"Ich schicke dir meinen AWS-Benutzer und mein Passwort, geh rein und schau es dir an." Das machen alle, und es ist die schlechteste Idee überhaupt: Diese Person kann alles, Sie wissen nicht, was sie getan hat, und wenn die Zusammenarbeit endet, müssen Sie Ihr Passwort ändern und hoffen, dass sie es sich nicht notiert hat. AWS ist dafür gedacht, dass jede Person ihren eigenen Benutzer mit genau den passenden Rechten hat: der externe Techniker, der nur ansehen soll, das Steuerbüro, das nur die Rechnungen braucht, der Kollege, der zwei Maschinen bedient. Diese Anleitung legt einen solchen Benutzer an und sichert ihn sauber ab.
Bevor Sie anfangen: was die Begriffe bedeuten
- IAM
- Der AWS-Dienst, in dem Benutzer angelegt und ihnen Berechtigungen zugewiesen werden.
- IAM-Benutzer
- Eine eigene Identität innerhalb Ihres Kontos, mit eigenem Namen, eigenem Passwort und eigenen Berechtigungen. Kein weiteres AWS-Konto: eine Person innerhalb Ihres Kontos.
- Richtlinie
- Die Liste der Berechtigungen, die einem Benutzer zugewiesen wird. AWS bringt viele fertige mit (nur lesen, Abrechnung, Administrator ...), und Sie können eigene schreiben.
- Gruppe
- Eine Menge von Benutzern, die dieselben Richtlinien teilen. Bequemer, als Berechtigungen einzeln zu vergeben.
- Zwei-Faktor (MFA)
- Der Code vom Handy beim Anmelden. Sie können ihn von jedem Benutzer verlangen.
- Kontoalias
- Ein leicht merkbarer Name für die Anmeldeadresse Ihres Kontos anstelle der zwölfstelligen Nummer.
- IAM Identity Center
- Das modernere System von AWS zur Verwaltung von Personen, gedacht für Unternehmen mit mehreren Konten. Für ein Konto und ein paar Personen reichen IAM-Benutzer.
Schritt für Schritt
Entscheiden Sie, was die Person tun dürfen soll
Drei Profile decken fast alles ab: nur ansehen (ein Techniker, der eine Diagnose stellt, ein Prüfer): Richtlinie
ReadOnlyAccess; Abrechnung (das Steuerbüro): RichtlinieAWSBillingReadOnlyAccessoderBilling, und Sie müssen unter Konto den "Zugriff von IAM-Benutzern auf die Abrechnung" aktivieren; ein paar Maschinen bedienen (ein Kollege): eine eigene Richtlinie mit den Aktionen ansehen, starten und stoppen, wie in der Anleitung zu minimalen Berechtigungen. NiemalsAdministratorAccess, es sei denn, die Person ist wirklich Administrator.Geben Sie dem Konto einen Alias
In IAM, im Hauptbereich rechts, Kontoalias, Erstellen:
miempresa. Die Anmeldeadresse Ihrer Benutzer wird zuhttps://miempresa.signin.aws.amazon.com/console, viel leichter weiterzugeben als eine Nummer.Legen Sie eine Gruppe mit den Berechtigungen an
IAM, Benutzergruppen, Gruppe erstellen: Name
solo-lectura(oder das jeweilige Profil), und in der Richtlinienliste die passende ankreuzen. Erstellen. Die Berechtigungen werden der Gruppe zugewiesen; die Personen stecken Sie nur in die Gruppe. Wenn eine Berechtigung geändert werden muss, ändern Sie sie einmal für alle.Legen Sie den Benutzer an
Benutzer, Benutzer erstellen. Name: der der Person (
ana.garcia), nicht "externo1". Kreuzen Sie Benutzerzugriff auf die Managementkonsole bereitstellen an, wählen Sie automatisch generiertes Passwort und lassen Sie Benutzer muss bei der nächsten Anmeldung ein neues Passwort erstellen angekreuzt. Weiter: Benutzer zu Gruppe hinzufügen und die Gruppe ankreuzen. Erstellen. Der letzte Bildschirm zeigt die Anmeldeadresse, den Benutzer und das vorläufige Passwort: Schicken Sie sie über zwei verschiedene Kanäle (Adresse und Benutzer per E-Mail, das Passwort per Nachricht), niemals zusammen.Verlangen Sie die Zwei-Faktor-Authentifizierung
Bitten Sie die Person, nach dem Anmelden oben rechts auf ihren Namen zu gehen, Sicherheitsanmeldeinformationen, und ein MFA-Gerät mit der App auf ihrem Handy zuzuweisen. Um es wirklich verpflichtend zu machen, gibt es eine bekannte AWS-Richtlinie, die alles verweigert, bis der Benutzer MFA eingerichtet hat; die IAM-Dokumentation hat sie fertig zum Kopieren ("Benutzern erlauben, ihre eigenen Anmeldeinformationen mit MFA zu verwalten"). Fügen Sie sie der Gruppe hinzu.
