Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo dell'accesso alla console con policy basate sulle risorse e policy di controllo delle risorse

AWS Sign-In supporta politiche basate sulle risorse e politiche di controllo delle risorse (RCP) per controllare l'accesso a. AWS Sign-In Utilizza queste politiche per verificare l'identità dell'utente e la posizione della rete durante Console di gestione AWS l'accesso, prima, durante e dopo l'autenticazione. Per gli utenti root, queste politiche convalidano la posizione della rete e l'identità dell'utente prima che inizi la raccolta delle credenziali. Le credenziali possono essere inserite solo quando l'accesso proviene dalle reti previste.

AWS Sign-In politiche basate sulle risorse:

Politiche di controllo delle risorse (RCP):

Entrambi i tipi di policy verificano l'accesso prima dell'autenticazione. Ciò impedisce ai principali di accedere alla pagina di accesso da reti impreviste.

Queste policy non sostituiscono le policy IAM basate sull'identità, che continuano ad applicarsi.

AWS Sign-In le politiche e gli RCP basati sulle risorse si applicano ai seguenti metodi di autenticazione:

Questi controlli non si applicano all'accesso programmatico tramite chiavi di accesso (AWS SDK o chiamate API firmate con Sigv4).

In che modo AWS Sign-In valuta le politiche basate sulle risorse

AWS Sign-In valuta le politiche basate sulle risorse o le politiche di controllo delle risorse (RCP) applicabili in due punti durante l'accesso alla console: prima dell'autenticazione (fase di preautenticazione) e dopo l'avvenuta autenticazione (fase di post-autenticazione). Ogni valutazione verifica le chiavi di condizione definite nella policy. Le chiavi disponibili dipendono dalla fase e dall'azione. Per informazioni dettagliate, vedi Chiavi di condizione supportate.

Dopo l'autenticazione, la valutazione considera anche le politiche basate sull'identità del committente. Una policy IAM che nega l'azione di accesso pertinente può impedire la concessione della sessione della console, anche quando le condizioni di rete sono soddisfatte.

Azioni supportate

AWS Sign-In le politiche relative alle risorse (policy basate sulle risorse e RCP) supportano le seguenti azioni:

Chiavi di condizione supportate

AWS Sign-In supporta le seguenti chiavi di condizione nelle politiche basate sulle risorse e nelle politiche di controllo delle risorse (RCP). Usa questi tasti per controllare l'accesso alla console in base alla posizione della rete e all'identità principale:

Per le regole di utilizzo dettagliate, la compatibilità degli operatori, le restrizioni sulle combinazioni e la matrice di disponibilità per azione, vedereAWS Sign-In riferimento alle chiavi di condizione.

Guida introduttiva al controllo degli accessi alla console utilizzando le policy relative alle risorse

Prerequisiti

Specifica --region us-east-1 per tutte le operazioni di scrittura sulle policy. AWS Sign-In AWS replica le politiche a livello globale da questa regione. Le operazioni di lettura possono essere indirizzate a qualsiasi regione.

Passaggio 1: creare dichiarazioni di autorizzazione delle risorse

Crea dichiarazioni di autorizzazione che definiscono i tuoi controlli di accesso. Tutte le operazioni di scrittura richiedono --region us-east-1 (il AWS Sign-In servizio accetta modifiche alle politiche solo in questa regione). I parametri rimanenti (--source-vpc--source-ip,--requested-region,,--excluded-principal) definiscono le condizioni della politica. Ad esempio, --requested-region us-west-2 aggiunge una condizione che limita l'accesso all'endpoint di accesso regionale us-west-2.

Esempio: limitare l'accesso al VPC aziendale:

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

Esempio: limitare l'accesso a un intervallo IP specifico:

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

Passaggio 2: abilitare la configurazione dell'autorizzazione della console

Il passaggio successivo attiva l'applicazione delle policy per il processo di accesso alla console sull'account o sull'organizzazione. Le dichiarazioni di autorizzazione delle risorse possono essere create in qualsiasi momento, ma non vengono valutate finché non viene abilitata l'autorizzazione della console.

