Kas yra AWS IAM?

Question

Kas yra AWS IAM?

Accepted Answer

**IAM** (Identity and Access Management) kontroliuoja **kas gali daryti ką** AWS — valdydama vartotojus, grupes, roles ir leidimus. Tai yra pagrindinis AWS saugumo elementas: kiekvienas veiksmas yra autorizuojamas per IAM, todėl jo supratimas yra būtinas.

## Ką IAM valdo

```text
IAM controls AUTHENTICATION (who you are) and AUTHORIZATION (what you can do):
  USERS    → individual identities (people or applications) with credentials
  GROUPS   → collections of users (assign permissions to a group → all its users get them)
  ROLES    → identities ASSUMED temporarily (by users, services, or AWS resources)
             — no permanent credentials; key for services/cross-account access
  POLICIES → JSON documents defining PERMISSIONS (what actions on what resources)
```

## Politikos — leidimų apibrėžimas

```json
{
  "Effect": "Allow",
  "Action": ["s3:GetObject", "s3:PutObject"],
  "Resource": "arn:aws:s3:::my-bucket/*"
}
// → allows getting/putting objects in my-bucket (and nothing else)
```

Politikos (JSON) nurodo **kokius veiksmus** leidžiama/draudžiama atlikti **kuriems ištekliams** — prijungtos prie vartotojų, grupių arba rolių, siekiant suteikti leidimus.

## Rolės — laikinai galiojančiai kredencialai (labai svarbu)

```text
ROLES grant temporary permissions without long-lived credentials:
  → an EC2 instance assumes a role → its app accesses S3 (no embedded keys!)
  → a Lambda function assumes a role for its permissions
  → cross-account access; federated/SSO access
→ Roles avoid hardcoding credentials — a security best practice.
```

## Geriausios praktikos

```text
✓ LEAST PRIVILEGE — grant only the permissions actually needed (not broad/admin)
✓ Use ROLES for applications/services (not embedded access keys)
✓ Enable MFA; protect the root account (don't use it for daily work)
✓ Use groups for permission management; rotate credentials; audit access
```

## Kodėl tai svarbu

Supratimas apie IAM yra būtinas, nes tai yra AWS saugumo pamatai — kiekvienas veiksmas AWS yra autorizuojamas per IAM, todėl tai yra pagrindinis, būtinas žinoti dalykas, norėdami saugiai dirbti su AWS.

IAM kontroliuoja **kas gali daryti ką** per savo pagrindinius komponentus: **vartotojus** (identitetus su kredencialais), **grupes** (bendram leidimų valdymui), **roles** (laikinai perimamos identitetos) ir **politikas** (JSON dokumentus, kurie apibrėžia leidimus).

Supratimas apie **politikas** (nurodant, kokie veiksmai leidžiami kuriuose ištekliuose) yra būtinas norint teisingai suteikti ir suprasti leidimus.

Supratimas apie **roles** yra ypatingai svarbus: jos suteikia **laikinai galiojančius kredencialus be ilgalaikių raktų**, leidžiančius EC2 instancijoms, Lambda funkcijoms ir kitiems servisiams saugiai pasiekti AWS išteklius **neįdiegiant prieigos raktų** — kritinė saugumo praktika, kuri išvengia rimtos koduotų kredencialų rizikos.

Supratimas apie **geriausias praktikas** — ypač **mažiausio privilegio principą** (suteikiant tik tikrai reikalingus leidimus, ne plačius administratoriaus prieigos, ribojant bet kurio pažeidimo mastą), rolių naudojimą aplikacijoms, MFA įjungimą ir šakninio konto apsaugą — yra būtinas AWS saugumui, nes IAM neteisingai sukonfigūruoti (per platūs leidimai, nutekinti kredencialai) yra dažna saugumo incidentų priežastis.

Bei kadangi IAM yra prieigos vartai visam AWS ir jo teisingas supratimas yra pagrindinis saugumui (o klaidinga konfigūracija sukelia rimtus prasiveržimus), ir kadangi supratimas apie vartotojus, roles, politikas ir geriausias praktikas, tokias kaip mažiausias privilegijas, yra būtinas norint saugiai dirbti su AWS, IAM supratimas yra būtinas, pagrindinis AWS žinios — kritinė saugumo tema, kurią turi suprasti kiekvienas AWS vartotojas, pagrindinė saugiai naudojant AWS ir išvengiant prieigos kontrolės klaidų, kurios lemia tikrus saugumo incidentus.