Como criar um utilizador IAM com permissões mínimas para um painel externo (a partir do CloudShell)

Mais cedo ou mais tarde uma ferramenta externa pede-lhe "uma chave da AWS": um painel de controlo, um sistema de cópias, um monitor. A tentação é copiar a chave do seu utilizador administrador. Nunca o faça. Quem tiver essa chave pode fazer tudo o que você pode fazer, incluindo apagar a conta inteira. O correto é criar um utilizador IAM à parte com uma política que permita só as ações concretas de que essa ferramenta precisa, e dar-lhe a sua chave.

Vamos fazê-lo a partir do AWS CloudShell, o terminal que vem integrado na consola web, porque são quatro comandos que se copiam e colam e o resultado é exato. Não é preciso instalar nada no seu computador.

Passo a passo

1. Decida que ações a ferramenta precisa

   Antes de escrever o que quer que seja, faça a lista. Um painel que gere máquinas Lightsail precisará, por exemplo, de: ver as máquinas e o seu estado, arrancar, parar e reiniciar, e talvez criar e ver instantâneos. Não precisa de criar nem apagar máquinas, nem de ver a faturação, nem de mexer em utilizadores. Cada ação que não está na lista é uma ação que não vai dar. Se a ferramenta for séria, dir-lhe-á exatamente que permissões pede; se lhe pedir "AdministratorAccess", desconfie.

2. Abra o CloudShell

   Na consola da AWS, clique no ícone de terminal da barra superior (CloudShell) ou procure-o pelo nome. Demora alguns segundos a arrancar. Tem já um terminal Linux com a ferramenta aws configurada com as suas credenciais atuais, por isso tudo o que fizer ali fá-lo como o utilizador com que está na consola (que deve ter permissão para gerir o IAM).

3. Escreva a política

   Crie um ficheiro com a política em formato JSON. Este exemplo permite ver, arrancar, parar e reiniciar máquinas Lightsail e gerir os seus instantâneos, nada mais. Cole o bloco inteiro no CloudShell:

   cat > politica.json <<'FIN'
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:GetInstanceMetricData", "lightsail:GetRegions",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceSnapshot",
         "lightsail:CreateInstanceSnapshot", "lightsail:DeleteInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }
   FIN

   Cada ação chama-se servicio:Operación. Se só quiser que a ferramenta veja, retire as linhas de Start, Stop, Reboot, Create e Delete. Para EC2, S3 ou RDS as ações têm outros nomes, mas a mecânica é idêntica. No Lightsail a maioria das ações não pode ser limitada a uma máquina concreta, por isso o Resource é *; no EC2 ou no S3 pode indicar o identificador exato do recurso.

4. Crie a política, o utilizador e junte-os

   Três comandos. Mude o nome se quiser, mas que diga para que serve:

   aws iam create-policy --policy-name PanelMaquinas --policy-document file://politica.json
   aws iam create-user --user-name panel-maquinas
   CUENTA=$(aws sts get-caller-identity --query Account --output text)
   aws iam attach-user-policy --user-name panel-maquinas \
     --policy-arn arn:aws:iam::$CUENTA:policy/PanelMaquinas

   O primeiro comando devolve o ARN da política; o terceiro reconstrói-o com o número da sua conta para que não tenha de o copiar. Repare que ao utilizador não damos palavra-passe de consola: existirá só para a chave de acesso.

5. Gere a chave de acesso

   aws iam create-access-key --user-name panel-maquinas

   A resposta traz dois valores: AccessKeyId (começa por AKIA) e SecretAccessKey. O segredo só é mostrado desta vez. Copie-o diretamente para a ferramenta que o vai usar. Não o cole num e-mail, num chat nem num documento partilhado. Se o perder, não faz mal: apaga essa chave e cria outra.

6. Apague o ficheiro e verifique

   rm politica.json
   aws iam list-attached-user-policies --user-name panel-maquinas

   Deve aparecer só PanelMaquinas. Configure a ferramenta com a chave e teste uma ação permitida (ver máquinas) e uma não permitida (criar uma): a segunda deve falhar com "not authorized". Esse erro é a prova de que fez bem o trabalho.

O que pode correr mal