Dar acceso a alguien en AWS es un problema que todo el mundo resuelve mal. La opción fácil es compartir la contraseña de la cuenta, con todo lo que eso implica. La correcta es crear un usuario de IAM y escribirle una política con las acciones y los recursos exactos, en un lenguaje que hay que aprender y que un error convierte en "acceso total" o en "no funciona nada". Y cuando esa persona se va, hay que acordarse de borrarla, en cada cuenta.
En Simplio los permisos son casillas: para cada usuario, qué acciones puede hacer (ver, arrancar y parar, instantáneas, ficheros, bases de datos, dominios, terminal…) y sobre qué objetos: estas máquinas, este bucket, esta cuenta. El colaborador ve una máquina. El cliente de la agencia ve su cuenta y ninguna más. Nadie recibe una clave de AWS, porque la cuenta está conectada una sola vez, por el administrador.
Come funziona
Crei l'utente in Simplio
Nome ed e-mail. La persona riceve il suo accesso e attiva, se vuoi imporlo, il suo doppio fattore. Non ha bisogno di un account AWS.
Indichi cosa può fare
Le azioni, raggruppate per ciò che sono: vedere, avviare e fermare, firewall, snapshot, file, database, e-mail, domini, funzioni, terminale, costi… Ognuna è una casella.
Indichi su cosa
Le macchine, i bucket, i database e gli account su cui arrivano quelle azioni. Ciò che non è spuntato non esiste per quella persona: né nell'elenco né nelle ricerche.
Lo cambi o lo rimuovi quando vuoi
Se una persona lascia l'azienda, si disattiva il suo utente e perde tutto in un colpo, su tutti gli account. Ogni modifica dei permessi resta nel registro attività.
Che sicurezza ha
Nessuna chiave AWS circola
L'account AWS viene collegato una volta, dall'amministratore, con un permesso limitato a ciò che fa Simplio. Gli utenti usano Simplio, non AWS.
Ciò che non è concesso non si vede
I permessi vengono applicati sul server, a ogni richiesta: un utente senza permesso su una macchina non la vede, anche se ne conosce il nome o l'indirizzo.
Doppio fattore per utente
Si attiva persona per persona, e le azioni delicate lo richiedono sempre, anche agli amministratori.
Ogni modifica dei permessi viene registrata
Chi ha concesso cosa a chi e quando. Se qualcuno ha accesso a qualcosa, sai perché.
La stessa cosa, in AWS e in Simplio
| Per conto tuo su AWS | In Simplio | |
|---|---|---|
| Dare a un tecnico una sola macchina | Utente IAM, policy JSON con l'ARN dell'istanza, condizione per tag, verificare che funzioni | Caselle: l'azione e la macchina |
| Dare a un cliente il suo account | Un utente IAM in quell'account, o un ruolo nell'organizzazione | Casella dell'account sul suo utente di Simplio |
| Togliere l'accesso a chi se ne va | Cercare i suoi utenti in ogni account ed eliminarli | Disattivare il suo utente di Simplio |
| Sapere chi ha accesso a cosa | Leggere le policy IAM | La scheda dell'utente |
Domande frequenti
Gli utenti di Simplio hanno bisogno di un account AWS?
No. Solo l'amministratore collega l'account AWS, una volta. Gli altri entrano in Simplio con il loro utente e il loro doppio fattore.
Un utente può darsi più permessi da solo?
No. I permessi li concede chi ha il permesso di gestire gli utenti, e ogni modifica viene registrata.