Tutorial do IAM: Definir permissões para acessar recursos da AWS com base em etiquetas

1. Crie a seguinte política gerenciada pelo cliente chamada access-assume-role. Para obter mais informações sobre como criar uma política JSON, consulte Criação de políticas do IAM.

   Política de ABAC: assumir qualquer função de ABAC, mas somente quando as tags da função e do usuário forem correspondentes

   A política a seguir permite que um usuário assuma qualquer função em sua conta com o prefixo de nome access-. A função também deve ser marcada com as mesmas tags de projeto, equipe e centro de custos que o usuário.

   Para usar esta política, substitua o texto do espaço reservado em itálico pelas informações da conta.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeRole",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::account-ID-without-hyphens:role/access-*",
               "Condition": {
                   "StringEquals": {
                       "iam:ResourceTag/access-project": "${aws:PrincipalTag/access-project}",
                       "iam:ResourceTag/access-team": "${aws:PrincipalTag/access-team}",
                       "iam:ResourceTag/cost-center": "${aws:PrincipalTag/cost-center}"
                   }
               }
           }
       ]
   }

   Para dimensionar este tutorial para um grande número de usuários, é possível anexar a política a um grupo e adicionar cada usuário ao grupo. Para ter mais informações, consulte Criar grupos de usuários do IAM e Editar usuários em grupos de usuários do IAM.

2. Crie os usuários do IAM a seguir e anexe a política de permissões access-assume-role. Certifique-se de selecionar Fornecer ao usuário acesso ao AWS Management Console e depois adicione as seguintes tags.

   Nome do usuário	Chave de tag de usuário	Valor de tag de usuário
   access-Arnav-peg-eng	access-project access-team cost-center	peg eng 987654
   access-Mary-peg-qas	access-project access-team cost-center	peg qas 987654
   access-Saanvi-uni-eng	access-project access-team cost-center	uni eng 123456
   access-Carlos-uni-qas	access-project access-team cost-center	uni qas 123456

Como testar a criação de um segredo com e sem as tags necessárias

1. Na janela principal do navegador, permaneça conectado como usuário administrador para que seja possível revisar usuários, funções e políticas no IAM. Use uma janela incognito do navegador ou um navegador separado para seus testes. Lá, faça login como o usuário do IAM access-Arnav-peg-eng e abra o console do Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

2. Tente alternar para a função access-uni-engineering.

   Ocorrerá falha nessa operação porque os valores de tag access-project e cost-center não são correspondentes para o usuário access-Arnav-peg-eng e a função access-uni-engineering.

   Para obter mais informações sobre alternância de perfis no AWS Management Console, consulte Mudar de um usuário para um perfil do IAM (console)

3. Alterne para a função access-peg-engineering.

4. Armazene um novo segredo usando as seguintes informações. Para saber como armazenar um segredo, consulte Criar um segredo básico no Guia do usuário do AWS Secrets Manager.

   Importante

   O Secrets Manager exibe alertas de que você não tem permissões para os serviços adicionais da AWS que funcionam com o Secrets Manager. Por exemplo, para criar credenciais para um banco de dados do Amazon RDS, é necessário ter permissão para descrever instâncias do RDS, clusters do RDS e clusters do Amazon Redshift. Você pode ignorar esses alertas, pois não vai usar esses serviços específicos da AWS neste tutorial.

   1. Na seção Select secret type (Selecionar tipo de segredo), escolha Other type of secrets (Outros tipos de segredos). Nas duas caixas de texto, insira test-access-key e test-access-secret.

   2. Insira test-access-peg-eng no campo Secret name (Nome do segredo).

   3. Adicione diferentes combinações de tags da tabela a seguir e visualize o comportamento esperado.

   4. Escolha Store (Armazenar) para tentar criar o segredo. Quando o armazenamento falhar, volte para as páginas anteriores do console do Secrets Manager e use o próximo conjunto de etiquetas da tabela a seguir. O último conjunto de tags é permitido e criará o segredo com êxito.

