Le migliori pratiche di policy basate sulle risorse

Questo argomento descrive le best practice per definire le autorizzazioni di accesso per le risorse DynamoDB e le azioni consentite su tali risorse.

Semplifica il controllo degli accessi alle risorse DynamoDB

Se AWS Identity and Access Management i principali che devono accedere a una risorsa DynamoDB fanno parte Account AWS dello stesso proprietario della risorsa, non è richiesta una policy basata sull'identità IAM per ogni principale. Sarà sufficiente una politica basata sulle risorse allegata alle risorse fornite. Questo tipo di configurazione semplifica il controllo degli accessi.

Proteggi le tue risorse DynamoDB con policy basate sulle risorse

Per tutte le tabelle e i flussi DynamoDB, crea policy basate sulle risorse per imporre il controllo degli accessi a queste risorse. Le policy basate sulle risorse consentono di centralizzare le autorizzazioni a livello di risorsa, semplificare il controllo degli accessi a tabelle, indici e flussi di DynamoDB e ridurre il sovraccarico amministrativo. Se non viene specificata alcuna policy basata sulle risorse per una tabella o un flusso, l'accesso alla tabella o al flusso verrà implicitamente negato, a meno che le policy basate sull'identità associate ai principi IAM non consentano l'accesso.

Assegna le autorizzazioni con privilegi minimi

Quando imposti le autorizzazioni con policy basate sulle risorse per le risorse DynamoDB, concedi solo le autorizzazioni necessarie per eseguire un'azione. Puoi farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegi minimi. Potresti iniziare con autorizzazioni generiche mentre esplori le autorizzazioni necessarie per il tuo carico di lavoro o il caso d'uso. Man mano che il tuo caso d'uso matura, puoi lavorare per ridurre le autorizzazioni concesse per lavorare con il privilegio minimo.

Analizza l'attività di accesso tra account per generare politiche con privilegi minimi

IAM Access Analyzer segnala l'accesso tra account a entità esterne specificate nelle policy basate sulle risorse e fornisce visibilità per aiutarti a perfezionare le autorizzazioni e conformarti al privilegio minimo. Per ulteriori informazioni sulla generazione delle policy, consulta IAM Access Analyzer policy generation.

Utilizza IAM Access Analyzer per generare politiche con privilegi minimi

Per concedere solo le autorizzazioni richieste per eseguire un'attività, puoi generare policy in funzione dell'attività di accesso che hai effettuato l'accesso in AWS CloudTrail. IAM Access Analyzer analizza i servizi e le azioni utilizzate dalle tue policy.