Kontrol akses ke layanan VPC Lattice menggunakan kebijakan autentikasi

Kebijakan autentikasi VPC Lattice adalah dokumen kebijakan IAM yang Anda lampirkan ke jaringan layanan atau layanan untuk mengontrol apakah prinsipal tertentu memiliki akses ke grup layanan atau layanan tertentu. Anda dapat melampirkan satu kebijakan autentikasi ke setiap jaringan layanan atau layanan yang ingin Anda kontrol aksesnya.

Kebijakan autentikasi berbeda dengan kebijakan berbasis identitas IAM. Kebijakan berbasis identitas IAM dilampirkan ke pengguna, grup, atau peran IAM dan menentukan tindakan apa yang dapat dilakukan identitas tersebut pada sumber daya mana. Kebijakan autentikasi dilampirkan ke layanan dan jaringan layanan. Agar otorisasi berhasil, kebijakan autentikasi dan kebijakan berbasis identitas harus memiliki pernyataan izin eksplisit. Untuk informasi selengkapnya, lihat Cara kerja otorisasi.

Anda dapat menggunakan konsol AWS CLI dan untuk melihat, menambah, memperbarui, atau menghapus kebijakan autentikasi pada layanan dan jaringan layanan. Saat Anda menambahkan, memperbarui, atau menghapus kebijakan autentikasi, mungkin perlu beberapa menit untuk bersiap-siap. Saat menggunakan AWS CLI, pastikan Anda berada di Wilayah yang benar. Anda dapat mengubah Wilayah default untuk profil Anda, atau menggunakan --region parameter dengan perintah.

Untuk memulai kebijakan autentikasi, ikuti prosedur untuk membuat kebijakan autentikasi yang berlaku untuk jaringan layanan. Untuk izin yang lebih ketat yang tidak ingin diterapkan ke layanan lain, Anda dapat mengatur kebijakan autentikasi pada layanan individual secara opsional.

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

Jika Anda mengaktifkan kebijakan autentikasi yang memerlukan permintaan terautentikasi ke layanan, permintaan apa pun ke layanan tersebut harus berisi tanda tangan permintaan yang valid yang dihitung menggunakan SigV4 (SigV4). Untuk informasi selengkapnya, lihat Permintaan terautentikasi SIGv4 untuk Amazon VPC Lattice.

Elemen umum dalam kebijakan autentikasi

Kebijakan autentikasi VPC Lattice ditentukan menggunakan sintaks yang sama dengan kebijakan IAM. Untuk informasi selengkapnya, lihat Identity-based kebijakan dan kebijakan berbasis sumber daya di Panduan Pengguna IAM.

Kebijakan autentikasi berisi elemen-elemen berikut:

Saat Anda membuat dan mengelola kebijakan autentikasi, Anda mungkin ingin menggunakan IAM Policy Generator.

Persyaratan

Kebijakan dalam JSON tidak boleh berisi baris baru atau baris kosong.

Format sumber daya untuk kebijakan autentikasi

Anda dapat membatasi akses ke sumber daya tertentu dengan membuat kebijakan autentikasi yang menggunakan skema pencocokan dengan <serviceARN>/<path> pola dan kode Resource elemen seperti yang ditunjukkan dalam contoh berikut.

Gunakan format sumber daya Amazon Resource Name (ARN) berikut untuk<serviceARN>:

arn:aws:vpc-lattice:region:account-id:service/service-id

Contoh:

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

Kunci kondisi yang dapat digunakan dalam kebijakan autentikasi

Akses dapat dikendalikan lebih lanjut oleh kunci kondisi di elemen Kondisi kebijakan autentikasi. Kunci kondisi ini hadir untuk evaluasi tergantung pada protokol dan apakah permintaan ditandatangani dengan Sig nature Version 4 (SIGv4) atau anonim. Kunci kondisi peka huruf besar/kecil.

AWS menyediakan kunci kondisi global yang dapat Anda gunakan untuk mengontrol akses, seperti aws:PrincipalOrgID danaws:SourceIp. Untuk melihat daftar kunci kondisi AWS global, lihat kunci konteks kondisi AWS global di Panduan Pengguna IAM.

Kisah berikut mencantumkan kunci kondisi VPC Lattice. Untuk informasi selengkapnya, lihat Kunci Kondisi untuk Layanan Lattice Amazon VPC di Refer ensi O torisasi Layanan.

