Buat kebijakan persetujuan untuk node Anda

Kebijakan persetujuan menentukan persetujuan apa yang dibutuhkan pengguna untuk mengakses node. Karena akses node just-in-time menghilangkan kebutuhan akan izin jangka panjang ke node melalui kebijakan IAM, Anda harus membuat kebijakan persetujuan untuk mengizinkan akses ke node Anda. Jika tidak ada kebijakan persetujuan yang berlaku untuk node, pengguna tidak dapat meminta akses ke node.

Dalam akses node just-in-time, ada tiga jenis kebijakan. Jenis kebijakan adalah persetujuan otomatis, penolakan akses, dan persetujuan manual.

Just-in-time jenis kebijakan akses node

• Kebijakan persetujuan otomatis menentukan node mana yang dapat dihubungkan pengguna secara otomatis.

• Kebijakan persetujuan manual menentukan jumlah dan tingkat persetujuan manual yang harus diberikan untuk mengakses node yang Anda tentukan.

• Kebijakan penolakan akses secara eksplisit mencegah persetujuan otomatis permintaan akses ke node yang Anda tentukan.

Kebijakan penolakan akses berlaku untuk semua akun dalam suatu AWS Organizations organisasi. Misalnya, Anda dapat secara eksplisit menolak persetujuan otomatis untuk Intern grup ke node yang ditandai dengan kunci. Production Auto-approval dan kebijakan persetujuan manual hanya berlaku untuk Akun AWS dan di Wilayah AWS mana kebijakan tersebut dibuat. Setiap akun anggota di organisasi Anda mengelola kebijakan persetujuan mereka sendiri. Kebijakan persetujuan dievaluasi dalam urutan sebagai berikut:

1. Deny-access

2. Auto-approval

3. Manual

Meskipun Anda hanya dapat memiliki satu kebijakan penolakan akses per organisasi, dan satu kebijakan persetujuan otomatis per akun dan Wilayah, Anda mungkin akan memiliki beberapa kebijakan persetujuan manual di akun. Saat mengevaluasi kebijakan persetujuan manual, akses node just-in-time selalu mendukung kebijakan yang lebih spesifik untuk node. Kebijakan persetujuan manual dievaluasi dalam urutan sebagai berikut:

1. Tandai target spesifik

2. Semua target node

Misalnya, Anda memiliki node yang ditandai dengan Demo kunci. Di akun yang sama, Anda memiliki kebijakan persetujuan manual yang menargetkan semua node dan memerlukan satu persetujuan dari satu level. Anda juga memiliki kebijakan persetujuan manual yang memerlukan dua persetujuan dari dua tingkat untuk node yang ditandai dengan Demo kunci. System Manager menerapkan kebijakan yang menarget Demo kan tag ke node karena lebih spesifik daripada kebijakan yang menargetkan semua node. Ini memungkinkan Anda membuat kebijakan umum untuk semua node di akun Anda, memastikan pengguna dapat mengirimkan permintaan akses sekaligus memungkinkan Anda membuat kebijakan yang lebih terperinci sesuai kebutuhan.

