Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengontrol akses konsol dengan kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya

AWS Sign-In mendukung kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya (RCP) untuk mengontrol akses ke. AWS Sign-In Gunakan kebijakan ini untuk memverifikasi identitas pengguna dan lokasi jaringan di seluruh Konsol Manajemen AWS akses — sebelum, selama, dan setelah otentikasi. Untuk pengguna root, kebijakan ini memvalidasi lokasi jaringan dan identitas pengguna sebelum pengumpulan kredensi dimulai. KredenSIAL dapat dimasukkan hanya ketika akses berasal dari jaringan yang diharapkan.

AWS Sign-In kebijakan berbasis sumber daya:

Kebijakan kontrol sumber daya (RCP):

Kedua jenis kebijakan memverifikasi akses sebelum otentikasi. Ini memblokir prinsipal mengakses halaman masuk dari jaringan yang tidak terduga.

Kebijakan ini tidak menggantikan kebijakan berbasis identitas IAM, yang terus berlaku.

AWS Sign-In kebijakan berbasis sumber daya dan RCP berlaku untuk metode otentikasi berikut:

Kontrol ini tidak berlaku untuk akses terprogram menggunakan kunci akses (AWS SDK atau panggilan API yang ditandatangani dengan SIGv4).

Bagaimana AWS Sign-In mengevaluasi kebijakan berbasis sumber daya

AWS Sign-In mengevaluasi kebijakan berbasis sumber daya atau kebijakan kontrol sumber daya (RCP) yang berlaku di dua titik selama akses konsol: sebelum otentikasi (fase pra-otentikasi) dan setelah otentikasi berhasil (fase pasca-otentikasi). Setiap evaluasi memeriksa kunci kondisi yang ditentukan dalam kebijakan Anda. Tombol yang tersedia tergantung pada fase dan tindakan. Lihat perinciannya di Kunci kondisi yang didukung.

Setelah otentikasi, evaluasi juga mempertimbangkan kebijakan berbasis identitas kepala sekolah. Kebijakan IAM yang menolak tindakan masuk yang relevan dapat mencegah sesi konsol diberikan, bahkan ketika kondisi jaringan terpenuhi.

Tindakan yang didukung

AWS Sign-In kebijakan sumber daya (kebijakan berbasis sumber daya dan RCP) mendukung tindakan berikut:

Kunci kondisi yang didukung

AWS Sign-In mendukung kunci kondisi berikut dalam kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya (RCP). Gunakan tombol ini untuk mengontrol akses konsol berdasarkan lokasi jaringan dan identitas utama:

Untuk aturan penggunaan terperinci, kompatibilitas operator, batasan kombinasi, dan matriks ketersediaan berdasarkan tindakan, lihatAWS Sign-In referensi kunci kondisi.

Memulai kontrol akses konsol menggunakan kebijakan sumber daya

Prasyarat

Tentukan --region us-east-1 untuk semua operasi penulisan pada AWS Sign-In kebijakan. AWS mereplikasi kebijakan secara global dari Wilayah ini. Operasi baca dapat menargetkan Wilayah mana pun.

Langkah 1: Buat pernyataan izin sumber daya

Buat pernyataan izin yang menentukan kontrol akses Anda. Semua operasi penulisan memerlukan --region us-east-1 ( AWS Sign-In layanan menerima perubahan kebijakan hanya di Wilayah ini). Parameter yang tersisa (--source-vpc--source-ip,--requested-region,,--excluded-principal) menentukan kondisi dalam kebijakan Anda. Misalnya, --requested-region us-west-2 menambahkan kondisi yang membatasi masuk ke titik akhir masuk regional us-west-2.

Contoh - Batasi akses ke VPC perusahaan:

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

Contoh - Batasi akses ke rentang IP tertentu:

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

Langkah 2: Aktifkan konfigurasi otorisasi konsol

Langkah berikut mengaktifkan penegakan kebijakan untuk proses masuk konsol di akun atau organisasi Anda. Pernyataan izin sumber daya dapat dibuat kapan saja, tetapi pernyataan tersebut tidak dievaluasi sampai otorisasi konsol diaktifkan.

Untuk akun mandiri:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Untuk Organisasi AWS:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

Verifikasi konfigurasi:

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

Hapus konfigurasi otorisasi konsol:

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

Langkah 3: Verifikasi kebijakan Anda

Daftar semua pernyataan izin:

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

Ambil kebijakan konsolidasi lengkap:

aws signin get-resource-policy \
  --region <your-region>

Per get-resource-policy intah mengembalikan kebijakan berbasis sumber daya lengkap yang terdiri dari semua pernyataan izin Anda. Tinjau kebijakan ini untuk mengonfirmasi bahwa kebijakan tersebut mencerminkan kontrol akses yang Anda inginkan sebelum menguji akses konsol.

