Come creare un utente IAM con permessi minimi per un pannello esterno (da CloudShell)

Prima o poi uno strumento esterno ti chiede "una chiave di AWS": un pannello di controllo, un sistema di backup, un monitor. La tentazione è copiare la chiave del tuo utente amministratore. Non farlo mai. Chi ha quella chiave può fare tutto quello che puoi fare tu, compreso cancellare l'intero account. La cosa giusta è creare un utente IAM separato con una policy che permetta solo le azioni precise di cui quello strumento ha bisogno, e dargli la sua chiave.

Lo faremo da AWS CloudShell, il terminale integrato nella console web, perché sono quattro comandi da copiare e incollare e il risultato è esatto. Non serve installare nulla sul tuo computer.

Passo dopo passo

1. Decidi quali azioni servono allo strumento

   Prima di scrivere qualsiasi cosa, fai la lista. Un pannello che gestisce macchine Lightsail avrà bisogno, per esempio, di: vedere le macchine e il loro stato, avviare, fermare e riavviare, e forse creare e vedere istantanee. Non ha bisogno di creare né cancellare macchine, né di vedere la fatturazione, né di toccare gli utenti. Ogni azione che non è nella lista è un'azione che non darai. Se lo strumento è serio, ti dirà esattamente quali permessi chiede; se ti chiede "AdministratorAccess", diffida.

2. Apri CloudShell

   Nella console di AWS, clicca sull'icona del terminale nella barra superiore (CloudShell) o cercalo per nome. Ci mette qualche secondo ad avviarsi. Hai già un terminale Linux con lo strumento aws configurato con le tue credenziali attuali, quindi tutto ciò che fai lì lo fai come l'utente con cui sei nella console (che deve avere il permesso di gestire IAM).

3. Scrivi la policy

   Crea un file con la policy in formato JSON. Questo esempio permette di vedere, avviare, fermare e riavviare macchine Lightsail e gestire le loro istantanee, nient'altro. Incolla il blocco intero in CloudShell:

   cat > politica.json <<'FIN'
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:GetInstanceMetricData", "lightsail:GetRegions",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceSnapshot",
         "lightsail:CreateInstanceSnapshot", "lightsail:DeleteInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }
   FIN

   Ogni azione si chiama servicio:Operación. Se vuoi che lo strumento possa solo vedere, togli le righe di Start, Stop, Reboot, Create e Delete. Per EC2, S3 o RDS le azioni hanno altri nomi, ma la meccanica è identica. In Lightsail la maggior parte delle azioni non si può limitare a una macchina precisa, per questo il Resource è *; in EC2 o S3 invece puoi indicare l'identificatore esatto della risorsa.

4. Crea la policy, l'utente e collegali

   Tre comandi. Cambia il nome se vuoi, ma che dica a cosa serve:

   aws iam create-policy --policy-name PanelMaquinas --policy-document file://politica.json
   aws iam create-user --user-name panel-maquinas
   CUENTA=$(aws sts get-caller-identity --query Account --output text)
   aws iam attach-user-policy --user-name panel-maquinas \
     --policy-arn arn:aws:iam::$CUENTA:policy/PanelMaquinas

   Il primo comando restituisce l'ARN della policy; il terzo lo ricostruisce con il numero del tuo account così non devi copiarlo. Nota che all'utente non diamo una password per la console: esisterà solo per la chiave di accesso.

5. Genera la chiave di accesso

   aws iam create-access-key --user-name panel-maquinas

   La risposta contiene due valori: AccessKeyId (inizia con AKIA) e SecretAccessKey. Il segreto viene mostrato solo questa volta. Copialo direttamente nello strumento che lo userà. Non incollarlo in un'email, in una chat né in un documento condiviso. Se lo perdi, non succede nulla: cancelli quella chiave e ne crei un'altra.

6. Cancella il file e verifica

   rm politica.json
   aws iam list-attached-user-policies --user-name panel-maquinas

   Deve comparire solo PanelMaquinas. Configura lo strumento con la chiave e prova un'azione permessa (vedere le macchine) e una non permessa (crearne una): la seconda deve fallire con "not authorized". Quell'errore è la prova che hai fatto bene il lavoro.

Cosa può andare storto