Manajemen identitas dan akses di AWS Control Tower

• AWS pengguna root akun — Saat pertama kali membuat AWS akun, Anda mulai dengan identitas yang memiliki akses lengkap ke semua AWS layanan dan sumber daya di akun. Identitas ini disebut pengguna root AWS akun. Anda memiliki akses ke identitas ini ketika Anda masuk dengan alamat email dan kata sandi yang Anda gunakan untuk membuat akun. Kami sangat menyarankan agar Anda tidak menggunakan pengguna root untuk tugas sehari-hari, bahkan tugas administratif. Sebagai gantinya, p atuhi praktik terbaik menggunakan pengguna root hanya untuk membuat pengguna Pusat Identitas IAM pertama Anda (disarankan) atau pengguna IAM (bukan praktik terbaik dalam sebagian besar kasus penggunaan). Kemudian, kunci kredensial pengguna akar dengan aman dan gunakan kredensial itu untuk melakukan beberapa tugas manajemen akun dan layanan saja. Untuk informasi selengkapnya, lihat Kapan harus masuk sebagai pengguna root.

• Pengguna IAM — Pengguna IAM adalah identitas dalam AWS akun Anda yang memiliki izin khusus dan disesuaikan. Anda dapat menggunakan kredentif pengguna IAM untuk masuk untuk mengamankan AWS halaman web seperti Konsol AWS Manajemen, Forum AWS Diskusi, atau Pusat AWS Dukungan. AWS praktik terbaik menyarankan Anda membuat pengguna Pusat Identitas IAM alih-alih pengguna IAM, karena ada lebih banyak risiko keamanan saat Anda membuat pengguna IAM yang memiliki kredenSIAL jangka panjang.

  Jika Anda harus membuat pengguna IAM untuk tujuan tertentu, selain kredentif masuk, Anda dapat membuat kunci akses untuk setiap pengguna IAM. Anda dapat menggunakan tombol ini ketika Anda memanggil AWS layanan secara terprogram, baik melalui salah satu dari beberapa SDK atau dengan menggunakan AWS Command Line Interface (CLI). Alat SDK dan CLI menggunakan access key untuk menandatangani permintaan Anda secara kriptografis. Jika Anda tidak menggunakan AWS alat, Anda harus menandatangani permintaan sendiri. AWS Control Tower mendukung Signature Version 4, protokol untuk mengotentikasi permintaan API masuk. Untuk informasi selengkapnya tentang mengotentikasi permintaan, lihat Proses Penandatanganan Tanda Tangan Versi 4 di Refer AWS ensi Umum.

• IAM role – IAM role adalah identitas IAM yang dapat Anda buat di akun Anda yang memiliki izin spesifik. Peran IAM mirip dengan pengguna IAM karena merupakan AWS identitas, dan memiliki kebijakan izin yang menentukan apa yang dapat dan tidak dapat dilakukan identitas. AWS Namun, alih-alih secara unik terkait dengan satu orang, peran dimaksudkan untuk menjadi dapat diambil oleh siapa pun yang membutuhkannya. Selain itu, peran tidak memiliki kredensial jangka panjang standar seperti kata sandi atau kunci akses yang terkait dengannya. Sebagai gantinya, saat Anda mengambil peran, kredensial keamanan sementara untuk sesi peran Anda akan diberikan. Peran IAM dengan kredensial sementara berguna dalam situasi berikut:

  • Akses pengguna federasi — Alih-alih membuat pengguna IAM, Anda dapat menggunakan identitas yang ada dari Directory Service, direktori pengguna perusahaan Anda, atau penyedia identitas web. Ini dikenal sebagai pengguna federasi. AWS memberikan peran kepada pengguna federasi ketika akses diminta melalui penyedia identitas. Untuk informasi lebih lanjut tentang pengguna gabungan, lihat Pengguna Gabungan dan Peran di Panduan Pengguna IAM.

  • AWS akses layanan — Peran layanan adalah peran IAM yang diasumsikan oleh layanan untuk melakukan tindakan di akun Anda atas nama Anda. Ketika Anda mengatur beberapa lingkungan AWS layanan, Anda harus menentukan peran untuk diasumsikan oleh layanan. Peran layanan ini harus menyertakan semua izin yang diperlukan agar layanan dapat mengakses AWS sumber daya yang dibutuhkannya. Peran layanan bervariasi dari satu layanan ke layanan lainnya, tetapi banyak yang memungkinkan Anda memilih izin selama Anda memenuhi persyaratan terdokumentasi untuk layanan tersebut. Peran layanan hanya menyediakan akses dalam akun Anda dan tidak dapat digunakan untuk memberikan akses ke layanan dalam akun lain. Anda dapat membuat, memodifikasi, dan menghapus peran layanan dari dalam IAM. Misalnya, Anda dapat membuat peran yang memungkinkan Amazon Redshift untuk mengakses bucket Amazon S3 atas nama Anda dan kemudian memuat data yang tersimpan di bucket ke dalam klaster Amazon Redshift. Untuk informasi selengkapnya, lihat Membuat Peran untuk Mendelegasikan Izin ke AWS Layanan di Panduan Pengguna IAM.

  • Aplikasi yang berjalan di Amazon EC2 — Anda dapat menggunakan peran IAM untuk mengelola kredenSIAL sementara untuk aplikasi yang berjalan di instans Amazon EC2 dan membuat permintaan AWS CLI atau API. AWS Ini lebih disukai daripada menyimpan kunci akses dalam instans Amazon EC2. Untuk menetapkan AWS peran ke instans Amazon EC2 dan membuatnya tersedia untuk semua aplikasinya, Anda membuat profil instans yang dilampirkan ke instans. Profil instans berisi peran dan memungkinkan program yang berjalan di instans Amazon EC2 untuk mendapatkan kredenSIAL sementara. Untuk informasi selengkapnya, lihat Menggunakan IAM role untuk memberikan izin ke aplikasi yang berjalan di instans Amazon EC2 dalam Panduan pengguna IAM.

• Oten tikasi pengguna Pusat Identitas IAM ke portal pengguna Pusat Identitas IAM dikendalikan oleh direktori yang telah Anda sambungkan ke Pusat Identitas IAM. Namun, otorisasi ke AWS akun yang tersedia untuk pengguna akhir dari dalam portal pengguna ditentukan oleh dua faktor:

  • Siapa yang telah diberi akses ke AWS akun tersebut di konsol Pusat Identi AWS tas IAM. Untuk informasi selengkapnya, lihat Sign-On Akses Tunggal di Panduan AWS IAM Identity Center Pengguna.

  • Tingkat izin apa yang telah diberikan kepada pengguna akhir di konsol Pusat Identi AWS tas IAM untuk memungkinkan mereka akses yang sesuai ke akun tersebut AWS . Untuk informasi selengkapnya, lihat Kumpulan Iz in di Panduan AWS IAM Identity Center Pengguna.

Topik

• Ikhtisar pengelolaan izin akses ke sumber daya AWS Control Tower

• Menggunakan kebijakan berbasis identitas (kebijakan IAM) untuk AWS Control Tower