Tergantung pada organisasi Anda, mungkin ada beberapa tag yang diterapkan ke node Anda. Dalam skenario ini, jika beberapa kebijakan persetujuan manual berlaku untuk node, permintaan akses gagal. Misalnya, sebuah node ditandai dengan Database kunci Production dan. Di akun yang sama, Anda memiliki kebijakan persetujuan manual yang berlaku untuk node yang ditandai dengan Production kunci dan kebijakan persetujuan manual lainnya yang berlaku untuk node yang ditandai dengan Database kunci tersebut. Hal ini mengakibatkan konflik untuk node yang ditandai dengan kunci dan permintaan akses gagal. Manajer Sistem mengarahkan pengguna ke permintaan yang gagal. Di sana, mereka dapat melihat detail tentang kebijakan dan tag yang saling bertentangan sehingga mereka dapat membuat penyesuaian yang diperlukan jika mereka memiliki izin yang diperlukan. Jika tidak, mereka dapat memberi tahu kolega di organisasi mereka dengan izin yang diperlukan untuk mengubah kebijakan. Konflik kebijakan yang mengakibatkan permintaan akses gagal memancarkan EventBridge peristiwa yang memungkinkan Anda fleksibel dalam membangun alur kerja respons Anda sendiri. Selain itu, Manajer Sistem mengirimkan pemberitahuan email untuk konflik kebijakan yang mengakibatkan permintaan akses gagal ke penerima yang Anda tentukan. Untuk informasi selengkapnya tentang mengonfigurasi notifikasi email untuk konflik kebijakan, lihatKonfigurasikan notifikasi untuk permintaan akses tepat waktu.

Dalam kebijakan pen olakan akses, Anda menggunakan bahasa kebijakan Cedar untuk menentukan node mana yang secara eksplisit tidak dapat terhubung secara otomatis pengguna di organisasi Anda. Kebijakan ini dibuat dan dibagikan dari akun administrator yang didelegasikan untuk organisasi Anda. Kebijakan penolakan akses menggantikan semua kebijakan persetujuan otomatis. Anda hanya dapat memiliki satu kebijakan penolakan akses per organisasi.

Dalam kebijakan persetujuan otomatis, Anda menggunakan bahasa kebijakan Cedar untuk menentukan pengguna mana yang dapat terhubung secara otomatis ke node yang ditentukan tanpa persetujuan manual. Durasi akses untuk permintaan akses yang disetujui secara otomatis adalah 1 jam. Nilai ini tidak dapat diubah. Anda hanya dapat memiliki satu kebijakan persetujuan otomatis per akun dan Wilayah.

Dalam kebijakan persetujuan manual, Anda menentukan durasi akses, berapa banyak tingkat persetujuan yang diperlukan, jumlah penyetujui yang diperlukan per level, dan node yang dapat mereka setujui permintaan akses just-in-time. Durasi akses untuk kebijakan persetujuan manual harus antara 1 dan 336 jam. Jika Anda menentukan beberapa tingkat persetujuan, persetujuan untuk permintaan akses diproses satu tingkat pada satu waktu. Ini berarti semua persetujuan yang Anda perlukan untuk satu level harus diberikan sebelum proses persetujuan pindah ke tingkat berikutnya. Jika Anda menentukan beberapa tag dalam kebijakan persetujuan manual, tag tersebut dievaluasi sebagai or pernyataan bukan and pernyataan. Misalnya, jika Anda membuat kebijakan persetujuan manual yang menyertakan tagApplication,, dan WebTest, kebijakan tersebut berlaku untuk setiap node yang diberi tag dengan salah satu kunci tersebut. Kebijakan ini tidak hanya berlaku untuk node yang diberi tag dengan ketiga kunci tersebut.

Sebaiknya gunakan kombinasi kebijakan manual dengan kebijakan persetujuan otomatis untuk membantu Anda mengamankan node dengan data yang lebih penting sekaligus memungkinkan pengguna terhubung ke node yang kurang penting tanpa intervensi. Misalnya, Anda dapat meminta persetujuan manual untuk permintaan akses ke node database, dan sesi persetujuan otomatis ke node tingkat presentasi yang tidak persisten.

Prosedur berikut menjelaskan cara membuat kebijakan persetujuan untuk akses node just-in-time.

Topik

• Buat kebijakan persetujuan manual untuk akses node just-in-time

• Struktur pernyataan dan operator bawaan untuk kebijakan persetujuan otomatis dan penolakan akses

• Buat kebijakan persetujuan otomatis untuk akses node tepat waktu

• Membuat kebijakan deny-access untuk akses node just-in-time

• Buat kebijakan persetujuan untuk akses node tepat waktu dengan Amazon Q