Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Le migliori pratiche per la sicurezza IAM
L'amministratore IAM sarà responsabile delle seguenti tre aree chiave.
+ Garantire che il sistema SAP possa autenticarsi con i metadati di Amazon EC2 o le credenziali Secret Key.
+ Garantire che il sistema SAP disponga delle autorizzazioni necessarie per elevarsi. `sts:assumeRole`
+ Per ogni ruolo IAM logico, creazione di un ruolo IAM per gli utenti SAP con le autorizzazioni necessarie per eseguire le funzioni aziendali (ad esempio, le autorizzazioni necessarie per Amazon S3, DynamoDB o altri servizi). Questi sono i ruoli che gli utenti SAP assumeranno.
Per ulteriori informazioni, consulta il capitolo [Sicurezza](https://docs.aws.amazon.com/wellarchitected/latest/sap-lens/security.html) in SAP Lens: AWS Well-Architected Framework.
**Topics**
+ [Best practice per il profilo dell'istanza Amazon EC2](#best-practice-instance-profile)
+ [Ruoli IAM per utenti SAP](#iam-roles-sap-users)
+ [Considerazioni sulla sicurezza del profilo di origine](#source-profile-security)
## Best practice per il profilo dell'istanza Amazon EC2
L'istanza Amazon EC2 su cui viene eseguito il sistema SAP dispone di una serie di autorizzazioni basate sul profilo dell'istanza. In genere, il profilo dell'istanza deve disporre solo delle autorizzazioni per effettuare chiamate`sts:assumeRole`, per consentire al sistema SAP di assumere ruoli IAM specifici dell'azienda, se necessario. Questa elevazione ad altri ruoli garantisce che un programma ABAP possa assumere un ruolo che offra all'utente il minimo privilegio necessario per svolgere il proprio lavoro. Ad esempio, un profilo di istanza potrebbe contenere la seguente dichiarazione.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "sts:AssumeRole",
"Resource":[
"arn:aws:iam::012345678912:role/finance-cfo",
"arn:aws:iam::012345678912:role/finance-auditor",
"arn:aws:iam::012345678912:role/finance-reporting"
]
}
]
}
```
------
L'esempio precedente consente al sistema SAP di assumere i ruoli IAM per l'utente CFO, AUDITOR o REPORTING. AWS SDK sceglierà il ruolo IAM corretto per l'utente in base al ruolo PFCG dell'utente in SAP.
Il profilo di istanza Amazon EC2 può essere utilizzato anche per altre funzioni.
+ [AWS Backint Agent per SAP HANA](https://docs.aws.amazon.com/sap/latest/sap-hana/aws-backint-agent-sap-hana.html)
+ [SAP AWS ad alta disponibilità con routing degli indirizzi IP in overlay](https://docs.aws.amazon.com/sap/latest/sap-hana/sap-ha-overlay-ip.html)
Queste soluzioni possono inoltre richiedere `sts:assumeRole` autorizzazioni per ruoli specifici di backup o failover oppure possono richiedere l'assegnazione diretta delle autorizzazioni al profilo dell'istanza.
## Ruoli IAM per utenti SAP
Il programma ABAP necessita delle autorizzazioni per eseguire il lavoro dell'utente: leggere una tabella DynamoDB, richiamare Amazon Textract su un oggetto PDF in Amazon S3, eseguire una funzione. AWS Lambda In tutti viene utilizzato lo stesso modello di sicurezza. AWS SDKs Puoi utilizzare un ruolo IAM esistente che è stato utilizzato per un altro AWS SDK.
L'analista aziendale SAP chiederà all'amministratore IAM il nome arn:aws: di un ruolo IAM per ogni ruolo logico necessario. Ad esempio, in uno scenario finanziario, l'analista aziendale può definire i seguenti ruoli IAM logici.
+ `CFO`
+ `AUDITOR`
+ `REPORTING`
L'amministratore IAM definirà i ruoli IAM per ogni ruolo IAM logico.
