Što je AWS IAM?

Question

Što je AWS IAM?

Accepted Answer

**IAM** (Identity and Access Management) kontrolira **tko može što raditi** u AWS-u — upravljajući korisnicima, grupama, ulogama i dozvolama. Fundamental je za AWS sigurnost: svaka akcija se autorizira kroz IAM, pa je razumijevanje toga bitno.

## Što IAM upravlja

```text
IAM controls AUTHENTICATION (who you are) and AUTHORIZATION (what you can do):
  USERS    → individual identities (people or applications) with credentials
  GROUPS   → collections of users (assign permissions to a group → all its users get them)
  ROLES    → identities ASSUMED temporarily (by users, services, or AWS resources)
             — no permanent credentials; key for services/cross-account access
  POLICIES → JSON documents defining PERMISSIONS (what actions on what resources)
```

## Policies — definiranje dozvola

```json
{
  "Effect": "Allow",
  "Action": ["s3:GetObject", "s3:PutObject"],
  "Resource": "arn:aws:s3:::my-bucket/*"
}
// → allows getting/putting objects in my-bucket (and nothing else)
```

Policies (JSON) određuju **koje akcije** su dozvoljene/odbijene na **kojima resursima** — priložene korisnicima, grupama ili ulogama da bi se dodijelile dozvole.

## Roles — privremene vjerodajnice (vrlo važno)

```text
ROLES grant temporary permissions without long-lived credentials:
  → an EC2 instance assumes a role → its app accesses S3 (no embedded keys!)
  → a Lambda function assumes a role for its permissions
  → cross-account access; federated/SSO access
→ Roles avoid hardcoding credentials — a security best practice.
```

## Najbolje prakse

```text
✓ LEAST PRIVILEGE — grant only the permissions actually needed (not broad/admin)
✓ Use ROLES for applications/services (not embedded access keys)
✓ Enable MFA; protect the root account (don't use it for daily work)
✓ Use groups for permission management; rotate credentials; audit access
```

## Zašto je važno

Razumijevanje IAM-a je bitno jer je temelj AWS sigurnosti — svaka akcija u AWS-u se autorizira kroz IAM, pa je fundamental, neobavezno znanje za sigurno rad s AWS-om.

IAM kontrolira **tko može što raditi** kroz njegove osnovne komponente: **korisnike** (identitete s vjerodajnicama), **grupe** (za kolektivno upravljanje dozvolama), **uloge** (privremeno pretpostavljeni identiteti) i **policies** (JSON dokumenti koji određuju dozvole).

Razumijevanje **policies-a** (određivanje koje akcije su dozvoljene na kojima resursima) je potrebno da se dozvole ispravno dodjele i razumiju.

Razumijevanje **uloga** je posebno važno: pružaju **privremene vjerodajnice bez dugoročnih ključeva**, omogućavajući EC2 instancama, Lambda funkcijama i drugim servisima da sigurno pristupe AWS resursima **bez ugrađivanja pristupnih ključeva** — kritična sigurnosna najbolja praksa koja izbjegava ozbiljan rizik od hardkodianih vjerodajnica.

Razumijevanje **najboljih praksi** — posebno **najmanje privilegije** (dodjela samo dozvola koje su stvarno potrebne, a ne široki admin pristup, ograničavanje raspona bilo kojeg kompromisa), korištenja uloga za aplikacije, omogućavanja MFA-e i zaštite root računa — je bitno za AWS sigurnost, jer su IAM pogrešne konfiguracije (previše široke dozvole, procurjele vjerodajnice) čest izvor sigurnosnih incidenata.

Budući da je IAM čuvar za sve AWS pristupe i da je ispravno razumijevanje fundamental za sigurnost (dok pogrešno razumijevanje uzrokuje ozbiljne kršnje), te budući da je razumijevanje korisnika, uloga, policies-a i najboljih praksi kao što je najmanja privilegija bitno za sigurno rad s AWS-om, razumijevanje IAM-a je bitno, fundamentalno AWS znanje — kritična sigurnosna tema koju svaki AWS korisnik mora razumjeti, centralna za sigurnu upotrebu AWS-a i izbjegavanje kontrole pristupa greške koje dovode do stvarnih sigurnosnih incidenata.