Welche Rechte ein neuer Mitarbeiter in AWS bekommen sollte (und welche nicht)

Jemand Neues kommt ins Unternehmen und braucht "Zugang zu AWS". Das Schnelle ist, einen Benutzer anzulegen, ihm AdministratorAccess zu geben und mit dem Tag weiterzumachen. Es ist auch das, was den Fehler eines Praktikanten oder ein gestohlenes Passwort in ein leeres Konto oder eine Rechnung über Tausende Euro verwandelt. Fast alle bösen Überraschungen mit AWS in kleinen Unternehmen beginnen mit jemandem, der viel mehr Rechte hatte, als er brauchte.

Die Regel ist einfach: Jede Person darf nur tun, was sie für ihre Arbeit braucht, und nichts weiter. Das nennt sich minimale Rechtevergabe und erfordert kein Sicherheitswissen. Es erfordert, eine Minute darüber nachzudenken, was diese Person tun wird: Nachschauen? Maschinen ein- und ausschalten? Dinge anlegen und löschen? Mit dieser Antwort hat AWS die Rechte schon vorbereitet, und man muss sie nur auswählen.

Diese Anleitung verwendet Gruppen, statt jedem Benutzer einzeln Rechte zu geben. Das ist der Unterschied zwischen einmal pro Funktion zu entscheiden und jedes Mal zu entscheiden, wenn jemand kommt.

Schritt für Schritt

1. Entscheiden Sie, welche Funktion die Person hat

   Bevor Sie die Konsole anfassen, beantworten Sie eine Frage: Was muss diese Person in AWS tun? Für ein kleines Unternehmen passt fast alles in drei Funktionen:

   • Sehen: den Zustand der Maschinen anschauen, die Rechnung einsehen, Protokolle lesen. Das braucht, wer Support leistet, wer die Buchhaltung macht, oder ein Chef, der "sehen will, wie es läuft".
   • Bedienen: zusätzlich zum Sehen Maschinen ein- und ausschalten und neu starten, Snapshots erstellen, wiederherstellen. Das braucht, wer den Alltag des Servers betreut.
   • Verwalten: Maschinen anlegen und löschen, Netzwerke ändern, Benutzer verwalten. Das brauchen nur ein oder zwei Personen, und es sollten die sein, die am meisten wissen.

   Wenn Sie zwischen zweien schwanken, fangen Sie mit der an, die weniger Rechte hat. Hochstufen ist ein Klick; herauszufinden, dass jemand etwas gelöscht hat, was er nicht sollte, nicht.

2. Erstellen Sie die drei Gruppen in IAM

   Öffnen Sie IAM, Menü links Benutzergruppen, Schaltfläche Gruppe erstellen. Erstellen Sie drei, mit Namen, die jeder versteht: ver, operar und administrar. Beim Erstellen jeder Gruppe suchen und markieren Sie im Block Berechtigungsrichtlinien anfügen die jeweils passende Richtlinie:

   • Gruppe ver: ReadOnlyAccess. Erlaubt, jeden Dienst einzusehen, ohne etwas zu ändern. Wenn sie nur die Rechnung sehen sollen, gibt es AWSBillingReadOnlyAccess, das enger gefasst ist.
   • Gruppe operar: ReadOnlyAccess und zusätzlich eine eigene Richtlinie mit den Aktionen Starten, Stoppen und Neustarten (nächster Schritt). Für Lightsail gibt es keine verwaltete Zwischenrichtlinie, also schreiben Sie sie selbst; für EC2 gibt es auch keine, die nur ein- und ausschaltet.
   • Gruppe administrar: PowerUserAccess, das fast alles erlaubt außer der Verwaltung von Benutzern und Rechten. Lassen Sie AdministratorAccess einer einzigen Person, derjenigen, die auch das Root-Konto verwahrt.

   Die Gruppen werden einmal erstellt. Ab dann bedeutet jemandem Zugang zu geben, ihn in die passende Gruppe aufzunehmen.

3. Schreiben Sie die Richtlinie der Gruppe "operar"

   In IAM, Richtlinien, Richtlinie erstellen. Klicken Sie auf die Registerkarte JSON und fügen Sie dies ein, das erlaubt, Lightsail- und EC2-Maschinen ein- und auszuschalten, neu zu starten und Snapshots zu erstellen, aber keine Maschinen anzulegen oder zu löschen:

   {
     "Version": "2012-10-17",
     "Statement": [
       { "Effect": "Allow", "Action": [
           "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
           "lightsail:CreateInstanceSnapshot",
           "ec2:StartInstances", "ec2:StopInstances", "ec2:RebootInstances",
           "ec2:CreateSnapshot"
         ], "Resource": "*" }
     ]
   }

   Klicken Sie auf Weiter, nennen Sie sie operar-maquinas und erstellen Sie sie. Gehen Sie danach unter Benutzergruppen in operar, Registerkarte Berechtigungen, Berechtigungen hinzufügen, Richtlinien anfügen, und markieren Sie operar-maquinas.

