Wie schränkt man AWS-Umgebungen mit AWS Policies und IAM Roles ein?

Cloud Computing hat die Art und Weise revolutioniert, wie Organisationen ihre Daten speichern, verwalten und verarbeiten. Um Sicherheitsrisiken wie unbefugten Zugriff, Datenlecks und andere Sicherheitsbedrohungen zu minimieren, ist es jedoch entscheidend, starke Sicherheitsmaßnahmen zu implementieren.

AWS Policies und IAM Roles (Identity and Access Management) gehören zu den leistungsstärksten Werkzeugen, die Organisationen zur Absicherung ihrer Cloud-Umgebungen nutzen können.

Um eine AWS-Umgebung einzuschränken, müssen Sie den Zugriff in AWS kontrollieren, indem Sie verschiedene Arten von Policy erstellen und diese an IAM-Identitäten oder AWS-Ressourcen anhängen.

In diesem Blogbeitrag besprechen wir im Detail, was AWS Policies und IAM Roles sind, welche Vorteile sie bieten und wie man sie einrichtet, um den Zugriff auf Ihre Cloud-Ressourcen einzuschränken.

Ihre Lektüre zusammengefasst:

1.Was sind AWS Policies?-** Arten von Policy**-** Beispiel für eine AWS Policy**

2.Was ist IAM?-** Vorteile der Nutzung von IAM:**

3.AWS Usage Policies:-** Beispiel für eine AWS Usage Policy:- Wie wendet man die Usage Policy an?**

4.Wie wendet man AWS Policies und IAM Roles im CloudLabs Portal an, um die Umgebung einzuschränken?

5.Fazit

Was sind AWS Policies?

AWS Policies sind Objekte, die Berechtigungen für Entitäten oder Ressourcen definieren, sobald sie mit ihnen verknüpft sind. Wenn ein IAM-Principal, wie z. B. ein Benutzer, eine Anfrage stellt, analysiert AWS diese Policy. Die Entscheidung, eine Anfrage zu genehmigen oder abzulehnen, basiert auf den in den Policy festgelegten Berechtigungen, die üblicherweise als JSON-Dateien in AWS gespeichert werden.

Arten von Policy:

• Identity-Based Policies
• Resource Based Policies

Beispiel für eine AWS Policy:

https://spektra-bucket.s3.us-west-2.amazonaws.com/AWS_EC2_Policy_NEW.json

Was ist IAM?

AWS Identity and Access Management (IAM) ist ein Webservice, der die sichere Verwaltung des Zugriffs auf AWS-Ressourcen ermöglicht. Er ermöglicht die Verwaltung von Authentifizierung (Anmeldung) und Autorisierung (Berechtigungen) für Ressourcen und bestimmt, wer Zugriff auf sie hat.

Vorteile der Nutzung von IAM:

• Gemeinsamer Zugriff auf Ihr AWS-Konto
• Granulare Berechtigungen
• Sicherer Zugriff auf AWS-Ressourcen für Anwendungen, die auf Amazon EC2 laufen
• Identitätsföderation
• PCI-DSS-Konformität
• Integration mit vielen AWS-Diensten
• Letztendlich konsistent (Eventually Consistent)
• Kostenlos nutzbar

AWS Usage Policies:

Die Usage Policy dreht sich um die folgenden AWS-Ressourcen:

• EC2 (Elastic compute cloud)
• RDS (Relational Database Service)
• ECS (Elastic Container Service)

Zum Beispiel:

Sie haben eine Policy vorbereitet, in der der zulässige Wert für EC2 auf 20 vCPU Cores festgelegt ist. Nun haben wir zwei Benutzer – User01 und User02 –, die dasselbe Lab durchführen. User01 erstellt eine EC2-Instanz, die 4 vCPU Cores nutzt, und User02 erstellt eine EC2, die 24 Cores nutzt.

Hier ergeben sich für beide Benutzer zwei unterschiedliche Fälle:

• Fall 1: User01 mit 4 Cores liegt innerhalb des zulässigen Werts und verstößt nicht gegen die Usage Policy.
• Fall 2: User02 mit 24 Cores überschreitet den zulässigen Wert, wodurch die Usage Policy verletzt wird.
• Sobald die Policy verletzt wird, werden Sie per E-Mail benachrichtigt.
• Um die Benachrichtigungs-E-Mails zu erhalten, kann eine Person/ein Team beim Einrichten des Labs ihre/seine E-Mail-Adresse angeben.

Beispiel für eine AWS Usage Policy:

https://spektra-bucket.s3-us-west-2.amazonaws.com/AWS-UsagePolicy.json

Beispielbenachrichtigung:

Wie wendet man die Usage Policy auf das CloudLabs Portal an?

Die Usage Policy kann beim Hinzufügen der CloudLabs Template zum CloudLabs Portal mit folgenden Schritten angewendet werden:

Schritt 1: Öffnen Sie admin.cloudlabs.ai in Ihrem Browser und klicken Sie auf die Schaltfläche Login.

Schritt 2: Melden Sie sich mit Work or School Account an, indem Sie auf die Schaltfläche klicken.

Schritt 3: Wenn Sie auf die Schaltfläche Work or School Account klicken, müssen Sie Ihre Login Credentials eingeben und dann auf die Schaltfläche Next klicken, um fortzufahren.

Schritt 4: Geben Sie Ihr Password ein und klicken Sie dann auf Sign in, nachdem Sie Ihr Password im Feld eingegeben haben.

Nach erfolgreicher Anmeldung werden Sie zur CloudLabs Portal Homepage weitergeleitet.

