"Ti passo il mio utente e la mia password di AWS, entra e dai un'occhiata". È quello che fanno tutti ed è la peggiore idea possibile: quella persona può fare tutto, non saprai cosa ha fatto, e quando smetterà di collaborare dovrai cambiare la tua password e sperare che non se la sia annotata. AWS è pensato perché ogni persona abbia il proprio utente con i permessi giusti: il tecnico esterno che deve solo guardare, il commercialista a cui servono solo le fatture, il collega che opera su due macchine. Questa guida crea uno di questi utenti e lo lascia ben chiuso.
Prima di iniziare: cosa significa ogni cosa
- IAM
- Il servizio di AWS dove si creano gli utenti e si assegnano loro i permessi.
- Utente IAM
- Un'identità propria dentro il tuo account, con il suo nome, la sua password e i suoi permessi. Non è un altro account AWS: è una persona dentro il tuo.
- Policy
- La lista di permessi che si assegna a un utente. AWS ne offre molte già pronte (sola lettura, fatturazione, amministratore...) e puoi scrivere le tue.
- Gruppo
- Un insieme di utenti che condividono le stesse policy. Più comodo che assegnare i permessi uno a uno.
- Doppio fattore (MFA)
- Il codice del cellulare al momento di entrare. Puoi esigerlo da ogni utente.
- Alias dell'account
- Un nome facile per l'indirizzo di accesso del tuo account, al posto del numero di dodici cifre.
- IAM Identity Center
- Il sistema più moderno di AWS per gestire le persone, pensato per aziende con più account. Per un account e poche persone, gli utenti IAM bastano.
Passo dopo passo
Decidi cosa deve poter fare
Tre profili coprono quasi tutto: solo guardare (un tecnico che fa diagnosi, un revisore): policy
ReadOnlyAccess; fatturazione (il commercialista): policyAWSBillingReadOnlyAccessoBilling, e dovrai attivare in Account l'"accesso degli utenti IAM alla fatturazione"; operare su alcune macchine (un collega): una policy propria con le azioni di vedere, avviare e fermare, come quella della guida sui permessi minimi. MaiAdministratorAccess, a meno che non sia davvero un amministratore.Metti un alias all'account
In IAM, nel pannello principale a destra, Alias dell'account, Crea:
miempresa. L'indirizzo di accesso dei tuoi utenti diventahttps://miempresa.signin.aws.amazon.com/console, molto più facile da comunicare di un numero.Crea un gruppo con i permessi
IAM, Gruppi di utenti, Crea gruppo: nome
solo-lectura(o il profilo che sia), e nella lista delle policy spunta quella corrispondente. Crea. I permessi si assegnano al gruppo; le persone le metti soltanto nel gruppo. Quando bisogna cambiare un permesso, si cambia una volta per tutti.Crea l'utente
Utenti, Crea utente. Nome: quello della persona (
ana.garcia), non "esterno1". Spunta Fornisci l'accesso alla console, scegli password generata automaticamente e lascia spuntato l'utente deve creare una nuova password al prossimo accesso. Avanti: Aggiungi utente al gruppo e spunta il gruppo. Crea. L'ultima schermata mostra l'indirizzo di accesso, l'utente e la password temporanea: inviali per due canali diversi (indirizzo e utente per email, password per messaggio), mai insieme.Esigi il doppio fattore
Chiedigli che, una volta entrato, vada sul suo nome in alto a destra, Credenziali di sicurezza, e assegni un dispositivo MFA con l'app del suo cellulare. Per renderlo obbligatorio davvero, esiste una policy nota di AWS che nega tutto finché l'utente non configura l'MFA; la documentazione di IAM la fornisce pronta da copiare ("Consentire agli utenti di gestire le proprie credenziali con MFA"). Aggiungila al gruppo.
Togligli l'accesso quando ha finito
Quando la collaborazione finisce: IAM, Utenti, seleziona la persona, Elimina. Se preferisci conservarlo nel caso torni, Credenziali di sicurezza, Disabilita l'accesso alla console. E una volta a trimestre, guarda la colonna Ultima attività della lista degli utenti: chi non entra da mesi, probabilmente non ne ha più bisogno.
Cosa può andare storto
L'utente entra ma non vede nulla o riceve errori di permesso
È quello che ci si aspetta fuori da ciò che la sua policy consente. Se gli manca qualcosa di legittimo, il messaggio di errore dice quale azione, e la aggiungi alla policy del gruppo. Se è in sola lettura e vede "non autorizzato" nella fatturazione, manca da attivare l'accesso di IAM alla fatturazione nelle impostazioni dell'account.
Deve fare una cosa precisa che non è in nessuna policy di AWS
Scrivi una policy propria con quell'azione (guida sui permessi minimi). Di solito è più facile di quanto sembri: il nome dell'azione è nel messaggio di errore.
Siamo più di dieci persone e abbiamo più account
È il momento di IAM Identity Center: un unico accesso per tutti gli account, con permessi per insieme. Più lavoro all'inizio, molto meno dopo.
Un esterno mi chiede una chiave di accesso invece di un utente della console
Se userà dei programmi, è ragionevole; dagli un utente senza password della console, con chiave di accesso e permessi minimi, o meglio un ruolo tra account (guide in questa sezione). E che la ruoti.
In Simplio
In Simplio inviti una persona per email e spunti con delle caselle cosa può fare (vedere, avviare e fermare, istantanee, file, terminale) e su quali macchine, bucket o database; lei entra con il proprio utente e il doppio fattore obbligatorio, senza toccare mai il tuo account AWS né conoscere alcuna chiave. Quando smette di collaborare, la disattivi con un clic e tutto quello che ha fatto resta nel registro attività.
La stessa cosa, in AWS e in Simplio
| Nella console di AWS | In Simplio | |
|---|---|---|
| Dare accesso limitato a una persona | Alias, gruppo, policy, utente, MFA, due canali: 6 passi, 15 minuti sapendo quale policy | Invitare per email e spuntare caselle: vedere, avviare/fermare, istantanee, terminale, e quali macchine. 1 minuto |
| Doppio fattore | Chiederlo e fidarsi, oppure una policy avanzata | Obbligatorio per tutti gli utenti di Simplio |
| Togliere l'accesso | IAM, cercare, eliminare | Disattivare l'utente; le sue azioni restano nel registro attività |