Tutorial IAM: definisci le autorizzazioni per accedere alle AWS risorse in base ai tag

1. Creare la seguente policy gestita dal cliente denominata access-assume-role. Per ulteriori informazioni sulla creazione della policy JSON, consulta Creazione di policy IAM.

   Policy ABAC: assumere qualsiasi ruolo ABAC, ma solo quando i tag utente e ruolo corrispondono

   La policy seguente consente a un utente di assumere qualsiasi ruolo nell'account con il prefisso access- nel nome. Il ruolo deve inoltre essere taggato con gli stessi tag di progetto, team e centro di costi dell'utente.

   Per utilizzare questa policy, sostituisci il testo segnaposto in corsivo con le tue informazioni.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeRole",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::account-ID-without-hyphens:role/access-*",
               "Condition": {
                   "StringEquals": {
                       "iam:ResourceTag/access-project": "${aws:PrincipalTag/access-project}",
                       "iam:ResourceTag/access-team": "${aws:PrincipalTag/access-team}",
                       "iam:ResourceTag/cost-center": "${aws:PrincipalTag/cost-center}"
                   }
               }
           }
       ]
   }

   Per ridimensionare questa esercitazione a un numero elevato di utenti, è possibile collegare la policy a un gruppo e aggiungere ogni utente al gruppo. Per ulteriori informazioni, consulta Creazione di gruppi di utenti IAM e Aggiunta e rimozione di utenti in un gruppo di utenti IAM.

2. Creare i seguenti utenti IAM e collegare la policy di autorizzazione access-assume-role. Assicurarsi di selezionare Fornire l'accesso agli utenti a AWS Management Console, poi aggiungere i seguenti tag. Per ulteriori informazioni sulla creazione e l'assegnazione di tag di un nuovo utente, consulta Creazione di utenti IAM (console).

   Utenti ABAC
   Nome utente	Chiave tag utente	Valore tag utente
   access-Arnav-peg-eng	access-project access-team cost-center	peg eng 987654
   access-Mary-peg-qas	access-project access-team cost-center	peg qas 987654
   access-Saanvi-uni-eng	access-project access-team cost-center	uni eng 123456
   access-Carlos-uni-qas	access-project access-team cost-center	uni qas 123456

Per testare la creazione di un segreto con e senza i tag richiesti

1. Nella finestra principale del browser, resta connesso come utente amministratore in modo da poter esaminare utenti, ruoli e policy in IAM. Utilizzare una finestra di navigazione in incognito del browser o un browser separato per i test. Lì, accedi come utente IAM access-Arnav-peg-eng e apri la console di Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

2. Provare a passare al ruolo access-uni-engineering.

   Questa operazione ha esito negativo perché i valori de tag access-project e cost-center non corrispondono all'utente access-Arnav-peg-eng e al ruolo access-uni-engineering.

   Per ulteriori informazioni sul cambio di ruolo in AWS Management Console, vedere Cambio di un ruolo (console)

3. Passare al ruolo access-peg-engineering.

4. Archiviare un nuovo segreto utilizzando le seguenti informazioni. Per informazioni su come archiviare un segreto, consulta Creazione di un segreto di base nella Guida per l'utente di AWS Secrets Manager .

   Importante

   Secrets Manager visualizza avvisi che segnalano che non disponi delle autorizzazioni per i servizi AWS aggiuntivi che funzionano con Secrets Manager. Ad esempio, per creare credenziali per un database Amazon RDS, è necessario disporre dell'autorizzazione per descrivere istanze RDS, cluster RDS e cluster Amazon Redshift. Puoi ignorare questi avvisi poiché non stai utilizzando questi AWS servizi specifici in questo tutorial.

   1. Nella sezione Seleziona tipo di segreto, scegliere Altro tipo di segreti. Nelle due caselle di testo, inserire test-access-key e test-access-secret.

   2. Nel campo Nome segreto inserire il valore test-access-peg-eng.

   3. Aggiungere diverse combinazioni di tag dalla tabella seguente e visualizzare il comportamento previsto.

   4. Scegliere Memorizza per provare a creare il segreto. Se l'archiviazione non riesce, torna alle pagine della console di Secrets Manager precedenti e utilizza il set di tag successivo dalla tabella seguente. L'ultimo set di tag è consentito e creerà con successo il segreto.