   A tabela a seguir mostra as combinações de tags de ABAC para o perfil test-access-peg-eng.

   Valor da tag access-project	Valor da tag access-team	Valor da tag cost-center	Tags adicionais	Comportamento esperado
   (none)	(none)	(none)	(none)	Negado porque o valor da tag access-project não é correspondente ao valor do perfil de peg.
   uni	eng	987654	(none)	Negado porque o valor da tag access-project não é correspondente ao valor do perfil de peg.
   peg	qas	987654	(none)	Negado porque o valor da tag access-team não é correspondente ao valor do perfil de eng.
   peg	eng	123456	(none)	Negado porque o valor da tag cost-center não é correspondente ao valor do perfil de 987654.
   peg	eng	987654	Proprietário= Jane	Negado porque a tag adicional owner não é permitida pela política, mesmo que todas as três tags necessárias estejam presentes e seus valores correspondam aos valores da função.
   peg	eng	987654	Nome = Jane	Permitido porque todas as três tags necessárias estão presentes e seus valores são correspondentes aos valores da função. Você também tem permissão para incluir a tag opcional Name.

5. Saia e repita as três primeiras etapas deste procedimento para cada um dos valores de função e de tag a seguir. Na quarta etapa deste procedimento, teste qualquer conjunto de tags ausentes, tags opcionais, tags não permitidas e valores de tags inválidos que você escolher. Depois disso, use as tags necessárias para criar um segredo com as tags e o nome a seguir.

   Nome do usuário	Nome do perfil	Nome de segredo	Tags de segredo
   access-Mary-peg-qas	access-peg-quality-assurance	test-access-peg-qas	access-project = peg access-team = qas cost-center = 987654
   access-Saanvi-uni-eng	access-uni-engineering	test-access-uni-eng	access-project = uni access-team = eng cost-center = 123456
   access-Carlos-uni-qas	access-uni-quality-assurance	test-access-uni-qas	access-project = uni access-team = qas cost-center = 123456

Como testar a visualização de um segredo com e sem as tags necessárias

1. Faça login como um dos seguintes usuários do IAM:

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

2. Alterne para a função correspondente:

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-uni-quality-assurance

   Para obter mais informações sobre como alternar funções no AWS Management Console, consulte Mudar de um usuário para um perfil do IAM (console).

3. No painel de navegação à esquerda, escolha o ícone do menu para expandir o menu e escolha Secrets (Segredos).

4. Você deve ver todos os quatro segredos na tabela, independentemente da sua função atual. Isso é esperado porque a política chamada access-same-project-team permite a ação secretsmanager:ListSecrets para todos os recursos.

5. Escolha o nome de um dos segredos.

6. Na página de detalhes do segredo, as tags da função determinam se é possível visualizar o conteúdo da página. Compare o nome da função com o nome do segredo. Se eles compartilharem o mesmo nome de equipe, as tags access-team serão correspondentes. Se elas não forem correspondentes, o acesso será negado.

   A tabela a seguir mostra o comportamento de visualização de segredo do ABAC para cada perfil.

   Nome do perfil	Nome de segredo	Comportamento esperado
   access-peg-engineering	test-access-peg-eng	Permitido
   	test-access-peg-qas	Negado
   	test-access-uni-eng	Permitido
   	test-access-uni-qas	Negado
   access-peg-quality-assurance	test-access-peg-eng	Negado
   	test-access-peg-qas	Permitido
   	test-access-uni-eng	Negado
   	test-access-uni-qas	Permitido
   access-uni-engineering	test-access-peg-eng	Permitido
   	test-access-peg-qas	Negado
   	test-access-uni-eng	Permitido
   	test-access-uni-qas	Negado
   access-uni-quality-assurance	test-access-peg-eng	Negado
   	test-access-peg-qas	Permitido
   	test-access-uni-eng	Negado
   	test-access-uni-qas	Permitido

7. Na trilha de navegação na parte superior da página, escolha Secrets (Segredos) para retornar à lista de segredos. Repita as etapas neste procedimento usando funções diferentes para testar se é possível visualizar cada um dos segredos.