Ketersediaan wilayah

API otorisasi konsol tersedia di semua Wil AWS ayah komersial. Anda dapat memanggil API ini dari Wilayah mana pun tempat Anda beroperasi.

Memahami struktur kebijakan

AWS Sign-In kebijakan berisi dua pernyataan yang melindungi fase berbeda dari alur masuk konsol:

Kedua pernyataan diperlukan karena login konsol menggunakan OAuth 2.0, yang mengalir melalui ketiga tindakan secara berurutan. Kebijakan dengan hanya satu pernyataan membuat fase lainnya tidak terlindungi. signin:PrincipalArnmendukung pengguna root, pengguna IAM, dan tipe utama peran. aws:PrincipalArnmendukung semua jenis utama (pengguna root, pengguna IAM, pengguna federasi, peran).

Contoh kebijakan

Contoh 1: RCP dengan perimeter jaringan dan prinsipal yang dikecualikan

Kebijakan kontrol sumber daya (RCP) berikut menolak Konsol Manajemen AWS masuk dari luar jaringan perusahaan Anda di semua akun di organisasi Anda. Kepala sekolah yang dikecualikan yang ditunjuk dikecualikan untuk akses darurat. Karena ID VPC unik hanya di dalam Wilayah, kebijakan menyertakan pernyataan ketiga yang menyematkan VPC-based akses ke Wilayah yang diharapkan.

Per EnforceNetworkPerimeterPreAuth nyataan tersebut digunakan signin:PrincipalArn untuk mengecualikan prinsipal yang dikecualikan selama fase pra-otentikasi. Per EnforceNetworkPerimeterPostAuth nyataan tersebut digunakan aws:PrincipalArn untuk mengecualikan prinsipal yang dikecualikan setelah otentikasi. Per EnforceSourceVPCRegion nyataan memastikan permintaan Region cocok dengan Wilayah VPC, membatasi akses ke Wilayah yang diharapkan untuk VPC yang ditentukan.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

Kebijakan ini:

Contoh 2: Resource-based kebijakan untuk IP-based akses dengan prinsip yang dikecualikan

Kebijakan berbasis sumber daya berikut menolak akses konsol ke semua prinsipal yang membuat permintaan dari luar rentang IP yang ditentukan, dengan prinsipal yang dikecualikan dikecualikan. Kebijakan berisi dua pernyataan: pernyataan pra-otentikasi yang menggunakan signin:PrincipalArn kunci khusus layanan, dan pernyataan pasca-otentikasi yang menggunakan kunci global. aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

Kebijakan ini:

Praktik terbaik

Konfigurasikan prinsipal yang dikecualikan untuk akses pemulihan darurat

AWS merekomendasikan mengonfigurasi setidaknya satu pengguna yang dikecualikan sebelum menerapkan kebijakan otorisasi konsol dalam produksi. Pada tahap pra-otentikasi, kunci signin:PrincipalArn kondisi membebaskan pengguna root, pengguna IAM, dan prinsipal peran. Pada tahap pasca-otentikasi, kunci aws:PrincipalArn kondisi membebaskan semua jenis utama (pengguna root, pengguna IAM, pengguna federasi, peran).

Prinsip yang dikecualikan bersifat opsional, tetapi menghilangkannya meningkatkan risiko penguncian akun jika kondisi jaringan berubah secara tidak terduga atau jika kebijakan salah dikonfigurasi.

Langkah-langkah konfigurasi utama yang dikecualikan yang disarankan:

Pertahankan jalur akses pemulihan

Selain prinsip yang dikecualikan yang dijelaskan di atas, pastikan metode akses alternatif tersedia jika kebijakan otorisasi konsol memblokir masuk secara tidak terduga:

Uji sebelum penerapan produksi

AWS menyarankan agar Anda tidak melampirkan RCP restriktif ke root organisasi Anda tanpa menguji secara menyeluruh dampak kebijakan terhadap akun. Sebagai gantinya, buat OU yang dapat Anda pindahkan akun ke satu per satu, atau setidaknya dalam jumlah kecil, untuk memastikan bahwa Anda tidak secara tidak sengaja mengunci pengguna dari akun utama.

