Gerenciamento de identidade e acesso para o AWS CloudHSM

A AWS usa credenciais de segurança para identificar você e conceder acesso aos recursos da AWS. É possível usar atributos do AWS Identity and Access Management (IAM) para permitir que outros usuários, serviços e aplicações usem os recursos da AWS totalmente ou de forma limitada. É possível fazer isso sem compartilhar as credenciais de segurança.

Por padrão, os usuários do IAM não têm permissão para criar, visualizar ou modificar os recursos da AWS. Para permitir que um usuário do IAM acesse recursos, como um load balancer, e execute tarefas, você:

Ao anexar uma política a um usuário ou grupo de usuários, isso concede ou nega aos usuários permissão para realizar as tarefas especificadas nos atributos especificados.

Por exemplo, é possível usar o IAM para criar usuários e grupos na conta da AWS. Um usuário do IAM pode ser uma pessoa, um sistema ou um aplicativo. Em seguida, você concede permissões aos usuários e grupos para executar ações específicas nos recursos especificados usando uma política do IAM;.

Conceder permissões usando políticas do IAM;

Ao anexar uma política a um usuário ou grupo de usuários, isso concede ou nega aos usuários permissão para realizar as tarefas especificadas nos atributos especificados.

A política do IAM é um documento JSON que consiste em uma ou mais instruções.

O exemplo da política do IAM a seguir permite que os usuários descrevam os backups do AWS CloudHSM no Leste dos EUA (Norte da Virgínia). Somente as solicitações descritas provenientes do Leste dos EUA (Norte da Virgínia) são permitidas.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloudhsm:DescribeBackups",
      "Resource": "arn:aws:cloudhsm:us-east-1:123456789012:backup/*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": "us-east-1"
         }
      }
    }
  ]
}

Para obter mais informações, consulte o Guia do usuário do IAM.

Ações da API para o AWS CloudHSM

No elemento Ação da instrução de política do IAM, é possível especificar qualquer ação da API oferecida pelo AWS CloudHSM. É necessário prefixar o nome da ação com a string em minúsculas cloudhsm:, conforme mostrado no exemplo a seguir.

"Action": "cloudhsm:DescribeClusters"

Para especificar várias ações em uma única instrução, coloque-as entre colchetes e separe-as com vírgula, como mostrado no exemplo a seguir.

"Action": [
    "cloudhsm:DescribeClusters",
    "cloudhsm:DescribeHsm"
]

Você também pode especificar várias ações usando o caractere curinga *. O exemplo a seguir especifica todos os nomes de ação da API para AWS CloudHSM que começam com List.

"Action": "cloudhsm:List*"

Para especificar todas as ações da API para o AWS CloudHSM, use o curinga * conforme mostrado no exemplo a seguir.

"Action": "cloudhsm:*"

Para obter a lista de ações da API para o AWS CloudHSM, consulte Ações do AWS CloudHSM.

Chaves de condição do AWS CloudHSM

Ao criar uma política, você pode especificar as condições que controlam quando a política está em vigor. Cada condição contém um ou mais pares de chave-valor. Há chaves de condição global e chaves de condição específicas do serviço.

O AWS CloudHSM não tem chaves de contexto específicas do serviço.

Para obter mais informações sobre chaves de condição global, consulte Chaves de contexto de condição global da AWS no Guia de usuário da IAM.

Políticas predefinidas gerenciadas pela AWS para o AWS CloudHSM

As políticas gerenciadas criadas pela AWS concedem as permissões necessárias para casos de uso comuns. É possível anexar essas políticas aos usuários do IAM de acordo com o acesso de que eles precisam no AWS CloudHSM:

Políticas gerenciadas pelo cliente para o AWS CloudHSM

Recomendamos que você crie um grupo de administradores do IAM AWS CloudHSM para o que contenha apenas as permissões necessárias para executar o AWS CloudHSM. Anexe a política com as permissões apropriadas a este grupo. Adicione usuários do IAM; ao grupo, conforme necessário. Cada usuário que você adicionar herda a política do grupo de administradores.

Além disso, recomendamos criar grupos de usuários adicionais de acordo com as permissões que seus usuários precisam. Isso garante que somente usuários confiáveis tenham acesso a ações críticas da API. Por exemplo, é possível criar um grupo de usuários que você usa para conceder acesso somente leitura a clusters e HSMs. Como esse grupo não permite que um usuário exclua clusters ou HSMs, um usuário não confiável não pode afetar a disponibilidade de uma workload de produção.

À medida que novos atributos de gerenciamento do AWS CloudHSM são adicionados ao longo do tempo, você pode garantir que apenas usuários confiáveis recebam acesso imediato. Ao atribuir permissões limitadas a políticas na criação, você poderá atribuir manualmente novas permissões de atributo posteriormente.

Os seguintes são exemplos de políticas para o AWS CloudHSM. Para obter informações sobre como criar uma política e anexá-la a um grupo de usuários do IAM, consulte Criar políticas na guia JSON no Guia usuário do IAM.