IAM 中的安全最佳實務 - AWS Identity and Access Management

IAM 中的安全最佳實務

AWS Identity and Access Management 最佳實務已於 2022 年 7 月 14 日更新。

若要協助保護您的 AWS 資源,請遵循這些 AWS Identity and Access Management (IAM) 的最佳實務。

要求人類使用者搭配身分提供者使用聯合功能,以便使用暫時性憑證存取 AWS

人類使用者具有人類身分,是應用程式的相關人員、管理員、開發人員、操作員和消費者。他們必須要有一個身分,才能存取您的 AWS 環境和應用程式。擁有您組織成員身分的人類使用者,也具有人力身分。人類使用者也可以是您與之協作並與您的 AWS 資源互動的外部使用者。他們也可以透過 Web 瀏覽器、用戶端應用程式、行動應用程式或互動式命令列工具進行此項工作。

存取 AWS 時,請您的人類使用者使用暫時性憑證。您可以為人類使用者使用身分提供者,透過擔任角色 (提供暫時性憑證) 來提供對 AWS 帳戶的聯合存取權。如果是集中式存取管理,我們建議您使用 AWS IAM Identity Center (successor to AWS Single Sign-On) (IAM Identity Center) 管理您帳戶的存取權和這些帳戶內的許可。您可以使用 IAM Identity Center 管理使用者身分,或從外部身分提供者管理 中使用者身分的存取許可。如需詳細資訊,請參閱《AWS IAM Identity Center (successor to AWS Single Sign-On) 使用者指南》中的什麼是 AWS IAM Identity Center (successor to AWS Single Sign-On)

如需角色的詳細資訊,請參閱角色術語和概念

要求工作負載使用 IAM 角色的暫時性憑證存取 AWS

工作負載是可提供商業價值的資源和程式碼的集合,例如應用程式或後端程序。您的工作負載會有需要身分才能向 AWS 服務 提出請求 (例如請求讀取資料) 的應用程式、操作工具和元件。這些身分包括在您 AWS 環境 (例如 Amazon EC2 執行個體或 AWS Lambda 函數) 中執行的機器。

您可以管理需要存取權的外部當事人的機器身分。若要將存取權授予機器身分,您可以使用 IAM 角色。IAM 角色具有特定許可,並仰賴具有角色工作階段的暫時性安全憑證提供存取 AWS 的方式。此外,您可能有 AWS 之外的機器需要對您 AWS 環境的存取權。對於在 AWS 以外執行的機器,您可以使用 AWS Identity and Access Management Roles Anywhere。如需角色的詳細資訊,請參閱IAM 角色。如需如何使用角色跨 AWS 帳戶 委派存取權的詳細資訊,請參閱 IAM 教學課程:使用 IAM 角色將存取許可委派給不同 AWS 帳戶

需要多重要素驗證 (MFA)

我們建議將 IAM 角色用於會存取您 AWS 資源的人類使用者和工作負載,以便他們使用暫時性憑證。但是,對於帳戶中需要 IAM 或根使用者的情況,則需要 MFA 提供額外的安全性。使用 MFA,使用者便可擁有一個裝置,針對身分驗證查問產生回應。擁有每位使用者的憑證及裝置產生的回應,才能完成登入程序。如需詳細資訊,請參閱 使用 AWS 中的多重要素驗證 (MFA)

如果將 用於人類使用者的集中式存取管理,則可在使用 IAM Identity Center 身分存放區、 Managed Microsoft AD 或 AD Connector 設定身分來源時使用 功能。如需有關 IAM Identity Center 中的 MFA 的詳細資訊,請參閱 AWS IAM Identity Center (successor to AWS Single Sign-On) 使用者指南中的多重要素驗證

對於需要長期憑證的使用案例,請定期輪換存取金鑰

我們建議您盡可能依賴暫時性憑證,而不要建立長期憑證,例如存取金鑰。但是,對於需要具有程式化存取和長期憑證的 IAM 使用者的情況,我們建議您輪換存取金鑰。定期輪換長期憑證有助於您熟悉該程序。如果您遇到必須輪換憑證的情況,例如員工離職時,此功能非常有用。我們建議您使用 IAM 存取上次使用的資訊,以便安全地輪換和移除存取金鑰。如需詳細資訊,請參閱 輪換存取金鑰

某些特定使用案例需要長期憑證和 AWS 中的 IAM 使用者。以下是部分使用案例:

