Condizioni opzionali per il tuo ruolo: relazioni di fiducia

Per aggiungere ulteriori livelli di sicurezza al tuo ambiente AWS Control Tower, puoi imporre condizioni nelle politiche di fiducia dei ruoli, per limitare gli account e le risorse che interagiscono con determinati ruoli in AWS Control Tower. Ad esempio, puoi limitare ulteriormente l'accesso al AWSControlTowerAdmin ruolo, perché consente ampie autorizzazioni di accesso.

Per impedire a un autore di minacce di accedere alle tue risorse, modifica manualmente la tua policy di fiducia di AWS Control Tower per aggiungerne almeno una aws:SourceArn o una aws:SourceAccount condizionale alla dichiarazione della politica. Come best practice di sicurezza aggiuntiva, puoi aggiungere la aws:SourceArn condizione, perché è più aws:SourceAccount specifica della limitazione dell'accesso a un account specifico e a una risorsa specifica.

Se non conosci l'ARN completo della risorsa o se stai specificando più risorse, puoi utilizzare la aws:SourceArn condizione con caratteri jolly (*) per le parti sconosciute dell'ARN. Ad esempio, arn:aws:controltower:*:123456789012:* funziona se non desideri specificare una regione.

L'esempio seguente dimostra l'uso della condizione aws:SourceArn IAM con le policy di fiducia dei ruoli IAM. Aggiungi la condizione nella relazione di fiducia per il AWSControlTowerAdmin ruolo, perché il principale del servizio AWS Control Tower interagisce con esso.

Come mostrato nell'esempio, l'ARN di origine è nel formato: arn:aws:controltower:${HOME_REGION}:${CUSTOMER_AWSACCOUNT_id}:*

Sostituisci le stringhe ${HOME_REGION} ${CUSTOMER_AWSACCOUNT_id} con la tua regione di residenza e l'ID dell'account chiamante.

Nell'esempio, l'ARN di origine designato come arn:aws:controltower:us-west-2:012345678901:* è l'unico ARN autorizzato a eseguire l'azione. sts:AssumeRole In altre parole, solo gli utenti che possono accedere all'ID dell'account012345678901, nella us-west-2 regione, sono autorizzati a eseguire azioni che richiedono questo ruolo specifico e la relazione di fiducia per il servizio AWS Control Tower, designato come. controltower.amazonaws.com

L'esempio successivo mostra le aws:SourceArn condizioni aws:SourceAccount e applicate alla politica di fiducia dei ruoli.

L'esempio illustra la dichiarazione della aws:SourceArn condizione, con un'istruzione di aws:SourceAccount condizione aggiunta. Per ulteriori informazioni, consulta Impedisci l'impersonificazione tra servizi.

Per informazioni generali sulle politiche di autorizzazione in AWS Control Tower, consultaGestisci l'accesso alle risorse.

Raccomandazioni:

Ti consigliamo di aggiungere condizioni ai ruoli creati da AWS Control Tower, poiché tali ruoli vengono assunti direttamente da altri servizi AWS. Per ulteriori informazioni, consulta l'esempio AWSControlTowerAdmin mostrato in precedenza in questa sezione. Per il ruolo di AWS Config registratore, consigliamo di aggiungere la aws:SourceArn condizione, specificando l'ARN del registratore di configurazione come ARN di origine consentito.

Per ruoli simili AWSControlTowerExecution o per gli altri ruoli programmatici che possono essere assunti dall'account AWS Control Tower Audit in tutti gli account gestiti, consigliamo di aggiungere la aws:PrincipalOrgID condizione alla policy di fiducia per questi ruoli, che convalida che il principale che accede alla risorsa appartiene a un account dell'organizzazione corretta. AWS Non aggiungere la dichiarazione della aws:SourceArn condizione, perché non funzionerà come previsto.