Dar acceso a alguien en AWS es un problema que todo el mundo resuelve mal. La opción fácil es compartir la contraseña de la cuenta, con todo lo que eso implica. La correcta es crear un usuario de IAM y escribirle una política con las acciones y los recursos exactos, en un lenguaje que hay que aprender y que un error convierte en "acceso total" o en "no funciona nada". Y cuando esa persona se va, hay que acordarse de borrarla, en cada cuenta.
En Simplio los permisos son casillas: para cada usuario, qué acciones puede hacer (ver, arrancar y parar, instantáneas, ficheros, bases de datos, dominios, terminal…) y sobre qué objetos: estas máquinas, este bucket, esta cuenta. El colaborador ve una máquina. El cliente de la agencia ve su cuenta y ninguna más. Nadie recibe una clave de AWS, porque la cuenta está conectada una sola vez, por el administrador.
Como funciona
Cria o utilizador no Simplio
Nome e e-mail. A pessoa recebe o seu acesso e ativa, se quiser obrigá-la, o seu duplo fator. Não precisa de conta AWS.
Marca o que pode fazer
As ações, agrupadas pelo que são: ver, arrancar e parar, firewall, snapshots, ficheiros, bases de dados, e-mail, domínios, funções, terminal, custos… Cada uma é uma caixa.
Marca sobre quê
As máquinas, buckets, bases e contas a que chegam essas ações. O que não estiver marcado não existe para essa pessoa: nem na lista nem nas pesquisas.
Altera-o ou retira-o quando quiser
Se uma pessoa deixa a empresa, desativa-se o seu utilizador e perde tudo de uma vez, em todas as contas. Cada alteração de permissões fica no registo de atividade.
Que segurança tem
Nenhuma chave da AWS circula
A conta AWS é ligada uma vez, pelo administrador, com uma permissão limitada ao que o Simplio faz. Os utilizadores usam o Simplio, não a AWS.
O que não se concede, não se vê
As permissões aplicam-se no servidor, em cada consulta: um utilizador sem permissão sobre uma máquina não a vê, mesmo que conheça o seu nome ou o seu endereço.
Duplo fator por utilizador
Ativa-se pessoa a pessoa, e as ações delicadas exigem-no sempre, também aos administradores.
Toda a alteração de permissões fica registada
Quem concedeu o quê a quem e quando. Se alguém tem acesso a algo, sabe porquê.
O mesmo, na AWS e no Simplio
| Por sua conta na AWS | No Simplio | |
|---|---|---|
| Dar a um técnico uma só máquina | Utilizador IAM, política JSON com o ARN da instância, condição por etiqueta, testar que funciona | Caixas: a ação e a máquina |
| Dar a um cliente a sua conta | Um utilizador IAM nessa conta, ou uma função (role) na organização | Caixa da conta no seu utilizador do Simplio |
| Retirar o acesso a quem sai | Procurar os seus utilizadores em cada conta e apagá-los | Desativar o seu utilizador do Simplio |
| Saber quem tem acesso a quê | Ler políticas IAM | A ficha do utilizador |
Perguntas frequentes
Os utilizadores do Simplio precisam de uma conta AWS?
Não. Só o administrador liga a conta AWS, uma vez. Os restantes entram no Simplio com o seu utilizador e o seu duplo fator.
Um utilizador pode dar-se mais permissões a si próprio?
Não. As permissões concede-as quem tem a permissão de gerir utilizadores, e cada alteração fica registada.