  • 無法使用 IAM 角色的程式化使用案例 – 您可能會從需要存取 AWS 的位置執行程式碼。在某些情況下,您無法使用 IAM 角色提供暫時性憑證,例如針對 WordPress 外掛程式。在這些情況下,請將 IAM 使用者長期存取金鑰用於該程式碼,對 AWS 進行身分驗證。

  • 第三方 AWS 用戶端 – 如果您正使用不支援使用 IAM Identity Center 進行存取的工具,例如第三方 AWS 用戶端或不在 AWS 上託管的廠商,請使用 IAM 使用者長期存取金鑰。

  • AWS CodeCommit 存取 – 如果您正使用 CodeCommit 儲存程式碼,則可以搭配 CodeCommit 的 SSH 金鑰或服務特定憑證使用 IAM 使用者,以便對您儲存庫進行身分驗證。除了將 IAM Identity Center 中的使用者用於一般身分驗證之外,我們也建議您這樣做。IAM Identity Center 中的使用者是您員工中需要存取 AWS 帳戶或雲端應用程式的人員。若要將您 CodeCommit 儲存庫的存取權授予使用者,而不設定 IAM 使用者,您可以設定 git-remote-codecommit 公用程式。如需 IAM 和 CodeCommit 的詳細資訊,請參閱 搭配 CodeCommit 使用 IAM:Git 憑證、SSH 金鑰和 AWS 存取金鑰。如需設定 git-remote-codecommit 公用程式的詳細資訊,請參閱《AWS CodeCommit 使用者指南》中的使用輪換憑證連線到 AWS CodeCommit 儲存庫

  • Amazon Keyspaces (適用於 Apache Cassandra) 存取 – 在無法使用 IAM Identity Center 中的使用者的情況下,例如為了測試 Cassandra 相容性,您可以將 IAM 使用者搭配服務特定憑證使用,以便使用 Amazon Keyspaces 進行身分驗證。IAM Identity Center 中的使用者是您員工中需要存取 AWS 帳戶或雲端應用程式的人員。您也可以使用暫時性憑證連線到 Amazon Keyspaces。如需詳細資訊,請參閱《Amazon Keyspaces (適用於 Apache Cassandra) 開發人員指南》中的透過 IAM 角色和 SigV4 外掛程式使用暫時性憑證連線到 Amazon Keyspaces

保護您的根使用者憑證,不要將其用於日常任務

建立 AWS 帳戶 時,您會建立一個根使用者名稱和密碼,以便登入 AWS Management Console。如同保護其他敏感的個人資訊那樣,保護您的根使用者憑證。您可以設定根使用者憑證的 MFA 來實現此目的。由於存取金鑰會允許存取您所有 AWS 服務 的所有資源,包括帳單資訊,我們不建議為您的根使用者產生存取金鑰。請勿將您的根使用者用於日常任務。請將根使用者用於完成只能由根使用者執行的任務。如需這些任務的完整清單,請參閱《AWS 一般參考》中的需要根使用者憑證的任務。如需詳細資訊,請參閱《AWS Account Management 使用者指南》中的保護帳戶根使用者的最佳實務

套用最低權限許可

設定 IAM 政策的許可時,請僅授予執行任務所需的許可。為實現此目的,您可以定義在特定條件下可以對特定資源採取的動作,這也稱為最低權限許可。探索工作負載或使用案例所需的許可時,您可能會從廣泛許可開始。隨著使用案例的成熟,您可以設法減少授予的許可,以便朝向最低權限的目標邁進。如需使用 IAM 套用許可的詳細資訊,請參閱 IAM 中的政策和許可

開始使用 AWS 受管政策並朝向最低權限許可的目標邁進

若要開始授予許可給使用者和工作負載,請使用 AWS 受管政策,為許多常見使用案例授予許可。它們可在您的 AWS 帳戶 中使用。請記住,AWS 受管政策可能不會授予您特定使用案例的最低權限許可,因為它們可供所有 AWS 客戶使用。因此,我們建議您定義使用案例的客戶管理政策,以便進一步減少許可。如需詳細資訊,請參閱 AWS 受管政策。如需有關專為特定任務角色設計的 AWS 受管理政策的詳細資訊,請參閱 任務函数的 AWS 受管政策

