Zugriff für ein externes Tool per IAM-Rolle zwischen Konten, ohne Schlüssel

Wenn ein externes Tool in Ihr AWS-Konto muss, gibt es zwei Wege. Der bekannte: einen IAM-Benutzer anlegen und ihm einen Zugriffsschlüssel geben, also ein Passwort, das nie abläuft und in einer Konfigurationsdatei, einem Repository oder einer E-Mail landen kann. Der gute: eine Rolle anlegen, die das Tool aus seinem eigenen AWS-Konto übernimmt. Es gibt keinen Schlüssel, den man aufbewahren oder verlieren könnte; AWS gibt temporäre Anmeldedaten aus, die von selbst ablaufen, und Sie können den Zugriff in einer Sekunde kappen, indem Sie die Rolle löschen.

Dafür muss das Tool es unterstützen (es fragt nach "Zugriff per Rolle", "cross-account role" oder "ARN der Rolle") und Ihnen zwei Angaben machen: die Nummer seines AWS-Kontos und eine externe Kennung (external ID). Damit ist es in zehn Minuten erledigt.

Schritt für Schritt

1. Sammeln Sie die Angaben des Anbieters

   Notieren Sie die Konto-ID des Tools (zwölf Ziffern) und die external ID, die es Ihnen zuweist, eine nur für Sie bestimmte Zeichenkette. Die external ID verhindert das sogenannte "Confused-Deputy-Problem": dass ein anderer Kunde desselben Tools es dazu bringen kann, Ihre Rolle zu benutzen. Teilen Sie sie nicht und verwenden Sie sie nicht mehrfach.

2. Erstellen Sie die Richtlinie mit minimalen Rechten

   In der IAM-Konsole, Richtlinien, Richtlinie erstellen, Registerkarte JSON. Fügen Sie nur die Aktionen ein, die das Tool braucht; ein seriöser Anbieter gibt Ihnen die genaue Liste. Zum Beispiel, um Lightsail-Maschinen anzusehen und zu bedienen:

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:CreateInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }

   Geben Sie ihr einen wiedererkennbaren Namen, etwa PanelExterno-Maquinas. Wird AdministratorAccess verlangt, fragen Sie nach dem Grund.

3. Erstellen Sie die Rolle mit dem anderen Konto als vertrauenswürdiger Entität

   IAM, Rollen, Rolle erstellen. Typ der vertrauenswürdigen Entität: AWS-Konto, Option Anderes AWS-Konto, und geben Sie die Konto-ID des Anbieters ein. Kreuzen Sie Externe ID erforderlich an und fügen Sie die external ID ein. Kreuzen Sie "MFA erforderlich" nicht an: das Tool ist ein Programm, keine Person. Weiter.

4. Hängen Sie die Richtlinie an und geben Sie der Rolle einen Namen

   Suchen Sie die Richtlinie aus Schritt 2, markieren Sie sie und fahren Sie fort. Name der Rolle: etwas, das sagt, wofür sie dient und wem sie gehört, zum Beispiel PanelExterno-Simplio. Prüfen Sie die Zusammenfassung: die Vertrauensrichtlinie muss das Konto des Anbieters und die Bedingung sts:ExternalId zeigen. Erstellen Sie die Rolle.

5. Übergeben Sie den ARN der Rolle

   Öffnen Sie die gerade erstellte Rolle und kopieren Sie ihren ARN, in der Form arn:aws:iam::123456789012:role/PanelExterno-Simplio. Das ist das Einzige, was das Tool braucht; fügen Sie ihn dort ein, wo er verlangt wird. Er ist an sich kein Geheimnis (ohne die external ID und ohne das vertrauenswürdige Konto nützt er nichts), aber veröffentlichen muss man ihn auch nicht.

6. Prüfen Sie Zugriff und Protokoll

   Das Tool sollte sich sofort verbinden. Um zu sehen, was es tut, filtern Sie in CloudTrail, Ereignisverlauf, nach dem Namen der Rolle: jede Aktion, die es ausführt, erscheint mit der Rolle als Identität. Wenn Sie den Zugriff eines Tages kappen wollen, löschen Sie die Rolle oder ändern Sie die external ID; die Wirkung tritt ein, sobald die laufenden temporären Anmeldedaten ablaufen, die höchstens eine Stunde gelten, sofern Sie das nicht verlängert haben.

Was schiefgehen kann