   Combinazioni di tag ABAC per il ruolo test-access-peg-eng
   Valore tag access-project	Valore tag access-team	Valore tag cost-center	Tag aggiuntivi	Comportamento previsto
   (nessuno)	(nessuno)	(nessuno)	(nessuno)	Negato perché il valore del tag access-project non corrisponde al valore del ruolo di peg.
   uni	eng	987654	(nessuno)	Negato perché il valore del tag access-project non corrisponde al valore del ruolo di peg.
   peg	qas	987654	(nessuno)	Negato perché il valore del tag access-team non corrisponde al valore del ruolo di eng.
   peg	eng	123456	(nessuno)	Negato perché il valore del tag cost-center non corrisponde al valore del ruolo di 987654.
   peg	eng	987654	owner = Jane	Negato perché il tag aggiuntivo owner non è consentito dalla policy, anche se tutti e tre i tag richiesti sono presenti e i relativi valori corrispondono ai valori del ruolo.
   peg	eng	987654	Name = Jane	Consentito perché tutti e tre i tag richiesti sono presenti e i loro valori corrispondono ai valori del ruolo. È anche possibile includere il tag opzionale Name.

5. Disconnettersi e ripetere i primi tre passaggi di questa procedura per ciascuno dei seguenti ruoli e valori dei tag. Nel quarto passaggio di questa procedura, verificare tutti i set di tag mancanti, tag facoltativi, tag non consentiti e valori di tag non validi selezionati. Quindi utilizzare i tag richiesti per creare un segreto con i seguenti tag e nome.

   Ruoli e tag ABAC
   Nome utente	Nome ruolo	Nome segreto	Tag segreto
   access-Mary-peg-qas	access-peg-quality-assurance	test-access-peg-qas	access-project = peg access-team = qas cost-center = 987654
   access-Saanvi-uni-eng	access-uni-engineering	test-access-uni-eng	access-project = uni access-team = eng cost-center = 123456
   access-Carlos-uni-qas	access-uni-quality-assurance	test-access-uni-qas	access-project = uni access-team = qas cost-center = 123456

Per testare la visualizzazione di un segreto con e senza i tag richiesti

1. Accedi come uno dei seguenti utenti IAM:

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

2. Passa al ruolo corrispondente:

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-uni-quality-assurance

   Per ulteriori informazioni sul cambio di ruolo in AWS Management Console, vedereCambio di un ruolo (console).

3. Nel riquadro di navigazione a sinistra, scegli l'icona del menu per espanderlo, quindi scegliere Segreti.

4. Dovrebbero essere visualizzati tutti e quattro i segreti nella tabella, indipendentemente dal proprio ruolo attuale. Ciò accade perché la policy denominata access-same-project-team consente l'operazione secretsmanager:ListSecrets per tutte le risorse.

5. Scegli il nome di uno dei segreti.

6. Nella pagina dei dettagli del segreto, i tag del ruolo determinano se è possibile visualizzare il contenuto della pagina. Confrontare il nome del proprio ruolo con il nome del segreto. Se condividono lo stesso nome del team, i tag access-team corrispondono. Se non corrispondono, l'accesso viene negato.

   Comportamento di visualizzazione del segreto ABAC per ogni ruolo
   Nome ruolo	Nome segreto	Comportamento previsto
   access-peg-engineering	test-access-peg-eng	Consentito
   	test-access-peg-qas	Negato
   	test-access-uni-eng	Consentito
   	test-access-uni-qas	Negato
   access-peg-quality-assurance	test-access-peg-eng	Negato
   	test-access-peg-qas	Consentito
   	test-access-uni-eng	Negato
   	test-access-uni-qas	Consentito
   access-uni-engineering	test-access-peg-eng	Consentito
   	test-access-peg-qas	Negato
   	test-access-uni-eng	Consentito
   	test-access-uni-qas	Negato
   access-uni-quality-assurance	test-access-peg-eng	Negato
   	test-access-peg-qas	Consentito
   	test-access-uni-eng	Negato
   	test-access-uni-qas	Consentito

7. Nel percorso di navigazione nella parte superiore della pagina, scegliere Segreti per tornare all'elenco dei segreti. Ripetere i passaggi di questa procedura utilizzando ruoli diversi per verificare se è possibile visualizzare ciascuno dei segreti.

