Jedno źle skonfigurowane konto AWS potrafi kosztować firmę więcej niż rok subskrypcji chmury — czy to przez wyciek danych, czy przez rachunek za zasoby uruchomione przez nieautoryzowaną osobę. Warstwą, która się przed tym broni, jest IAM.
Czym jest IAM
Identity and Access Management — system zarządzania tożsamością i uprawnieniami w koncie AWS. Określa, kto może się zalogować, do jakich usług ma dostęp i jakie konkretnie operacje może wykonać — od odczytu jednego bucketa S3 po pełną kontrolę nad całą infrastrukturą.
Najczęstsze błędy
- Praca na koncie root. Konto główne AWS ma nieograniczone uprawnienia — używanie go do codziennych zadań to jak chodzenie po budowie bez kasku.
- Brak MFA na koncie głównym. Samo hasło do konta z pełnymi uprawnieniami to za mało zabezpieczenia.
- Nadmiarowe uprawnienia. Konta z dostępem „do wszystkiego na wszelki wypadek”, zamiast dokładnie tego, co potrzebne do konkretnej roli.
- Publicznie dostępny storage. Źle skonfigurowany bucket S3 wystawiony publicznie to jedna z najczęstszych przyczyn wycieków danych firmowych w chmurze — mimo że AWS domyślnie blokuje publiczny dostęp.
Zasada najmniejszych uprawnień nie jest ograniczeniem. Jest tym, co sprawia, że jedno przejęte hasło nie oznacza przejęcia całej firmy.
Logowanie przez firmowe SSO
AWS IAM Identity Center integruje się ze standardowymi dostawcami tożsamości przez SAML czy OIDC — w tym z self-hostowanym Keycloakiem. Zamiast osobnych kont AWS dla każdego pracownika, logowanie odbywa się tymi samymi danymi, co do reszty firmowych systemów — z tymi samymi politykami MFA i tą samą kontrolą centralną, o odebraniu dostępu przy odejściu pracownika włącznie.
Skoro konto jest już bezpiecznie skonfigurowane, pozostaje pytanie o samo przeniesienie infrastruktury. Piszę o tym w ostatnim artykule tej serii: migracja do AWS krok po kroku.