   Beachten Sie, dass keine Aktion mit "Delete" oder "Terminate" vorkommt. Das ist der Unterschied zwischen eine Maschine ausschalten zu können und sie verschwinden lassen zu können. Wenn Sie es zusätzlich auf bestimmte Maschinen beschränken wollen, können Sie in Resource statt des Sternchens die Kennung jeder einzelnen eintragen; für EC2 ist das einfach, für Lightsail muss man den ARN jeder Instanz verwenden.

4. Erstellen Sie den Benutzer und nehmen Sie ihn in eine Gruppe auf

   IAM, Benutzer, Benutzer erstellen. Name: der der Person (maria.lopez), nie etwas Geteiltes wie soporte. Markieren Sie Benutzerzugriff auf die AWS-Managementkonsole bereitstellen, wählen Sie Ich möchte einen IAM-Benutzer erstellen und lassen Sie markiert, dass das Passwort bei der nächsten Anmeldung geändert werden muss.

   Auf dem Bildschirm der Berechtigungen wählen Sie Benutzer zur Gruppe hinzufügen und markieren nur die Gruppe, die Sie in Schritt 1 festgelegt haben. Hängen Sie keine Richtlinien direkt an den Benutzer: In sechs Monaten erinnert sich niemand, warum er dieses lose Recht hat. Erstellen Sie den Benutzer und notieren Sie die Anmeldeadresse (sie enthält Ihre Kontonummer), um sie zusammen mit dem vorläufigen Passwort über getrennte Kanäle zu übermitteln: die Adresse per E-Mail, das Passwort persönlich oder über eine Nachricht, die abläuft.

   Wenn die Person keine Programme nutzen wird, die mit AWS sprechen, erstellen Sie keine Zugriffsschlüssel. Sie lassen sich an dem Tag hinzufügen, an dem sie gebraucht werden.

5. Machen Sie die Zwei-Faktor-Anmeldung verpflichtend

   Bitten Sie die Person, bei ihrer ersten Anmeldung in das Menü ihres Namens, Sicherheitsanmeldeinformationen, zu gehen und ein MFA-Gerät mit der Handy-App einzurichten. Aber überlassen Sie es nicht dem guten Willen: Erstellen Sie in IAM, Richtlinien eine Richtlinie, die alles außer dem Einrichten von MFA verweigert, wenn der Benutzer sich nicht mit zweitem Faktor angemeldet hat, und hängen Sie sie an alle drei Gruppen. AWS hat sie als Beispiel in seiner Dokumentation unter dem Namen "Benutzern erlauben, ihr eigenes MFA zu verwalten"; kopieren Sie das JSON von dort unverändert.

   Die Wirkung: Wer sich ohne MFA anmeldet, sieht nur den Bildschirm, um es zu aktivieren. Alles andere erscheint gesperrt, bis er es tut. Das ist die einzige Art, dass es wirklich alle haben.

6. Prüfen Sie, was niemand haben sollte

   Bevor Sie die Aufnahme für abgeschlossen erklären, gehen Sie in IAM, Benutzer, Spalte der angefügten Richtlinien, durch:

   • AdministratorAccess bei mehr als ein oder zwei Personen: überflüssig. Niemand, der nur Maschinen bedient, braucht es.
   • IAMFullAccess bei jemandem, der keine Benutzer verwaltet: Mit diesem Recht kann er sich selbst jedes andere geben.
   • Rechte, die direkt am Benutzer statt über Gruppen hängen: Verschieben Sie sie in die Gruppe oder löschen Sie sie.
   • Zugriffsschlüssel bei Benutzern von Personen, die nichts programmieren.

   Wenn Sie so etwas bei alten Benutzern finden, nutzen Sie die Gelegenheit, es zu korrigieren. Jetzt ist der Moment, in dem es am einfachsten geht.

7. Bereiten Sie den Abgang vom ersten Tag an vor

   An dem Tag, an dem jemand geht, muss sein Zugang zu AWS am selben Tag verschwinden, bevor er den Rechner abgibt. In IAM, Benutzer, wählen Sie den Benutzer: Zuerst deaktivieren Sie den Konsolenzugang und die Zugriffsschlüssel (Registerkarte Sicherheitsanmeldeinformationen), warten ein oder zwei Wochen, um zu prüfen, dass nichts von dieser Person abhing, und dann löschen Sie den Benutzer.

   Tragen Sie es in die Austrittsliste ein, zusammen mit E-Mail und Büroschlüsseln. Und einmal im Quartal laden Sie den Anmeldeinformationsbericht von IAM herunter: Er sagt Ihnen von jedem Benutzer, wann er sich zuletzt angemeldet hat, ob er MFA hat und ob seine Schlüssel benutzt werden. Ein Benutzer, der sich seit drei Monaten nicht anmeldet, ist ein Benutzer, den es wahrscheinlich nicht mehr geben sollte.

Was schiefgehen kann