Schritt 5: Um nun die CloudLabs Template hinzuzufügen, klicken Sie auf Templates.

Schritt 6: Navigieren Sie zum Template-Dashboard, scrollen Sie nach unten und füllen Sie dann die Option des Reiters Usage Policy URL aus. Sie müssen die URL der von Ihnen erstellten Usage Policy hinzufügen.

Klicken Sie dann auf Submit, und sie wird gespeichert.

Wie wendet man AWS Policies und IAM Roles im CloudLabs Portal an, um die Umgebung einzuschränken?

Die Zuweisung von Roles an Benutzer und Gruppen ist notwendig, um Zugriff auf einen bestimmten Umfang zu gewähren. Durch die Nutzung von Template-Berechtigungen können Sie den Zugriff auf AWS-Ressourcen verwalten, die Aktionen festlegen, die mit ihnen durchgeführt werden können, und bestimmen, auf welche Bereiche Benutzer und Gruppen zugreifen können.

Zuweisen von Berechtigungen für die CloudLabs Template:

Schritt 1: Die Policy sollte bereitliegen, bevor Sie zum CloudLabs Portal wechseln, um sie anzuwenden.

Schritt 2: Navigieren Sie zu https://admin.cloudlabs.ai/ und klicken Sie dann auf Login.

Schritt 3: Wählen Sie bei entsprechender Aufforderung eine der unterstützten Anmeldeoptionen aus.

Weitere Details zu den Anmeldeoptionen finden Sie im folgenden Dokument (Access CloudLabs Admin Center | CloudLabs Documentation)

Schritt 4: Klicken Sie nach erfolgreicher Anmeldung auf Templates (1). Wählen Sie die Template aus, für die Sie die Policy konfigurieren möchten, und klicken Sie auf die Schaltfläche zum Bearbeiten im Actions Pane der jeweiligen Template.

Schritt 5: Stellen Sie sicher, dass Sie Amazon Web Services als Ihre Cloud-Plattform verwenden.

Schritt 6: Nachdem Sie auf die Schaltfläche edit geklickt haben, gelangen Sie auf die Seite Edit Template. Scrollen Sie nach unten und suchen Sie nach ADD TEMPLATE PERMISSIONS. Klicken Sie dann auf +ADD, um die Policies hinzuzufügen.

Schritt 7: Nachdem Sie auf die Schaltfläche +ADD geklickt haben, sehen Sie drei verschiedene Arten von IAM Policies.

• IAM Built-in Policy:

Eine IAM Built-in Policy bezeichnet eine eigenständige Policy, die von AWS erstellt und verwaltet wird, was bedeutet, dass sie über einen eigenen Amazon Resource Name (ARN) verfügt, der den Policy-Namen enthält. Diese Policies sind in sich geschlossen und werden von AWS verwaltet.

Zum Beispiel ist arn:aws:iam::aws:policy/IAMReadOnlyAccess eine von AWS verwaltete Policy. Diese Policies sind darauf ausgelegt, Berechtigungen für verschiedene gängige Anwendungsfälle bereitzustellen.

• IAM Custom Policy:

Custom-Managed Policies sind Policies, die unabhängig innerhalb des AWS-Kontos verwaltet werden können. Sie können über die AWS Management Console, die AWS CLI oder die AWS API im IAM-Dienst erstellt werden. Diese Policies sind für jedes Konto spezifisch und können verwendet werden, um IAM-Benutzern, -Gruppen oder -Roles Berechtigungen zu gewähren.

• IAM Instructor Access: Hier werden der Profile Type und die Permission automatisch ausgewählt.

Schritt 8: Je nach Anforderung müssen Sie, wenn Sie IAM Built-in Policy auswählen, den Profile Type wie Attendee, Instructor und Group Member auswählen. Danach müssen Sie die Permission auswählen, die Sie zuweisen möchten.

Es gibt drei verschiedene Arten von Berechtigungen – Power User Access, System Administrator und Administrator Access.

Schritt 9: Eine alternative Option besteht darin, die IAM Custom Policy zu wählen. Anschließend müssen Sie den Profile Type wählen und im Bereich Profile Data die URL der IAM Custom Policy eingeben. Konkret müssen Sie die URL des S3 Buckets eingeben, der mit dieser Custom Policy verknüpft ist.

Schritt 10: Sie können auch IAM Instructor Access auswählen. Hier werden der Profile Type und die Permission automatisch ausgewählt.

Schritt 11: Nach dem Anwenden der Policies werden die Template-Berechtigungen wie folgt angezeigt.

Fazit:

AWS Policies werden verwendet, um Berechtigungen zu definieren und den Zugriff auf AWS-Ressourcen wie EC2-Instanzen, S3-Buckets und RDS-Datenbanken einzuschränken, sodass nur autorisierte Benutzer Zugriff auf Cloud-Ressourcen haben und dieser Zugriff auf das erforderliche Berechtigungsniveau beschränkt ist.

Durch die Kombination von AWS Policies und IAM Roles kann man den Zugriff auf Cloud-Umgebungen effektiv einschränken und die Sicherheit der Cloud-Ressourcen gewährleisten.

In diesem Blogbeitrag haben wir die Grundlagen von AWS Policies und IAM Roles sowie deren Vorteile behandelt und eine Schritt-für-Schritt-Anleitung bereitgestellt, wie man sie einrichtet, um den Zugriff im CloudLabs Portal einzuschränken. Durch die Befolgung dieser Best Practices können Organisationen sicherstellen, dass ihre Cloud-Umgebungen geschützt bleiben.