Einen IAM-Benutzer mit minimalen Rechten für ein externes Tool erstellen (aus CloudShell)

Früher oder später verlangt ein externes Tool von Ihnen "einen AWS-Schlüssel": ein Kontrollpanel, ein Backup-System, ein Monitoring. Die Versuchung ist groß, den Schlüssel Ihres Administrator-Benutzers zu kopieren. Tun Sie das niemals. Wer diesen Schlüssel hat, kann alles tun, was Sie tun können, bis hin zum Löschen des ganzen Kontos. Richtig ist, einen separaten IAM-Benutzer mit einer Richtlinie, die nur die konkreten Aktionen erlaubt, die dieses Tool braucht, anzulegen und ihm seinen Schlüssel zu geben.

Wir machen das aus AWS CloudShell, dem Terminal, das in die Web-Konsole integriert ist, weil es vier Befehle zum Kopieren und Einfügen sind und das Ergebnis exakt ist. Auf Ihrem Computer muss nichts installiert werden.

Schritt für Schritt

1. Entscheiden Sie, welche Aktionen das Tool braucht

   Bevor Sie etwas schreiben, machen Sie die Liste. Ein Panel, das Lightsail-Maschinen verwaltet, braucht zum Beispiel: die Maschinen und ihren Status ansehen, starten, stoppen und neu starten, und vielleicht Snapshots erstellen und ansehen. Es muss keine Maschinen erstellen oder löschen, keine Abrechnung sehen und keine Benutzer anfassen. Jede Aktion, die nicht auf der Liste steht, ist eine Aktion, die Sie nicht erlauben. Wenn das Tool seriös ist, sagt es Ihnen genau, welche Rechte es verlangt; verlangt es "AdministratorAccess", seien Sie misstrauisch.

2. Öffnen Sie CloudShell

   Klicken Sie in der AWS-Konsole auf das Terminal-Symbol in der oberen Leiste (CloudShell) oder suchen Sie es über den Namen. Es braucht einige Sekunden zum Starten. Sie haben dann ein Linux-Terminal mit dem Werkzeug aws, das mit Ihren aktuellen Anmeldedaten konfiguriert ist; alles, was Sie dort tun, tun Sie also als der Benutzer, mit dem Sie in der Konsole angemeldet sind (und der IAM verwalten dürfen muss).

3. Schreiben Sie die Richtlinie

   Legen Sie eine Datei mit der Richtlinie im JSON-Format an. Dieses Beispiel erlaubt, Lightsail-Maschinen anzusehen, zu starten, zu stoppen und neu zu starten sowie ihre Snapshots zu verwalten, sonst nichts. Fügen Sie den ganzen Block in CloudShell ein:

   cat > politica.json <<'FIN'
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:GetInstanceMetricData", "lightsail:GetRegions",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceSnapshot",
         "lightsail:CreateInstanceSnapshot", "lightsail:DeleteInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }
   FIN

   Jede Aktion heißt servicio:Operación. Soll das Tool nur ansehen dürfen, entfernen Sie die Zeilen mit Start, Stop, Reboot, Create und Delete. Für EC2, S3 oder RDS haben die Aktionen andere Namen, aber die Mechanik ist identisch. In Lightsail lassen sich die meisten Aktionen nicht auf eine bestimmte Maschine beschränken, deshalb ist Resource hier *; in EC2 oder S3 können Sie die genaue Kennung der Ressource angeben.

4. Erstellen Sie Richtlinie und Benutzer und verbinden Sie sie

   Drei Befehle. Ändern Sie den Namen, wenn Sie wollen, aber er sollte sagen, wofür er dient:

   aws iam create-policy --policy-name PanelMaquinas --policy-document file://politica.json
   aws iam create-user --user-name panel-maquinas
   CUENTA=$(aws sts get-caller-identity --query Account --output text)
   aws iam attach-user-policy --user-name panel-maquinas \
     --policy-arn arn:aws:iam::$CUENTA:policy/PanelMaquinas

   Der erste Befehl gibt den ARN der Richtlinie zurück; der dritte setzt ihn mit Ihrer Kontonummer wieder zusammen, damit Sie ihn nicht kopieren müssen. Beachten Sie, dass wir dem Benutzer kein Konsolenpasswort geben: er existiert nur für den Zugriffsschlüssel.

5. Erzeugen Sie den Zugriffsschlüssel

   aws iam create-access-key --user-name panel-maquinas

   Die Antwort enthält zwei Werte: AccessKeyId (beginnt mit AKIA) und SecretAccessKey. Das Geheimnis wird nur dieses eine Mal angezeigt. Kopieren Sie es direkt in das Tool, das es verwenden wird. Fügen Sie es nicht in eine E-Mail, einen Chat oder ein geteiltes Dokument ein. Wenn Sie es verlieren, ist das kein Problem: Sie löschen diesen Schlüssel und erstellen einen neuen.

6. Löschen Sie die Datei und prüfen Sie

   rm politica.json
   aws iam list-attached-user-policies --user-name panel-maquinas

   Es darf nur PanelMaquinas erscheinen. Konfigurieren Sie das Tool mit dem Schlüssel und testen Sie eine erlaubte Aktion (Maschinen ansehen) und eine nicht erlaubte (eine erstellen): die zweite muss mit "not authorized" fehlschlagen. Dieser Fehler ist der Beweis, dass Sie gute Arbeit geleistet haben.

Was schiefgehen kann