ABAC untuk sumber daya individu

Pengguna IAM Identity Center dan peran IAM mendukung kontrol akses berbasis atribut (ABAC), yang memungkinkan Anda menentukan akses ke operasi dan sumber daya berdasarkan tag. ABAC membantu mengurangi kebutuhan untuk memperbarui kebijakan izin dan membantu Anda mendasarkan akses dari atribut karyawan dari direktori perusahaan Anda. Jika Anda sudah menggunakan strategi multi-akun, ABAC dapat digunakan selain kontrol akses berbasis peran (RBAC) untuk menyediakan beberapa tim yang beroperasi di akun yang sama akses granular ke sumber daya yang berbeda. Misalnya, pengguna IAM Identity Center atau peran IAM dapat menyertakan kondisi untuk membatasi akses ke EC2 instans Amazon tertentu yang jika tidak harus dicantumkan secara eksplisit di setiap kebijakan untuk mengaksesnya.

Karena model otorisasi ABAC bergantung pada tag untuk akses ke operasi dan sumber daya, penting untuk menyediakan pagar pembatas untuk mencegah akses yang tidak diinginkan. SCPs dapat digunakan untuk melindungi tag di seluruh organisasi Anda dengan hanya mengizinkan tag dimodifikasi dalam kondisi tertentu. Blog Mengamankan tag sumber daya yang digunakan untuk otorisasi menggunakan kebijakan kontrol layanan di AWS Organizations dan batas Izin untuk entitas IAM memberikan informasi tentang cara menerapkan ini.

Jika EC2 instans Amazon berumur panjang digunakan untuk mendukung praktik operasi yang lebih tradisional maka pendekatan ini dapat digunakan, blog Konfigurasikan IAM Identity Center ABAC untuk instans Amazon EC2 dan Systems Manager Session Manager membahas bentuk kontrol akses berbasis atribut ini secara lebih rinci. Seperti disebutkan sebelumnya, tidak semua jenis sumber daya mendukung penandaan, dan yang melakukannya, tidak semua mendukung penegakan menggunakan kebijakan tag, jadi sebaiknya evaluasi ini sebelum mulai menerapkan strategi ini pada file Akun AWS.

Untuk mempelajari tentang layanan yang mendukung ABAC, lihat AWS layanan yang bekerja dengan IAM.