使用 IAM Access Analyzer 根據存取活動產生最低權限政策

若只授予執行任務所需的許可,您可以根據在 AWS CloudTrail 中記錄的存取活動產生政策。IAM Access Analyzer 會分析您 IAM 角色使用的服務和動作,然後產生您可以使用的精細政策。測試產生的每個政策後,您可以將政策部署到生產環境。這可確保您僅授予所需的許可給工作負載。如需政策產生的詳細資訊,請參閱 IAM Access Analyzer 政策產生

定期檢閱並移除未使用的使用者、角色、許可、政策和憑證

您的 AWS 帳戶 中可能存在不再需要的 IAM 使用者、角色、許可、政策或憑證。IAM 會提供上次存取的資訊,協助您識別不再需要的使用者、角色、許可、政策和憑證,以便您移除這些資料。這可協助您減少必須監控的使用者、角色、許可、政策和憑證數量。您也可以使用此資訊來精簡 IAM 政策,以便更完善地遵循最低權限許可。如需詳細資訊,請參閱 使用上次存取的資訊精簡 AWS 的許可

使用 IAM 政策中的條件進一步限制存取權

您可以根據生效的政策陳述式指定條件。如此,您便可以授予對動作和資源的存取權,前提是存取請求符合特定條件。例如,您可以撰寫政策條件,指定必須使用 SSL 傳送所有請求。您也可以使用條件來授予對服務動作的存取權,前提是透過特定 AWS 服務 (例如 AWS CloudFormation) 使用條件。如需詳細資訊,請參閱 IAM JSON 政策元素:Condition

使用 IAM Access Analyzer 驗證對資源的公開與跨帳戶存取權

在 AWS 中授予公開或跨帳戶存取權的許可前,我們建議您驗證是否必須用到此類存取權。您可以使用 IAM Access Analyzer,協助自己預覽和分析所支援資源類型的公開和跨帳戶存取權。為此,您可以檢閱 IAM Access Analyzer 產生的問題清單。這些問題清單有助於您驗證資源存取控制是否授予您預期的存取權。此外,隨著您更新公開和跨帳戶許可,您可以在將新的存取控制部署到資源前驗證變更的影響。IAM Access Analyzer 也會持續監控支援的資源類型,並為允許公開或跨帳戶存取權的資源產生問題清單。如需詳細資訊,請參閱使用 IAM Access Analyzer API 預覽存取

使用 IAM Access Analyzer 驗證 IAM 政策,確保許可安全且可正常運作

驗證您建立的政策,確保它們遵守IAM 政策語言 (JSON) 和 IAM 最佳實務。您可以使用 IAM Access Analyzer 政策驗證來驗證自己的政策。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議,可協助您編寫安全且實用的政策。您在主控台中編寫新政策或編輯現有政策時,IAM Access Analyzer 會提供建議,協助您在儲存政策前完善和驗證政策。此外,我們建議您檢閱並驗證所有現有政策。如需詳細資訊,請參閱 IAM Access Analyzer 政策驗證。如需 IAM Access Analyzer 所提供政策檢查的詳細資訊,請參閱《IAM Access Analyzer 政策檢查參考》。

建立跨多個帳戶的許可防護機制

擴展工作負載時,請使用 AWS Organizations 管理的多個帳戶將這些工作負載分開。我們建議您使用 Organizations 服務控制政策 (SCP) 建立許可防護機制,以便控制您帳戶之間所有 IAM 使用者和角色的存取權。SCP 是一種組織政策,可以用於在 AWS 組織、OU 或帳戶層級管理組織中的許可。您建立的許可防護機制會套用至所涵蓋帳戶內的所有使用者和角色。不過,僅有 SCP 並不足以授予許可給您組織中的帳戶。若要實現此目的,管理員仍必須將身分型或資源型政策連接到 IAM 使用者、IAM 角色或您帳戶中的資源。如需詳細資訊,請參閱 AWS Organizations、帳戶和 IAM 防護機制

使用許可界限委派帳戶內的許可管理

在某些情況下,您可能想要將帳戶內的許可管理委派給其他人。例如,您可以允許開發人員為其工作負載建立和管理角色。委派許可給其他人時,請使用許可界限來設定您委派許可的上限。許可界限是一種進階功能,可供您使用受管政策來設定身分型政策可以授予 IAM 角色的許可上限。許可界限不會自行授予許可。如需詳細資訊,請參閱 IAM 實體的許可界限