"Passo-lhe o meu utilizador e a palavra-passe da AWS, entre e veja." É o que toda a gente faz e é a pior ideia possível: essa pessoa pode tudo, não saberá o que fez, e quando deixar de colaborar terá de mudar a sua palavra-passe e esperar que não a tenha apontado. A AWS está pensada para que cada pessoa tenha o seu próprio utilizador com as permissões justas: o técnico externo que só deve ver, a contabilidade que só precisa das faturas, o colega que opera duas máquinas. Este guia cria um desses utilizadores e deixa-o bem fechado.
Antes de começar: o que significa cada coisa
- IAM
- O serviço da AWS onde se criam utilizadores e se lhes atribuem permissões.
- Utilizador IAM
- Uma identidade própria dentro da sua conta, com o seu nome, a sua palavra-passe e as suas permissões. Não é outra conta AWS: é uma pessoa dentro da sua.
- Política
- A lista de permissões que se atribui a um utilizador. A AWS traz muitas já feitas (só leitura, faturação, administrador...) e pode escrever as suas.
- Grupo
- Um conjunto de utilizadores que partilham as mesmas políticas. Mais cómodo do que atribuir permissões um a um.
- Duplo fator (MFA)
- O código do telemóvel ao entrar. Pode exigi-lo a cada utilizador.
- Alias da conta
- Um nome fácil para o endereço de início de sessão da sua conta, em vez do número de doze dígitos.
- IAM Identity Center
- O sistema mais moderno da AWS para gerir pessoas, pensado para empresas com várias contas. Para uma conta e umas poucas pessoas, os utilizadores IAM bastam.
Passo a passo
Decida o que deve poder fazer
Três perfis cobrem quase tudo: só ver (um técnico que diagnostica, um auditor): política
ReadOnlyAccess; faturação (a contabilidade): políticaAWSBillingReadOnlyAccessouBilling, e terá de ativar em Conta o "acesso de utilizadores IAM à faturação"; operar umas máquinas (um colega): uma política própria com as ações de ver, arrancar e parar, como a do guia de permissões mínimas. NuncaAdministratorAccess, salvo se for mesmo um administrador.Ponha um alias à conta
No IAM, no painel principal à direita, Alias da conta, Criar:
miempresa. O endereço de entrada dos seus utilizadores passa a serhttps://miempresa.signin.aws.amazon.com/console, muito mais fácil de dar do que um número.Crie um grupo com as permissões
IAM, Grupos de utilizadores, Criar grupo: nome
solo-lectura(ou o perfil que for), e na lista de políticas marque a que corresponder. Criar. As permissões atribuem-se ao grupo; as pessoas, apenas as mete no grupo. Quando for preciso mudar uma permissão, muda-se uma vez para todos.Crie o utilizador
Utilizadores, Criar utilizador. Nome: o da pessoa (
ana.garcia), não "externo1". Marque Fornecer acesso à consola, escolha palavra-passe gerada automaticamente e deixe marcado o utilizador deve criar uma palavra-passe nova ao iniciar sessão. Seguinte: Adicionar utilizador ao grupo e marque o grupo. Criar. O último ecrã mostra o endereço de entrada, o utilizador e a palavra-passe temporária: envie-os por dois canais distintos (o endereço e o utilizador por e-mail, a palavra-passe por mensagem), nunca juntos.Exija o duplo fator
Peça-lhe que, ao entrar, vá ao seu nome em cima à direita, Credenciais de segurança, e atribua um dispositivo MFA com a aplicação do seu telemóvel. Para o tornar obrigatório a sério, há uma política conhecida da AWS que nega tudo até o utilizador configurar o MFA; a documentação do IAM traz-na pronta a copiar ("Permitir aos utilizadores gerir as suas próprias credenciais com MFA"). Adicione-a ao grupo.
Retire-lhe o acesso quando terminar
Quando a colaboração acabar: IAM, Utilizadores, selecione a pessoa, Eliminar. Se preferir conservá-lo para o caso de voltar, Credenciais de segurança, Desativar o acesso à consola. E uma vez por trimestre, veja a coluna Última atividade da lista de utilizadores: quem leva meses sem entrar, provavelmente já não precisa.
O que pode correr mal
O utilizador entra mas não vê nada ou aparecem-lhe erros de permissão
É o esperado fora do que a sua política permite. Se lhe falta algo legítimo, a mensagem de erro diz que ação, e adiciona-a à política do grupo. Se é só leitura e vê "não autorizado" na faturação, falta ativar o acesso do IAM à faturação na configuração da conta.
Precisa de fazer uma coisa concreta que não está em nenhuma política da AWS
Escreva uma política própria com essa ação (guia de permissões mínimas). Costuma ser mais fácil do que parece: o nome da ação está na mensagem de erro.
Somos mais de dez pessoas e várias contas
É o momento do IAM Identity Center: um único início de sessão para todas as contas, com permissões por conjunto. Mais montagem ao início, muito menos trabalho depois.
Um externo pede-me uma chave de acesso em vez de utilizador de consola
Se vai usar programas, é razoável; dê-lhe um utilizador sem palavra-passe de consola e com chave de acesso e permissões mínimas, ou melhor uma função entre contas (guias nesta secção). E que a rode periodicamente.
No Simplio
No Simplio convida uma pessoa por e-mail e marca com caixas o que pode fazer (ver, arrancar e parar, instantâneos, ficheiros, terminal) e sobre que máquinas, buckets ou bases de dados; ela entra com o seu próprio utilizador e o seu duplo fator obrigatório, sem nunca tocar na sua conta AWS nem saber nenhuma chave. Quando deixar de colaborar, desativa-a com um clique e tudo o que fez fica no registo de atividade.
O mesmo, na AWS e no Simplio
| Na consola da AWS | No Simplio | |
|---|---|---|
| Dar acesso limitado a uma pessoa | Alias, grupo, política, utilizador, MFA, dois canais: 6 passos, 15 minutos sabendo que política | Convidar por e-mail e marcar caixas: ver, arrancar/parar, instantâneos, terminal, e que máquinas. 1 minuto |
| Duplo fator | Pedi-lo e confiar, ou uma política avançada | Obrigatório para todos os utilizadores do Simplio |
| Retirar o acesso | IAM, procurar, eliminar | Desativar o utilizador; as suas ações ficam no registo de atividade |