Phân biệt nhanh: các công cụ IAM dễ nhầm lẫn
IAM và các dịch vụ liên quan có nhiều công cụ tên gần giống nhau; mỗi công cụ giải quyết một nhu cầu riêng về quyền truy cập.
Các công cụ dưới đây có tên hoặc chức năng gần nhau. Mỗi mục nêu công cụ dùng khi nào, vì sao không phù hợp với tình huống của MFTECH, và phương án phù hợp.
Cho biết lần cuối user, group, role hoặc policy dùng tới từng dịch vụ AWS (và một số management action); thông tin dịch vụ được theo dõi ít nhất 400 ngày. Dùng để loại bỏ quyền không dùng tới, tiến tới least privilege.
Vì sao không chọn trong tình huống nàyĐội bảo mật cần tìm bucket S3, IAM role, KMS key bị chia sẻ ra ngoài Organization. Last accessed information không phân tích resource-based policy nên không cho biết principal bên ngoài nào truy cập được tài nguyên.
Phương án phù hợpIAM Access Analyzer với external access analyzer, zone of trust là Organization (phần 4).
- Quyền không dùng tới: last accessed information.
- Tài nguyên chia sẻ ra ngoài: IAM Access Analyzer.
- Phản ứng khi có object mới: S3 Event Notifications.
- Phân quyền theo prefix trên bucket dùng chung: S3 access point.
- Giới hạn quyền cả root user của member account: SCP.
Quick comparison: IAM tools that are easy to confuse
IAM and related services offer several tools with similar names; each one meets a different access need.
The tools below have similar names or functions. Each item states when to use the tool, why it does not fit MFTECH’s situation, and what fits instead.
Shows when a user, group, role or policy last used each AWS service (and some management actions); service information is tracked for at least 400 days. Use it to remove unused permissions and move toward least privilege.
Vì sao không chọn trong tình huống nàyThe security team must find S3 buckets, IAM roles and KMS keys shared outside the Organization. Last accessed information does not analyze resource-based policies, so it cannot tell which external principals can reach a resource.
Phương án phù hợpIAM Access Analyzer with an external access analyzer whose zone of trust is the Organization (part 4).
- Unused permissions: last accessed information.
- Resources shared externally: IAM Access Analyzer.
- Reacting to new objects: S3 Event Notifications.
- Per-prefix access to a shared bucket: S3 access points.
- Limiting even the root user of a member account: SCPs.