Как глубоко работают роли и политики IAM?

Question

IT Interview Practice · Accepted Answer

Помимо основ IAM, важно понимать **роли** (принимаемые идентичности), **типы политик и их оценку** (как определяются права доступа), а также паттерны вроде **кросс-аккаунтного доступа** и **сервисных ролей** для безопасного, хорошо спроектированного управления доступом к AWS.

## Роли в глубину — кто и что принимает

```text
A ROLE has TWO key policies:
  TRUST POLICY → WHO can assume the role (which principals: a service, account, user)
  PERMISSION POLICIES → WHAT the role can do once assumed
Use cases:
  → SERVICE roles — an EC2/Lambda assumes a role to access AWS (no embedded keys)
  → CROSS-ACCOUNT — account B's role trusts account A → A's users assume it (controlled access)
  → FEDERATION/SSO — external identities assume roles (temporary credentials)
→ Roles give TEMPORARY credentials (auto-rotated) — far safer than long-lived keys.
```

## Типы политик

```text
IDENTITY-BASED → attached to users/groups/roles (what THEY can do)
RESOURCE-BASED → attached to a resource (e.g. an S3 bucket policy: who can access IT)
PERMISSION BOUNDARIES → a max-permissions limit on an identity (cap delegated permissions)
SCPs (Service Control Policies) → org-wide guardrails (limit what accounts can do)
→ Effective permissions = the combination, with rules for how they interact.
```

## Оценка политик (как решается вопрос доступа)

```text
1. Explicit DENY anywhere → DENIED (deny always wins)
2. Else, an explicit ALLOW (from identity/resource policy) within bounds → ALLOWED
3. Else (no allow) → DENIED (default deny)
→ Default deny; explicit deny overrides any allow; you need an allow + no deny + within
  any boundaries/SCPs.
```

## Почему это важно

Понимание ролей и политик IAM в глубину важно для **безопасного, хорошо спроектированного управления доступом к AWS**, поэтому это ценные знания, выходящие за рамки основ IAM.

Понимание **ролей в глубину** — их **доверительной политики** (кто может принять роль) и **политик разрешений** (что роль может делать) — это ключ к наиболее важным безопасным паттернам доступа: **сервисным ролям** (позволяющим инстансам EC2 и функциям Lambda получать доступ к ресурсам AWS через временные, автоматически ротируемые учетные данные вместо встроенных долгоживущих ключей — критически важная практика безопасности), **кросс-аккаунтному доступу** (контролируемый доступ между AWS аккаунтами через принятие ролей) и **федерации/SSO** (внешние идентичности принимают роли для временного доступа).

Роли, предоставляющие временные учетные данные вместо долгоживущих ключей, — это фундаментальное улучшение безопасности.

Понимание **типов политик** — основанные на идентичности (что могут делать пользователи/роли), основанные на ресурсах (например, политики S3 бакетов, контролирующие кто может получить доступ к ресурсу), границы разрешений (ограничивающие делегированные разрешения) и SCP (организационные ограничения) — необходимо для сложного управления доступом в реальных организациях.

Понимание **логики оценки политик** (по умолчанию отказ; явный отказ где-либо всегда имеет приоритет; вам нужно явное разрешение в любых границах и отсутствие отказа) необходимо для правильного рассуждения о том, какие разрешения на самом деле действуют — это частый источник путаницы, где неправильное понимание приводит либо к чрезмерно широкому доступу (риск безопасности), либо к неожиданным отказам (операционные сложности).

Поскольку безопасное управление доступом критично для безопасности AWS (и неправильная конфигурация IAM — одна из основных причин взломов), и поскольку глубокое понимание ролей (для безопасных паттернов доступа без учетных данных), типов политик (для многоуровневого контроля) и оценки политик (для правильного рассуждения о разрешениях) необходимо для хорошо спроектированного, безопасного доступа, понимание ролей и политик IAM в глубину — это ценное, практически важное знание AWS для безопасности — развитие основ IAM для включения безопасных паттернов доступа и правильного рассуждения о разрешениях, которые требует профессиональная безопасность AWS, важная область, где глубина понимания напрямую влияет на уровень безопасности.

Роли в глубину — кто и что принимает

Типы политик

Оценка политик (как решается вопрос доступа)

Почему это важно

Похожие вопросы