Entziehen Sie den Zugang, wenn es vorbei ist
Wenn die Zusammenarbeit endet: IAM, Benutzer, die Person auswählen, Löschen. Wenn Sie den Benutzer lieber behalten wollen, falls die Person zurückkommt: Sicherheitsanmeldeinformationen, Konsolenzugriff deaktivieren. Und einmal im Quartal werfen Sie einen Blick auf die Spalte Letzte Aktivität in der Benutzerliste: Wer seit Monaten nicht angemeldet war, braucht den Zugang wahrscheinlich nicht mehr.
Was schiefgehen kann
Der Benutzer kommt hinein, sieht aber nichts oder bekommt Berechtigungsfehler
Das ist außerhalb dessen, was seine Richtlinie erlaubt, zu erwarten. Wenn ihm etwas Legitimes fehlt, nennt die Fehlermeldung die Aktion, und Sie fügen sie der Richtlinie der Gruppe hinzu. Wenn er nur lesen darf und in der Abrechnung "nicht autorisiert" sieht, fehlt noch die Aktivierung des IAM-Zugriffs auf die Abrechnung in den Kontoeinstellungen.
Die Person muss etwas Bestimmtes tun, das in keiner AWS-Richtlinie steht
Schreiben Sie eine eigene Richtlinie mit dieser Aktion (Anleitung zu minimalen Berechtigungen). Das ist meist einfacher, als es scheint: Der Name der Aktion steht in der Fehlermeldung.
Wir sind mehr als zehn Personen und haben mehrere Konten
Dann ist es Zeit für IAM Identity Center: eine einzige Anmeldung für alle Konten, mit Berechtigungen pro Berechtigungssatz. Mehr Aufwand am Anfang, viel weniger Arbeit danach.
Ein Externer bittet mich um einen Zugriffsschlüssel statt um einen Konsolenbenutzer
Wenn er Programme verwenden wird, ist das vernünftig; geben Sie ihm einen Benutzer ohne Konsolenpasswort, mit Zugriffsschlüssel und minimalen Berechtigungen, oder besser eine kontoübergreifende Rolle (Anleitungen in diesem Abschnitt). Und er soll den Schlüssel regelmäßig wechseln.
In Simplio
In Simplio laden Sie eine Person per E-Mail ein und kreuzen mit Kästchen an, was sie tun darf (ansehen, starten und stoppen, Snapshots, Dateien, Terminal) und auf welchen Maschinen, Buckets oder Datenbanken; sie meldet sich mit ihrem eigenen Benutzer und ihrer verpflichtenden Zwei-Faktor-Authentifizierung an, ohne jemals Ihr AWS-Konto anzufassen oder einen Schlüssel zu kennen. Wenn die Zusammenarbeit endet, deaktivieren Sie sie mit einem Klick, und alles, was sie getan hat, bleibt im Aktivitätsprotokoll.
Dasselbe, in AWS und in Simplio
| In der AWS-Konsole | In Simplio | |
|---|---|---|
| Einer Person eingeschränkten Zugang geben | Alias, Gruppe, Richtlinie, Benutzer, MFA, zwei Kanäle: 6 Schritte, 15 Minuten, wenn man die Richtlinie kennt | Per E-Mail einladen und Kästchen ankreuzen: ansehen, starten/stoppen, Snapshots, Terminal, und welche Maschinen. 1 Minute |
| Zwei-Faktor | Darum bitten und vertrauen, oder eine fortgeschrittene Richtlinie | Pflicht für alle Simplio-Benutzer |
| Zugang entziehen | IAM, suchen, löschen | Benutzer deaktivieren; seine Aktionen bleiben im Aktivitätsprotokoll |