Per gli account autonomi:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Per le organizzazioni AWS:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

Verifica la configurazione:

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

Elimina la configurazione di autorizzazione della console:

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

Passaggio 3: verifica la tua politica

Elenca tutte le dichiarazioni di autorizzazione:

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

Recupera la politica consolidata completa:

aws signin get-resource-policy \
  --region <your-region>

Il get-resource-policy comando restituisce la policy completa basata sulle risorse composta da tutte le dichiarazioni di autorizzazione. Rivedi questa politica per confermare che rifletta i controlli di accesso previsti prima di testare l'accesso alla console.

Disponibilità regionale

Le API di autorizzazione della console sono disponibili in tutte le regioni AWS commerciali. Puoi chiamare queste API da qualsiasi regione in cui operi.

Comprensione della struttura delle politiche

AWS Sign-In le policy contengono due dichiarazioni che proteggono le diverse fasi del flusso di accesso alla console:

Entrambe le istruzioni sono obbligatorie perché l'accesso alla console utilizza OAuth 2.0, che esegue tutte e tre le azioni in sequenza. Una policy con una sola dichiarazione lascia l'altra fase non protetta. signin:PrincipalArnsupporta i tipi di utente root, utente IAM e ruolo principale. aws:PrincipalArnsupporta tutti i tipi principali (utente root, utente IAM, utente federato, ruolo).

Esempi di policy

Esempio 1: RCP con perimetro di rete e principali esclusi

La seguente policy di controllo delle risorse (RCP) nega Console di gestione AWS l'accesso dall'esterno della rete aziendale a tutti gli account dell'organizzazione. I committenti designati esclusi sono esentati dall'accesso di emergenza. Poiché gli ID VPC sono univoci solo all'interno di una regione, la politica include una terza dichiarazione che collega VPC-based l'accesso alla regione prevista.

La EnforceNetworkPerimeterPreAuth dichiarazione viene utilizzata signin:PrincipalArn per esentare i committenti esclusi durante la fase di preautenticazione. La EnforceNetworkPerimeterPostAuth dichiarazione viene utilizzata aws:PrincipalArn per esentare i committenti esclusi dopo l'autenticazione. L'EnforceSourceVPCRegionistruzione garantisce che la regione richiesta corrisponda alla regione VPC, limitando l'accesso alla regione prevista per il VPC specificato.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

Questa politica:

Esempio 2: Resource-based politica di IP-based accesso con principale escluso

La seguente politica basata sulle risorse nega l'accesso alla console a tutti i principali che effettuano richieste al di fuori dell'intervallo IP specificato, con l'esenzione dell'utente principale escluso. La policy contiene due dichiarazioni: una dichiarazione di preautenticazione che utilizza la signin:PrincipalArn chiave specifica del servizio e una dichiarazione di post-autenticazione che utilizza la chiave globale. aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

Questa politica:

Best practice

Configura i principali esclusi per l'accesso al ripristino di emergenza

AWS consiglia di configurare almeno un utente escluso prima di applicare le politiche di autorizzazione della console in produzione. Nella fase di preautenticazione, la chiave signin:PrincipalArn condizionale esonera gli utenti root, gli utenti IAM e i responsabili dei ruoli. Nella fase successiva all'autenticazione, la chiave aws:PrincipalArn condizionale esenta tutti i tipi principali (utente root, utente IAM, utente federato, ruolo).

I principali esclusi sono facoltativi, ma la loro omissione aumenta il rischio di blocco dell'account se le condizioni di rete cambiano inaspettatamente o se le politiche non sono configurate correttamente.

Passaggi di configurazione consigliati per i principali esclusi:

Mantieni i percorsi di accesso al ripristino

Oltre al principale escluso descritto sopra, assicurati che siano disponibili metodi di accesso alternativi nel caso in cui le politiche di autorizzazione della console blocchino l'accesso in modo imprevisto:

Esegui il test prima della distribuzione in produzione

AWS consiglia di non applicare RCP restrittivi alla radice dell'organizzazione senza aver testato a fondo l'impatto che la politica ha sugli account. Invece, crea un'unità organizzativa in cui puoi spostare i tuoi account uno alla volta, o almeno in piccoli numeri, per assicurarti di non bloccare inavvertitamente gli utenti dagli account principali.