Como adicionar o novo projeto à AWS

1. Faça login como usuário administrador do IAM e abra o console do IAM em https://console.aws.amazon.com/iam/.

2. No painel de navegação à esquerda, escolha Roles (Funções) e adicione uma função do IAM chamada access-cen-engineering. Anexe a política de permissões access-same-project-team ao perfil e adicione as seguintes tags de perfil:

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

3. No painel de navegação à esquerda, escolha Uses (Usuários).

4. Adicione um novo usuário denominado access-Nikhil-cen-eng, anexe a política denominada access-assume-role e adicione as seguintes tags de usuário.

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

5. Use os procedimentos em Etapa 4: Testar a criação de segredos e Etapa 5: Testar a visualização de segredos. Em outra janela do navegador, teste se Nikhil pode criar apenas segredos de engenharia do Centaur e se ele pode visualizar todos os segredos de engenharia.

6. Na janela principal do navegador em que você fez login como administrador, escolha o usuário access-Saanvi-uni-eng.

7. Na guia Permissions (Permissões), remova a política de permissões access-assume-role.

8. Adicione a seguinte política em linha chamada access-assume-specific-roles. Para obter mais informações sobre como adicionar uma política em linha a um usuário, consulte Para incorporar uma política em linha de um usuário ou uma função (console).

   Política de ABAC: assumir apenas funções específicas

   Essa política permite que Saanvi assuma os perfis de engenharia nos projetos Pegasus e Centaur. É necessário criar essa política personalizada porque o IAM não oferece suporte a etiquetas de vários valores. Não é possível marcar o usuário de Saanvi com access-project = peg e access-project = cen. Além disso, o modelo de autorização da AWS não pode ser correspondente a ambos os valores. Para ter mais informações, consulte Regras para etiquetar no IAM e no AWS STS. Em vez disso, é necessário especificar manualmente as duas funções que ela pode assumir.

   Para usar esta política, substitua o texto do espaço reservado em itálico pelas informações da conta.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeSpecificRoles",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": [
                   "arn:aws:iam::account-ID-without-hyphens:role/access-peg-engineering",
                   "arn:aws:iam::account-ID-without-hyphens:role/access-cen-engineering"
               ]
           }
       ]
   }

9. Use os procedimentos em Etapa 4: Testar a criação de segredos e Etapa 5: Testar a visualização de segredos. Em outra janela do navegador, verifique se Saanvi pode assumir ambas as funções. Verifique se ela pode criar segredos apenas para seu projeto, equipe e centro de custos, dependendo das tags da função. Verifique também que ela pode visualizar detalhes sobre todos os segredos de propriedade da equipe de engenharia, incluindo os que ela acabou de criar.

Como testar a atualização e a exclusão de um segredo com e sem as tags necessárias

1. Faça login como um dos seguintes usuários do IAM:

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

   • access-Nikhil-cen-eng

2. Alterne para a função correspondente:

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-peg-quality-assurance

   • access-cen-engineering

   Para obter mais informações sobre como alternar funções no AWS Management Console, consulte Mudar de um usuário para um perfil do IAM (console).

3. Para cada função, tente atualizar a descrição do segredo e tente excluir os segredos a seguir. Para obter mais informações, consulte Modificar um segredo e Excluir e restaurar um segredo no Guia do usuário do AWS Secrets Manager.

   A tabela a seguir mostra a atualização e exclusão de segredos de ABAC para cada perfil.

   Nome do perfil	Nome de segredo	Comportamento esperado
   access-peg-engineering	test-access-peg-eng	Permitido
   	test-access-uni-eng	Negado
   	test-access-uni-qas	Negado
   access-peg-quality-assurance	test-access-peg-qas	Permitido
   	test-access-uni-eng	Negado
   access-uni-engineering	test-access-uni-eng	Permitido
   	test-access-uni-qas	Negado
   access-peg-quality-assurance	test-access-uni-qas	Permitido