Tag sumber daya

Tag adalah label metadata yang Anda tetapkan atau yang AWS ditetapkan ke AWS sumber daya. Setiap tag memiliki dua bagian:

Untuk informasi selengkapnya tentang penandaan, lihat Mengon trol akses ke AWS sumber daya menggunakan tag

Anda dapat menggunakan tag dalam kebijakan autentikasi menggunakan kunci konteks kondisi aws:ResourceTag/key AWS global.

Kebijakan contoh berikut memberikan akses ke layanan dengan tagEnvironment=Gamma. Kebijakan ini memungkinkan Anda merujuk ke layanan tanpa ARN atau ID layanan hard‑coding.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowGammaAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "vpc-lattice-svcs:Invoke",
      "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0124446789abcdef0/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "Gamma"
        }
      }
    }
  ]
}

Tag utama

Anda dapat mengontrol akses ke layanan dan sumber daya berdasarkan tag yang melekat pada identitas penelepon. VPC Lattice mendukung kontrol akses berdasarkan tag utama apa pun pada tag pengguna, peran, atau sesi menggunakan aws:PrincipalTag/context variabel. Untuk informasi selengkapnya, lihat Meng ontrol akses untuk prinsipal IAM.

Kebijakan contoh berikut hanya memberikan akses ke identitas dengan tagTeam=Payments. Kebijakan ini memungkinkan Anda mengontrol akses tanpa hard coding ID akun atau ARN peran.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowPaymentsTeam",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "vpc-lattice-svcs:Invoke",
      "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/Team": "Payments"
        }
      }
    }
  ]
}

Prinsipal anonim (tidak diautentikasi)

Principal anonim adalah pemanggil yang tidak menandatangani AWS permintaan mereka dengan Sig nature Version 4 (SIGv4), dan berada dalam VPC yang terhubung ke jaringan layanan. Prinsipal anonim dapat membuat permintaan yang tidak diautentikasi ke layanan di jaringan layanan jika kebijakan autentikasi mengizinkannya.

Contoh kebijakan autentikasi

Berikut ini adalah contoh kebijakan autentikasi yang mengharuskan permintaan dibuat oleh prinsipal yang diautentikasi.

Semua contoh menggunakan Wil us-west-2 ayah dan berisi ID akun fiktif.

Contoh 1: Batasi akses ke layanan dengan tertentu AWS organisasi

Contoh kebijakan autentikasi berikut memberikan izin untuk setiap permintaan yang diautentikasi untuk mengakses layanan apa pun di jaringan layanan yang diterapkan kebijakan tersebut. Namun, permintaan harus berasal dari prinsipal yang termasuk dalam AWS organisasi yang ditentukan dalam kondisi tersebut.

Contoh 2: Batasi akses ke layanan dengan peran IAM tertentu

Contoh kebijakan autentikasi berikut memberikan izin untuk setiap permintaan terautentikasi yang menggunakan peran IAM rates-client untuk membuat permintaan GET HTTP pada layanan yang ditentukan dalam elemen. Resource Sumber daya dalam Resource elemen sama dengan layanan yang dilampirkan kebijakan.

Contoh 3: Batasi akses ke layanan oleh prinsipal yang diautentikasi dalam VPC tertentu

Contoh kebijakan autentikasi berikut hanya mengizinkan permintaan yang diautentikasi dari prinsipal di VPC yang memiliki ID VPC. vpc-1a2b3c4d

Cara kerja otorisasi

Ketika layanan VPC Lattice menerima permintaan, kode AWS penegakan mengevaluasi semua kebijakan izin yang relevan bersama-sama untuk menentukan apakah akan mengotorisasi atau menolak permintaan. Ini mengevaluasi semua kebijakan berbasis identitas IAM dan kebijakan autentikasi yang berlaku dalam konteks permintaan selama otorisasi. Secara default, semua permintaan ditolak secara implisit ketika tipe autentikasi ada. AWS_IAM Izin eksplisit dari semua kebijakan yang relevan mengesampingkan default.

Otorisasi meliputi:

Diagram menunjukkan alur kerja otorisasi. Ketika permintaan dibuat, kebijakan yang relevan mengizinkan atau menolak akses permintaan ke layanan tertentu.