Flusso di lavoro di test:

Progetta con un sistema di difesa approfondito

Utilizza politiche AWS Sign-In basate sulle risorse e politiche di controllo delle risorse come un livello all'interno di una strategia di sicurezza più ampia. AWS Sign-In le policy limitano l'accesso alla console in base alla posizione della rete e all'identità principale. Combinale con altri tipi di policy per creare controlli di accesso completi:

Monitora e verifica continuamente

AWS CloudTrail registra automaticamente tutte le valutazioni delle AWS Sign-In politiche e le modifiche alla configurazione. Visualizza questi eventi nella cronologia degli CloudTrail eventi per un massimo di 90 giorni. Per una conservazione più lunga, distribuisci gli eventi ad Amazon S3 creando un percorso (vedi Creazione di un percorso). Per ricevere avvisi in tempo reale, crea EventBridge regole Amazon che corrispondano AWS Sign-In agli eventi, configura il percorso per inviarlo a un gruppo di CloudWatch log di Logs per gli allarmi basati su filtri metrici o inoltra gli eventi alla tua soluzione SIEM esistente.

Casi d’uso

Risoluzione dei problemi relativi al controllo degli accessi alla console

Non riesco ad accedere a causa delle condizioni della rete nelle politiche basate sulle Sign-in risorse

Quando l'accesso viene negato da una policy, potresti visualizzare uno dei seguenti messaggi di errore: AWS Sign-In

Se riscontri uno di questi errori e ritieni che l'accesso debba essere consentito, contatta l'amministratore AWS . Possono esaminare CloudTrail i registri ConsoleLogin degli eventi con errorMessage «Autorizzazione negata a causa di una politica basata sulle risorse» o «Autorizzazione negata a causa di una politica di controllo delle risorse» per identificare quale dichiarazione politica ha negato l'accesso.

Possibili cause:

Risoluzione:

Utenti del portale IAM Identity Center: l'accesso alla console tramite il portale IAM Identity Center non è attualmente compatibile con AWS Sign-In le policy che limitano l'accesso in base alle chiavi di condizione della rete. Per ripristinare l'accesso degli utenti negli utenti di IAM Identity Center, rimuovi o modifica le chiavi di condizione basate sulla rete nella tua policy o ordina a tali utenti di accedere tramite un metodo di autenticazione alternativo.

Per gli amministratori che diagnosticano questo problema:

Dopo aver abilitato l'autorizzazione della console, non posso accedere al mio account

Se hai configurato l'autorizzazione della console e non riesci più ad accedere al tuo account, potresti non aver configurato i principali esclusi prima di applicare la policy.

Esistono diversi percorsi per riottenere l'accesso, a seconda del tipo di account e delle credenziali disponibili.

Opzione 1: utilizza l'accesso programmatico (AWS CLI o SDK)

Le politiche di autorizzazione della console si applicano solo all'accesso interattivo alla console. Non si applicano alle richieste API firmate con SIGv4. Se disponi di un accesso programmatico (ad esempio, chiavi di accesso esistenti, un ruolo tra account), utilizzalo per richiamare signin:DeleteConsoleAuthorizationConfiguration e rimuovere la politica di restrizione. Le credenziali utilizzate devono disporre dell'autorizzazione alla chiamata. signin:DeleteConsoleAuthorizationConfiguration La policy AWSSignInResourcePolicyManagement gestita include questa autorizzazione. AWS consiglia credenziali temporanee rispetto alle chiavi di accesso utente IAM a lungo termine. Per gli account dei membri, gli amministratori degli account di gestione possono utilizzare OrganizationAccountAccessRole l'account membro per ottenere credenziali temporanee. Questo ruolo non viene creato automaticamente negli account che sono stati invitati a entrare a far parte dell'organizzazione.

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Oppure elimina le dichiarazioni di autorizzazione specifiche:

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

Opzione 2: contatta l' AWS assistenza

Se non disponi dell'accesso programmatico e non puoi utilizzare l'accesso all'account, contatta l' AWS assistenza OrganizationAccountAccessRole per avviare il processo di ripristino del blocco.

Il processo di ripristino funziona come segue:

Il link al portale di ripristino scade 72 ore dopo che Support lo condivide. AWS Se non completi il ripristino entro tale finestra, contatta l' AWS assistenza per riavviare il processo.

Dopo aver riottenuto l'accesso:

Le modifiche che apporto non sono sempre immediatamente visibili

Le modifiche alle policy vengono replicate a livello globale, ma la replica può richiedere alcuni minuti.

Risoluzione:

aws signin get-resource-policy --region <your-region>

Problemi comuni di replica delle policy: