Co je AWS IAM?

Question

Co je AWS IAM?

Accepted Answer

**IAM** (Identity and Access Management) kontroluje **kdo může dělat co** v AWS — spravuje uživatele, skupiny, role a oprávnění. Je to základem AWS bezpečnosti: každá akce je autorizována přes IAM, takže její pochopení je nezbytné.

## Co IAM spravuje

```text
IAM controls AUTHENTICATION (who you are) and AUTHORIZATION (what you can do):
  USERS    → individual identities (people or applications) with credentials
  GROUPS   → collections of users (assign permissions to a group → all its users get them)
  ROLES    → identities ASSUMED temporarily (by users, services, or AWS resources)
             — no permanent credentials; key for services/cross-account access
  POLICIES → JSON documents defining PERMISSIONS (what actions on what resources)
```

## Politiky — definování oprávnění

```json
{
  "Effect": "Allow",
  "Action": ["s3:GetObject", "s3:PutObject"],
  "Resource": "arn:aws:s3:::my-bucket/*"
}
// → allows getting/putting objects in my-bucket (and nothing else)
```

Politiky (JSON) určují **které akce** jsou povoleny/zakázány na **kterých zdrojích** — připojeny k uživatelům, skupinám nebo rolím pro udělení oprávnění.

## Role — dočasné přihlašovací údaje (velmi důležité)

```text
ROLES grant temporary permissions without long-lived credentials:
  → an EC2 instance assumes a role → its app accesses S3 (no embedded keys!)
  → a Lambda function assumes a role for its permissions
  → cross-account access; federated/SSO access
→ Roles avoid hardcoding credentials — a security best practice.
```

## Nejlepší postupy

```text
✓ LEAST PRIVILEGE — grant only the permissions actually needed (not broad/admin)
✓ Use ROLES for applications/services (not embedded access keys)
✓ Enable MFA; protect the root account (don't use it for daily work)
✓ Use groups for permission management; rotate credentials; audit access
```

## Proč je to důležité

Pochopení IAM je nezbytné, protože je to základ AWS bezpečnosti — každá akce v AWS je autorizována přes IAM, takže je to základní, nezbytné know-how pro bezpečnou práci s AWS.

IAM kontroluje **kdo může dělat co** prostřednictvím svých základních komponent: **uživatelé** (identity s přihlašovacími údaji), **skupiny** (pro správu oprávnění kolektivně), **role** (dočasně převzaté identity) a **politiky** (JSON dokumenty definující oprávnění).

Pochopení **politik** (určujících které akce jsou povoleny na kterých zdrojích) je nezbytné pro správné udělení a pochopení oprávnění.

Pochopení **rolí** je zvláště důležité: poskytují **dočasné přihlašovací údaje bez dlouhodobě platných klíčů**, umožňují instancím EC2, Lambda funkcím a dalším službám bezpečně přistupovat k AWS zdrojům **bez vkládání přístupových klíčů** — kritický bezpečnostní postup, který se vyhne vážnému riziku hardcodovaných přihlašovacích údajů.

Pochopení **nejlepších postupů** — zejména **principle of least privilege** (udělení pouze skutečně potřebných oprávnění, nikoli širokého admin přístupu, omezení rozsahu dopadu jakéhokoli ohrožení), používání rolí pro aplikace, povolení MFA a ochrana root účtu — je nezbytné pro AWS bezpečnost, protože chybné konfigurace IAM (příliš širická oprávnění, úniky přihlašovacích údajů) jsou běžným zdrojem bezpečnostních incidentů.

Protože IAM je vrátný pro všechny AWS přístupy a jeho správné nastavení je základem bezpečnosti (zatímco jeho nesprávné nastavení způsobuje vážné porušení), a protože pochopení uživatelů, rolí, politik a nejlepších postupů jako principle of least privilege je nezbytné pro bezpečnou práci s AWS, je pochopení IAM nezbytné, základní AWS vědomí — kritické bezpečnostní téma, které musí pochopit každý uživatel AWS, klíčové pro bezpečné používání AWS a vyhnutí se chybám v řízení přístupu, které vedou ke skutečným bezpečnostním incidentům.