Controlla l'accesso ai servizi VPC Lattice utilizzando le politiche di autenticazione

Le politiche di autenticazione di VPC Lattice sono documenti di policy IAM che alleghi a reti o servizi di servizio per controllare se un principale specificato ha accesso a un gruppo di servizi o a un servizio specifico. È possibile allegare una politica di autenticazione a ogni rete o servizio di servizio a cui si desidera controllare l’accesso.

Le politiche di autenticazione sono diverse dalle politiche IAM basate sull'identità. Le policy IAM basate sull'identità sono associate agli utenti, ai gruppi o ai ruoli IAM e definiscono quali azioni possono eseguire tali identità su quali risorse. Le policy di autenticazione sono collegate ai servizi e alle reti di servizi. Affinché l'autorizzazione abbia esito positivo, sia le politiche di autenticazione che le politiche basate sull'identità devono contenere dichiarazioni di autorizzazione esplicite. Per ulteriori informazioni, consulta Come funziona l'autorizzazione.

È possibile utilizzare la console AWS CLI and per visualizzare, aggiungere, aggiornare o rimuovere le politiche di autenticazione su servizi e reti di servizi. Quando aggiungi, aggiorni o rimuovi una politica di autenticazione, potrebbero essere necessari alcuni minuti per essere pronta. Quando usi il AWS CLI, assicurati di trovarti nella regione corretta. Puoi modificare la regione predefinita per il tuo profilo o utilizzare il --region parametro con il comando.

Per iniziare con le politiche di autenticazione, segui la procedura per creare una politica di autenticazione che si applichi a una rete di servizi. Per autorizzazioni più restrittive che non desideri vengano applicate ad altri servizi, puoi facoltativamente impostare criteri di autenticazione sui singoli servizi.

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

Se abiliti i criteri di autenticazione che richiedono richieste autenticate a un servizio, tutte le richieste a quel servizio devono contenere una firma di richiesta valida calcolata utilizzando Signature Version 4 (SIGv4). Per ulteriori informazioni, consulta Richieste autenticate SIGv4 per Amazon VPC Lattice.

Elementi comuni in una politica di autenticazione

Le politiche di autenticazione VPC Lattice sono specificate utilizzando la stessa sintassi delle politiche IAM. Per ulteriori informazioni, consulta le Identity-based policy e le policy basate sulle risorse nella IAM User Guide.

Una policy di autenticazione contiene i seguenti elementi:

Quando crei e gestisci le policy di autenticazione, potresti voler utilizzare IAM Policy Generator.

Requisito

La policy in JSON non deve contenere nuove righe o righe vuote.

Formato delle risorse per le politiche di autenticazione

È possibile limitare l'accesso a risorse specifiche creando una politica di autenticazione che utilizza uno schema corrispondente con un <serviceARN>/<path> pattern e codificando l'Resourceelemento come mostrato negli esempi seguenti.

Utilizza il seguente formato di risorse Amazon Resource Name (ARN) per: <serviceARN>

arn:aws:vpc-lattice:region:account-id:service/service-id

Ad esempio:

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

Chiavi di condizione che possono essere utilizzate nelle politiche di autenticazione

L'accesso può essere ulteriormente controllato dalle chiavi di condizione nell'elemento Condizione delle politiche di autenticazione. Queste chiavi di condizione sono disponibili per la valutazione a seconda del protocollo e se la richiesta è firmata con Signature Version 4 (Sigv4) o anonima. Le chiavi di condizione fanno distinzione tra maiuscole e minuscole.

AWS fornisce chiavi di condizione globali che è possibile utilizzare per controllare l'accesso, ad esempio eaws:PrincipalOrgID. aws:SourceIp Per visualizzare un elenco delle chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'utente IAM.

La seguente tabella elenca le chiavi di condizione di VPC Lattice. Per ulteriori informazioni, consulta le chiavi di condizione per Amazon VPC Lattice Services nel Service Authorization Reference.

Tag delle risorse

Un tag è un'etichetta di metadati che AWS assegni o che assegna a una risorsa. AWS Ogni tag è costituito da due parti:

Per ulteriori informazioni sui tag, consulta Controllo dell'accesso alle risorse tramite tag AWS

Puoi utilizzare i tag nelle tue politiche di autenticazione utilizzando la chiave di contesto della condizione aws:ResourceTag/key AWS globale.

La seguente politica di esempio consente l'accesso ai servizi con il tag. Environment=Gamma Questa politica consente di fare riferimento a servizi senza ARN o ID di servizio codificati.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowGammaAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "vpc-lattice-svcs:Invoke",
      "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0124446789abcdef0/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "Gamma",
        }
      }
    }
  ]
}

Tag principali

Puoi controllare l'accesso ai tuoi servizi e alle tue risorse in base ai tag allegati all'identità del chiamante. VPC Lattice supporta il controllo degli accessi basato su qualsiasi tag principale sui tag utente, ruolo o sessione utilizzando le variabili. aws:PrincipalTag/context Per ulteriori informazioni, consulta Controllare l'accesso per i principali IAM.

La seguente policy di esempio concede l'accesso solo alle identità con il tag. Team=Payments Questa policy consente di controllare l'accesso senza codificare gli ID degli account o gli ARN dei ruoli.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowPaymentsTeam",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "vpc-lattice-svcs:Invoke",
      "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/Team": "Payments",
        }
      }
    }
  ]
}

Responsabili anonimi (non autenticati)

I principali anonimi sono chiamanti che non firmano AWS le proprie richieste con Signature Version 4 (SIGv4) e si trovano all'interno di un VPC connesso alla rete di servizio. I committenti anonimi possono effettuare richieste non autenticate ai servizi della rete di assistenza se una politica di autenticazione lo consente.

Esempi di politiche di autenticazione

Di seguito sono riportati alcuni esempi di politiche di autenticazione che richiedono che le richieste vengano effettuate da principali autenticati.

Tutti gli esempi utilizzano la us-west-2 regione e contengono ID account fittizi.

Esempio 1: Limita l'accesso ai servizi tramite uno specifico AWS organizzazione

Il seguente esempio di politica di autenticazione concede le autorizzazioni a qualsiasi richiesta autenticata per accedere a qualsiasi servizio nella rete di servizi a cui si applica la politica. Tuttavia, la richiesta deve provenire dai principali che appartengono all'organizzazione specificata nella AWS condizione.

Esempio 2: limitare l'accesso a un servizio tramite un ruolo IAM specifico

Il seguente esempio di politica di autenticazione concede le autorizzazioni a qualsiasi richiesta autenticata che utilizza il ruolo IAM rates-client per effettuare richieste HTTP GET sul servizio specificato nell'elemento. Resource La risorsa nell'Resourceelemento è la stessa del servizio a cui è collegata la policy.

Esempio 3: limitare l'accesso ai servizi da parte dei principali autenticati in un VPC specifico

Il seguente esempio di politica di autenticazione consente solo richieste autenticate dai principali nel VPC il cui ID VPC è. vpc-1a2b3c4d

Come funziona l'autorizzazione

Quando un servizio VPC Lattice riceve una richiesta, il codice di AWS applicazione valuta insieme tutte le politiche di autorizzazione pertinenti per determinare se autorizzare o rifiutare la richiesta. Valuta tutte le politiche IAM basate sull'identità e le politiche di autenticazione applicabili nel contesto della richiesta durante l'autorizzazione. Per impostazione predefinita, tutte le richieste vengono negate implicitamente quando il tipo di autenticazione è. AWS_IAM Un'autorizzazione esplicita da tutte le politiche pertinenti ha la precedenza su quella predefinita.

L'autorizzazione include:

Il diagramma mostra il flusso di lavoro di autorizzazione. Quando viene effettuata una richiesta, le politiche pertinenti consentono o negano alla richiesta l'accesso a un determinato servizio.