Per aggiungere il nuovo progetto a AWS

1. Accedi come utente amministratore IAM e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione sulla sinistra, scegli Ruoli e aggiungi un ruolo IAM denominato access-cen-engineering. Collega la policy delle autorizzazioni access-same-project-team al ruolo e aggiungere i seguenti tag di ruolo:

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

3. Nel riquadro di navigazione sinistro, scegli Utenti.

4. Aggiungi un nuovo utente denominato access-Nikhil-cen-eng, collega la policy denominata access-assume-role e aggiungi i seguenti tag utente.

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

5. Utilizza le procedure in Fase 4: verifica della creazione di segreti e Fase 5: verifica della visualizzazione dei segreti. In un'altra finestra del browser, verifica che Nikhil possa creare segreti solo per il team di ingegneria di Centaur e che possa visualizzare tutti i segreti dei team di ingegneria.

6. Nella finestra principale del browser in cui hai effettuato l'accesso come amministratore, scegli l'utente access-Saanvi-uni-eng.

7. Nella scheda Autorizzazioni, rimuovi la politica delle access-assume-roleautorizzazioni.

8. Aggiungi la seguente policy inline denominata access-assume-specific-roles. Per ulteriori informazioni sull'aggiunta di una policy inline a un utente, consulta Per incorporare una policy inline per un utente o un ruolo (console).

   Policy ABAC: assunzione dei soli ruoli specifici

   Questa policy consente a Saanvi di assumere i ruoli ingegneristici per i progetti Pegasus e Centaur. È necessario creare questa policy personalizzata perché IAM non supporta tag multivalore. Non è possibile etichettare l'utente di Saanvi con access-project = peg e access-project = cen. Inoltre, il modello di AWS autorizzazione non può corrispondere a entrambi i valori. Per ulteriori informazioni, consulta Regole per l'etichettatura in IAM e AWS STS. È invece necessario specificare manualmente i due ruoli che può assumere.

   Per utilizzare questa policy, sostituisci il testo segnaposto in corsivo con le tue informazioni.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeSpecificRoles",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": [
                   "arn:aws:iam::account-ID-without-hyphens:role/access-peg-engineering",
                   "arn:aws:iam::account-ID-without-hyphens:role/access-cen-engineering"
               ]
           }
       ]
   }

9. Utilizza le procedure in Fase 4: verifica della creazione di segreti e Fase 5: verifica della visualizzazione dei segreti. In un'altra finestra del browser, conferma che Saanvi possa assumere entrambi i ruoli. Verifica che sia in grado di creare segreti solo per i suoi progetto, team e centro di costo, a seconda dei tag del ruolo. Verifica anche che possa visualizzare i dettagli su eventuali segreti di proprietà del team di ingegneria, inclusi quelli che ha appena creato.

Per verificare l'aggiornamento e l'eliminazione di un segreto con e senza i tag richiesti

1. Accedi come uno dei seguenti utenti IAM:

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

   • access-Nikhil-cen-eng

2. Passa al ruolo corrispondente:

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-peg-quality-assurance

   • access-cen-engineering

   Per ulteriori informazioni sul cambio di ruolo in AWS Management Console, vedereCambio di un ruolo (console).

3. Per ogni ruolo, prova ad aggiornare la descrizione del segreto e quindi prova a eliminare i seguenti segreti. Per ulteriori informazioni, consulta Modifica di un segreto ed Eliminazione e ripristino di un segreto nella Guida per l'utente di AWS Secrets Manager .

   Comportamento di aggiornamento ed eliminazione dei segreti ABAC per ogni ruolo
   Nome ruolo	Nome segreto	Comportamento previsto
   access-peg-engineering	test-access-peg-eng	Consentito
   	test-access-uni-eng	Negato
   	test-access-uni-qas	Negato
   access-peg-quality-assurance	test-access-peg-qas	Consentito
   	test-access-uni-eng	Negato
   access-uni-engineering	test-access-uni-eng	Consentito
   	test-access-uni-qas	Negato
   access-peg-quality-assurance	test-access-uni-qas	Consentito