione crea un dispositivo MFA virtuale per l'utente in IAM, ma non lo assegna mai all'utente. Eliminare il dispositivo MFA virtuale esistente prima di poter creare un nuovo dispositivo MFA virtuale con lo stesso nome del dispositivo.

Per risolvere questo problema, un amministratore non dovrebbe modificare le policy di autorizzazioni. L'amministratore dovrebbe invece utilizzare la AWS CLI o l'API AWS per eliminare il dispositivo MFA virtuale esistente, ma non assegnato.

Per eliminare un dispositivo MFA virtuale esistente, ma non assegnato

  1. Visualizzare i dispositivi MFA virtuali nel proprio account.

  2. Nella risposta, individuare l'ARN del dispositivo MFA virtuale dell'utente per il quale si sta tentando di correggere l'anomalia.

  3. Eliminare il dispositivo MFA virtuale.

Come posso creare utenti IAM in modo sicuro?

Se disponi di dipendenti che richiedono l'accesso ad AWS, puoi decidere di creare utenti IAM o utilizzare IAM Identity Center per l'autenticazione. Se si utilizza IAM, AWS consiglia di creare un utente IAM e di comunicare in modo sicuro le credenziali al dipendente. Se non ci si trova fisicamente accanto al dipendente, si consiglia di utilizzare un flusso di lavoro sicuro per comunicare le credenziali ai dipendenti.

Utilizza il seguente flusso di lavoro sicuro per creare un nuovo utente in IAM:

  1. Crea un nuovo utente utilizzando la AWS Management Console. Scegli di concedere l'accesso AWS Management Console con una password generata. Se necessario, seleziona la casella di controllo accanto a L'utente deve creare una nuova password all'accesso successivo. Non aggiungere una policy di autorizzazione all'utente fino a quando non ha cambiato la password.

  2. Dopo avere aggiunto l'utente, copia l'URL di accesso, il nome utente e la password per il nuovo utente. Per visualizzare la password, scegli Mostra.

  3. Invia la password al tuo dipendente utilizzando un metodo di comunicazione sicuro della tua azienda, ad esempio e-mail, chat o un sistema di ticket. Separatamente, fornisci agli utenti il collegamento alla console utente IAM e il relativo nome utente. Chiedi al dipendente di confermare che riesce ad accedere correttamente prima di concedergli le autorizzazioni.

  4. Dopo che il dipendente ha confermato, aggiungi le autorizzazioni necessarie. Come buona prassi di sicurezza, aggiungi una policy che richiede all'utente di autenticarsi utilizzando la MFA per gestire le proprie credenziali. Per un esempio di policy, consulta AWS: consente agli utenti IAM autenticati con MFA di gestire le proprie credenziali nella pagina Credenziali di sicurezza.

Risorse aggiuntive

Le seguenti risorse possono rivelarsi utili per la risoluzione dei problemi durante l'utilizzo di AWS.