Alur kerja pengujian:

Desain dengan pertahanan mendalam

Gunakan AWS Sign-In kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya sebagai satu lapisan dalam strategi keamanan yang lebih luas. AWS Sign-In kebijakan membatasi akses konsol berdasarkan lokasi jaringan dan identitas utama. Gabungkan dengan jenis kebijakan lain untuk membuat kontrol akses yang komprehensif:

Memantau dan mengaudit secara terus menerus

AWS CloudTrail secara otomatis mencatat semua evaluasi AWS Sign-In kebijakan dan perubahan konfigurasi. Lihat acara ini di CloudTrail Riwayat acara hingga 90 hari. Untuk retensi yang lebih lama, kirimkan acara ke Amazon S3 dengan membuat jejak (lihat Membuat jejak). Untuk peringatan waktu nyata, buat EventBridge aturan Amazon yang cocok dengan AWS Sign-In peristiwa, konfigurasikan jejak Anda untuk dikirimkan ke grup log CloudWatch log untuk alarm berbasis filter metrik, atau teruskan peristiwa ke solusi SIEM Anda yang ada.

Kasus penggunaan

Memecahkan masalah kontrol akses konsol

Saya tidak dapat masuk karena kondisi jaringan dalam kebijakan Sign-in berbasis sumber daya

Anda mungkin melihat salah satu pesan kesalahan berikut saat akses ditolak oleh AWS Sign-In kebijakan:

Jika Anda melihat salah satu kesalahan ini dan yakin akses Anda harus diizinkan, hubungi AWS administrator Anda. Mereka dapat meninjau CloudTrail log untuk ConsoleLogin peristiwa dengan errorMessage “Otorisasi ditolak karena kebijakan berbasis sumber daya” atau “Otorisasi ditolak karena kebijakan kontrol sumber daya” untuk mengidentifikasi pernyataan kebijakan mana yang menolak akses.

Kemungkinan penyebab:

Resolusi:

Pengguna portal Pusat Identitas IAM: Akses konsol melalui portal Pusat Identitas IAM saat ini tidak kompatibel dengan AWS Sign-In kebijakan yang membatasi akses berdasarkan kunci kondisi jaringan. Untuk memulihkan akses pengguna di pengguna Pusat Identitas IAM, hapus atau sesuaikan kunci kondisi berbasis jaringan dalam kebijakan Anda, atau arahkan pengguna tersebut untuk masuk melalui metode otentikasi alternatif.

Untuk administrator yang mendiagnosis masalah ini:

Saya terkunci dari akun saya setelah mengaktifkan otorisasi konsol

Jika Anda mengonfigurasi otorisasi konsol dan tidak dapat lagi mengakses akun Anda, Anda mungkin belum mengonfigurasi prinsipal yang dikecualikan sebelum menerapkan kebijakan.

Ada beberapa jalur untuk mendapatkan kembali akses, tergantung pada jenis akun Anda dan kredenSIAL yang tersedia.

Opsi 1: Gunakan akses terprogram (AWS CLI atau SDK)

Kebijakan otorisasi konsol hanya berlaku untuk masuk konsol interaktif. Mereka tidak berlaku untuk permintaan API yang ditandatangani dengan SIGv4. Jika Anda memiliki akses terprogram (misalnya, kunci akses yang ada, peran lintas akun), gunakan untuk memanggil signin:DeleteConsoleAuthorizationConfiguration dan menghapus kebijakan pembatasan. KredenSIAL yang Anda gunakan harus memiliki izin untuk meneleponsignin:DeleteConsoleAuthorizationConfiguration. Kebijakan ter AWSSignInResourcePolicyManagement kelola menyertakan izin ini. AWS merekomendasikan kredenSIAL sementara di atas kunci akses pengguna IAM jangka panjang. Untuk akun anggota, administrator akun manajemen dapat berasumsi OrganizationAccountAccessRole di akun anggota untuk mendapatkan kredenSIAL sementara. Peran ini tidak dibuat secara otomatis di akun yang diundang untuk bergabung dengan organisasi.

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Atau hapus pernyataan izin tertentu:

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

Opsi 2: Hubungi AWS Dukungan

Jika Anda tidak memiliki akses terprogram dan tidak dapat menggunakan OrganizationAccountAccessRole untuk akses akun, hubungi AWS Dukungan untuk memulai proses pemulihan penguncian.

Proses pemulihan bekerja sebagai berikut:

Tautan portal pemulihan kedaluwarsa 72 jam setelah AWS Dukungan membagikannya. Jika Anda tidak menyelesaikan pemulihan dalam jendela itu, hubungi AWS Dukungan untuk memulai ulang proses.

Setelah mendapatkan kembali akses:

Perubahan yang saya buat tidak selalu langsung terlihat

Perubahan kebijakan mereplikasi secara global, tetapi replikasi mungkin memakan waktu beberapa menit.

Resolusi:

aws signin get-resource-policy --region <your-region>

Masalah replikasi kebijakan umum: