Come dare accesso a uno strumento esterno con un ruolo IAM tra account (senza chiavi)

Quando uno strumento esterno ha bisogno di entrare nel tuo account AWS ci sono due strade. Quella nota: creare un utente IAM e dargli una chiave di accesso, che è una password che non scade e che può finire in un file di configurazione, in un repository o in un'email. Quella buona: creare un ruolo che lo strumento assume dal proprio account AWS. Non c'è nessuna chiave da conservare né da far trapelare; AWS consegna credenziali temporanee che scadono da sole, e tu puoi tagliare l'accesso in un secondo cancellando il ruolo.

Per questo lo strumento deve supportarlo (ti chiederà "accesso tramite ruolo", "cross-account role" o "ARN del ruolo") e darti due dati: il numero del suo account AWS e un identificatore esterno (external ID). Con quelli, in dieci minuti è fatto.

Passo dopo passo

1. Raccogli i dati del fornitore

   Annota l'ID account dello strumento (dodici cifre) e l'external ID che ti assegna, una stringa unica per te. L'external ID evita il cosiddetto "problema del vice confuso" (confused deputy): che un altro cliente dello stesso strumento possa fargli usare il tuo ruolo. Non condividerlo e non riutilizzarlo.

2. Crea la policy con i permessi minimi

   Nella console di IAM, Policy, Crea policy, scheda JSON. Incolla solo le azioni di cui lo strumento ha bisogno; un fornitore serio ti dà la lista esatta. Per esempio, per vedere e gestire macchine Lightsail:

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:CreateInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }

   Dagli un nome riconoscibile, come PanelExterno-Maquinas. Se ti chiedono AdministratorAccess, chiedi perché.

3. Crea il ruolo con l'altro account come entità attendibile

   IAM, Ruoli, Crea ruolo. Tipo di entità attendibile: Account AWS, opzione Un altro account AWS, e scrivi l'ID account del fornitore. Spunta Richiedi ID esterno e incolla l'external ID. Non spuntare "Richiedi MFA": lo strumento è un programma, non una persona. Avanti.

4. Collega la policy e dai un nome al ruolo

   Cerca la policy creata al passo 2, spuntala e continua. Nome del ruolo: qualcosa che dica a cosa serve e di chi è, per esempio PanelExterno-Simplio. Controlla il riepilogo: la policy di attendibilità deve mostrare l'account del fornitore e la condizione sts:ExternalId. Crea il ruolo.

5. Consegna l'ARN del ruolo

   Apri il ruolo appena creato e copia il suo ARN, nella forma arn:aws:iam::123456789012:role/PanelExterno-Simplio. È l'unica cosa di cui lo strumento ha bisogno; incollalo dove te lo chiede. Non è un segreto in sé (senza l'external ID e senza trovarsi nell'account attendibile non serve a nulla), ma non c'è nemmeno bisogno di pubblicarlo.

6. Verifica l'accesso e il registro

   Lo strumento dovrebbe connettersi subito. Per vedere cosa fa, in CloudTrail, cronologia degli eventi, filtra per il nome del ruolo: ogni azione che esegue compare con il ruolo come identità. Se un giorno vuoi tagliare l'accesso, cancella il ruolo o cambia l'external ID; l'effetto è immediato appena scadono le credenziali temporanee in corso, che durano al massimo un'ora a meno che tu non l'abbia ampliato.

Cosa può andare storto