Dar acceso a alguien en AWS es un problema que todo el mundo resuelve mal. La opción fácil es compartir la contraseña de la cuenta, con todo lo que eso implica. La correcta es crear un usuario de IAM y escribirle una política con las acciones y los recursos exactos, en un lenguaje que hay que aprender y que un error convierte en "acceso total" o en "no funciona nada". Y cuando esa persona se va, hay que acordarse de borrarla, en cada cuenta.
En Simplio los permisos son casillas: para cada usuario, qué acciones puede hacer (ver, arrancar y parar, instantáneas, ficheros, bases de datos, dominios, terminal…) y sobre qué objetos: estas máquinas, este bucket, esta cuenta. El colaborador ve una máquina. El cliente de la agencia ve su cuenta y ninguna más. Nadie recibe una clave de AWS, porque la cuenta está conectada una sola vez, por el administrador.
So funktioniert es
Sie legen den Benutzer in Simplio an
Name und E-Mail. Die Person erhält ihren Zugang und aktiviert, wenn Sie es verlangen, ihre Zwei-Faktor-Authentifizierung. Sie braucht kein AWS-Konto.
Sie markieren, was er tun darf
Die Aktionen, gruppiert nach ihrer Art: ansehen, starten und stoppen, Firewall, Snapshots, Dateien, Datenbanken, E-Mail, Domains, Funktionen, Terminal, Kosten … Jede ist ein Kästchen.
Sie markieren, worauf
Die Maschinen, Buckets, Datenbanken und Konten, auf die sich diese Aktionen erstrecken. Was nicht markiert ist, existiert für diese Person nicht: weder in der Liste noch in der Suche.
Sie ändern oder entfernen es jederzeit
Verlässt eine Person das Unternehmen, wird ihr Benutzer deaktiviert, und sie verliert alles auf einmal, in allen Konten. Jede Berechtigungsänderung wird im Aktivitätsprotokoll festgehalten.
Welche Sicherheit es bietet
Kein AWS-Schlüssel ist im Umlauf
Das AWS-Konto wird einmal vom Administrator verbunden, mit einer Berechtigung, die auf das beschränkt ist, was Simplio tut. Die Benutzer nutzen Simplio, nicht AWS.
Was nicht gewährt wird, sieht man nicht
Die Berechtigungen werden bei jeder Abfrage auf dem Server angewendet: Ein Benutzer ohne Berechtigung für eine Maschine sieht sie nicht, auch wenn er ihren Namen oder ihre Adresse kennt.
Zwei-Faktor-Authentifizierung pro Benutzer
Sie wird Person für Person aktiviert, und heikle Aktionen verlangen sie immer, auch von Administratoren.
Jede Berechtigungsänderung wird protokolliert
Wer wem was wann gewährt hat. Wenn jemand Zugriff auf etwas hat, wissen Sie, warum.
Dasselbe, in AWS und in Simplio
| Auf eigene Faust in AWS | In Simplio | |
|---|---|---|
| Einem Techniker nur eine Maschine geben | IAM-Benutzer, JSON-Richtlinie mit dem ARN der Instanz, Bedingung per Tag, Funktion testen | Kästchen: die Aktion und die Maschine |
| Einem Kunden sein Konto geben | Ein IAM-Benutzer in diesem Konto oder eine Rolle in der Organisation | Kästchen des Kontos bei seinem Simplio-Benutzer |
| Dem Ausscheidenden den Zugang entziehen | Seine Benutzer in jedem Konto suchen und löschen | Seinen Simplio-Benutzer deaktivieren |
| Wissen, wer auf was Zugriff hat | IAM-Richtlinien lesen | Das Datenblatt des Benutzers |
Häufige Fragen
Brauchen Simplio-Benutzer ein AWS-Konto?
Nein. Nur der Administrator verbindet das AWS-Konto, einmalig. Alle anderen melden sich in Simplio mit ihrem Benutzer und ihrer Zwei-Faktor-Authentifizierung an.
Kann sich ein Benutzer selbst mehr Berechtigungen geben?
Nein. Die Berechtigungen gewährt, wer die Berechtigung zur Benutzerverwaltung hat, und jede Änderung wird protokolliert.