Termos e conceitos do Amazon Verified Permissions

Você deve entender os seguintes conceitos para usar o Amazon Verified Permissions.

Conceitos do Verified Permissions

• Modelo de autorização
• Solicitação de autorização
• Resposta de autorização
• Políticas consideradas
• Dados de contexto
• Políticas determinantes
• Dados da entidade
• Permissões, autorização e entidades principais
• Aplicação de políticas
• Armazenamentos de políticas
• Políticas atendidas
• Diferenças entre o Verified Permissions e o Cedar

Conceitos da linguagem de política Cedar

• Autorização

• Entidade

• Grupos e hierarquias

• Namespaces

• Política

• Modelo de política

• Esquema

Modelo de autorização

O modelo de autorização descreve o escopo das solicitações de autorização feitas pela aplicação e é a base para avaliar essas solicitações. Ele é definido com base nos diferentes tipos de recursos, das ações realizadas nesses recursos e dos tipos de entidades principais que realizam essas ações. Ele também considera o contexto em que essas ações estão sendo realizadas.

O controle de acesso baseado em função (RBAC) é uma base de avaliação na qual as funções são definidas e associadas a um conjunto de permissões. Essas funções podem, então, ser atribuídas a uma ou mais identidades. A identidade atribuída adquire as permissões associadas à função. Se as permissões associadas à função forem modificadas, a modificação afetará automaticamente qualquer identidade à qual a função tenha sido atribuída. O Cedar pode oferecer suporte às decisões do RBAC por meio do uso de grupos de entidades principais.

O controle de acesso baseado em função (RBAC) é uma base de avaliação na qual as permissões associadas a uma identidade são determinadas pelos atributos dessa identidade. O Cedar pode oferecer suporte às decisões do ABAC por meio do uso de condições de política que fazem referência aos atributos da entidade principal.

A linguagem de política Cedar permite a combinação do RBAC e do ABAC em uma única política, fazendo com que as permissões sejam definidas para um grupo de usuários, que têm condições baseadas em atributos.

Solicitação de autorização

Uma solicitação de autorização é uma solicitação feita ao Verified Permissions por uma aplicação para avaliar um conjunto de políticas, a fim de determinar se uma entidade principal pode realizar uma ação em um recurso para um determinado contexto.

Resposta de autorização

A resposta de autorização é a resposta à solicitação de autorização. Ela inclui a decisão de permitir ou negar, além de informações adicionais, como os IDs das políticas determinantes.

Políticas consideradas

As políticas consideradas são o conjunto completo de políticas selecionadas pelo Verified Permissions para inclusão ao avaliar uma solicitação de autorização.

Dados de contexto

Os dados de contexto são valores de atributos que fornecem informações adicionais a serem avaliadas.

Políticas determinantes

As políticas determinantes são aquelas que determinam a resposta da autorização. Por exemplo, se houver duas políticas atendidas, em que uma é a negação e a outra é a permissão, a política de negação será a política determinante. Se houver várias políticas de permissão atendidas e nenhuma política de proibição atendida, haverá várias políticas determinantes. Caso nenhuma política corresponda e a resposta seja uma negação, não haverá políticas determinantes.

Dados da entidade

Os dados da entidade são dados sobre a entidade principal, a ação e o recurso. Os dados de entidade relevantes para a avaliação da política são a associação ao grupo em toda a hierarquia de entidades e os valores de atributo da entidade principal e do recurso.

Permissões, autorização e entidades principais

O Verified Permissions gerencia permissões e autorizações refinadas nas aplicações personalizadas criadas por você.

A entidade principal é o usuário de uma aplicação, seja ele um ser humano ou uma máquina, que tem uma identidade vinculada a um identificador, como um nome de usuário ou um ID de máquina. O processo de autenticação determina se a entidade principal é, de fato, a identidade que afirma ser.

Associado a essa identidade está um conjunto de permissões de aplicação que determina o que essa entidade principal tem permissão para fazer nessa aplicação. A autorização é o processo de avaliação dessas permissões para determinar se uma entidade principal tem permissão para realizar uma ação específica na aplicação. Essas permissões podem ser expressas como políticas.

Aplicação de políticas

A aplicação da política é o processo de aplicar a decisão de avaliação na aplicação, fora do Verified Permissions. Se a avaliação do Verified Permissions retornar uma negação, a aplicação garantirá que a entidade principal foi impedida de acessar o recurso.

Armazenamentos de políticas

Um armazenamento de políticas é um contêiner de políticas e modelos. Cada armazenamento contém um esquema, que é usado para validar as políticas adicionadas ao armazenamento. Por padrão, cada aplicação tem seu próprio armazenamento de políticas, mas vários aplicações podem compartilhar um único armazenamento de políticas. Quando uma aplicação faz uma solicitação de autorização, ele identifica o armazenamento de políticas usado para avaliar essa solicitação. Os armazenamentos de políticas são uma maneira de isolar um conjunto de políticas e, portanto, podem ser usados em uma aplicação multilocatária para reter os esquemas e políticas de cada locatário. Uma única aplicação pode ter armazenamentos de políticas separados para cada locatário.

Ao avaliar uma solicitação de autorização, o Verified Permissions considera apenas o subconjunto das políticas contidas no armazenamento que são relevantes para a solicitação. A relevância é determinada com base no escopo da política. O escopo identifica a entidade principal e o recurso específicos aos quais a política se aplica, bem como as ações que a entidade principal pode realizar no recurso. A definição do escopo ajuda a melhorar o desempenho ao restringir o conjunto de políticas consideradas.

Políticas atendidas

Políticas atendidas são as políticas que correspondem aos parâmetros da solicitação de autorização.