`CFO`
+ `arn:aws:iam::0123456789:role/finance-cfo`
+ autorizzazioni di lettura e scrittura per un bucket Amazon S3
+ autorizzazioni di lettura e scrittura per un database DynamoDB
`AUDITOR`
+ `arn:aws:iam::0123456789:role/finance-auditor`
+ autorizzazioni di lettura per un bucket Amazon S3
+ autorizzazioni di lettura per un database DynamoDB
`REPORTING`
+ `arn:aws:iam::0123456789:role/finance-reporting`
+ autorizzazioni di lettura per un database DynamoDB
+ nessuna autorizzazione per il bucket Amazon S3
L'analista aziendale inserirà i ruoli IAM in una tabella di mappatura per mappare i ruoli IAM logici con i ruoli IAM fisici.
I ruoli IAM per gli utenti SAP devono consentire l'`sts:assumeRole`azione a responsabili affidabili. I trusted principal possono variare in base alla modalità di autenticazione del sistema SAP. AWS Per ulteriori dettagli, vedere [Specificare](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html#Principal_specifying) un principale.
Di seguito sono riportati alcuni esempi degli scenari SAP più comuni.
+ **Sistema SAP in esecuzione su Amazon EC2 con un profilo di istanza assegnato: qui, un profilo** di istanza Amazon EC2 è collegato a un ruolo IAM.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sts:AssumeRole"
],
"Principal": {
"AWS": "arn:aws:iam::123456789012:role/SapInstanceProfile"
}
}
]
}
```
------
+ **Sistemi SAP in esecuzione su Amazon EC2 senza un profilo di istanza**: qui, Amazon EC2 assume i ruoli degli utenti SAP.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sts:AssumeRole"
],
"Principal": {
"Service": [ "ec2.amazonaws.com" ]
}
}
]
}
```
------
+ Sistemi **SAP in esecuzione in locale: i sistemi SAP che funzionano in locale** possono autenticarsi solo utilizzando la chiave di accesso segreta. [Per ulteriori informazioni, consulta Autenticazione del sistema SAP su. AWS](https://docs.aws.amazon.com/sdk-for-sapabap/latest/developer-guide/system-authentication.html)
Qui, qualsiasi ruolo IAM assunto da un utente SAP deve avere una relazione di fiducia che dia fiducia all'utente SAP.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sts:AssumeRole"
],
"Principal": {
"AWS": "arn:aws:iam::123456789012:user/SAP_SYSTEM_S4H"
}
}
]
}
```
------
## Considerazioni sulla sicurezza del profilo di origine
Quando si utilizza il profilo di origine:
### Gestione dei ruoli IAM
**Critico**: i ruoli IAM nelle catene di profili di origine devono essere gestiti rigorosamente per prevenire accessi non autorizzati e l'escalation dei privilegi:
+ **Applica il principio del privilegio minimo**: concedi solo le autorizzazioni minime richieste per lo scopo specifico di ciascun ruolo
+ **Verifica regolarmente le autorizzazioni relative ai ruoli**: rivedi e aggiorna le politiche relative ai ruoli trimestralmente o quando i requisiti cambiano
+ **Monitora l'utilizzo dei ruoli**: consente di tenere traccia delle chiamate AssumeRole API e identificare modelli insoliti
+ **Limita le relazioni di fiducia**: limita i responsabili che possono assumere ogni ruolo solo a coloro che hanno assolutamente bisogno di accedervi
+ **Usa le condizioni nelle politiche di fiducia**: aggiungi condizioni come IP di origine, requisiti MFA o restrizioni temporali, se del caso
+ **Documenta gli scopi dei ruoli**: mantieni una documentazione chiara del caso d'uso previsto di ciascun ruolo e delle autorizzazioni richieste
### Autorizzazione e controllo accessi
+ Assicurati che tutti i profili intermedi della catena abbiano configurate politiche di fiducia appropriate
+ Gli utenti devono disporre `/AWS1/SESS` dell'autorizzazione per TUTTI i profili della catena, compresi i profili intermedi
+ Ogni ruolo IAM deve considerare esplicitamente attendibile il ruolo precedente nella catena
### Garanzie tecniche
+ L'SDK impone una profondità massima della catena di 5 profili per evitare chiamate API STS eccessive
+ I riferimenti circolari vengono rilevati e impediti automaticamente
+ Il metodo di autenticazione del profilo di base viene convalidato per garantire che utilizzi un metodo standard (INST, SSF o RLA)
Per ulteriori informazioni sulla configurazione del profilo di origine, vedere [Utilizzo](https://docs.aws.amazon.com/sdk-for-sapabap/latest/developer-guide/source-profile.html) del profilo di origine per l'accesso tra account.