Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengontrol akses konsol dengan kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya

AWS Sign-In mendukung kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya (RCP) untuk mengontrol akses ke. AWS Sign-In Gunakan kebijakan ini untuk memverifikasi identitas pengguna dan lokasi jaringan di seluruh Konsol Manajemen AWS akses — sebelum, selama, dan setelah otentikasi. Untuk pengguna root, kebijakan ini memvalidasi lokasi jaringan dan identitas pengguna sebelum pengumpulan kredensi dimulai. Kredensil hanya dapat dimasukkan ketika akses berasal dari jaringan yang diharapkan.

AWS Sign-In kebijakan berbasis sumber daya:

Kebijakan kontrol sumber daya (RCP):

Kedua jenis kebijakan memverifikasi akses sebelum autentikasi. Ini memblokir prinsipal untuk mengakses halaman masuk dari jaringan yang tidak terduga.

Kebijakan ini tidak menggantikan kebijakan berbasis identitas IAM, yang terus berlaku.

AWS Sign-In Kebijakan dan RCP berbasis sumber daya berlaku untuk metode otentikasi berikut:

Kontrol ini tidak berlaku untuk akses terprogram menggunakan kunci akses (AWS SDK atau panggilan API yang ditandatangani dengan SigV4).

Bagaimana AWS Sign-In mengevaluasi kebijakan berbasis sumber daya

AWS Sign-In mengevaluasi kebijakan berbasis sumber daya atau kebijakan kontrol sumber daya (RCP) yang berlaku pada dua titik selama akses konsol: sebelum otentikasi (fase pra-otentikasi) dan setelah otentikasi berhasil (fase pasca-otentikasi). Setiap evaluasi memeriksa kunci kondisi yang ditentukan dalam kebijakan Anda. Kunci yang tersedia tergantung pada fase dan tindakan. Lihat perinciannya di Kunci kondisi yang didukung.

Setelah otentikasi, evaluasi juga mempertimbangkan kebijakan berbasis identitas kepala sekolah. Kebijakan IAM yang menolak tindakan masuk yang relevan dapat mencegah sesi konsol diberikan, bahkan ketika kondisi jaringan terpenuhi.

Tindakan yang didukung

AWS Sign-In kebijakan sumber daya (kebijakan berbasis sumber daya dan RCP) mendukung tindakan berikut:

Kunci kondisi yang didukung

AWS Sign-In mendukung kunci kondisi berikut dalam kebijakan berbasis sumber daya dan kebijakan kontrol sumber daya (RCP). Gunakan tombol ini untuk mengontrol akses konsol berdasarkan lokasi jaringan dan identitas utama:

Untuk aturan penggunaan terperinci, kompatibilitas operator, batasan kombinasi, dan matriks ketersediaan berdasarkan tindakan, lihatAWS Sign-In referensi kunci kondisi.

Memulai kontrol akses konsol menggunakan kebijakan sumber daya

Prasyarat

Tentukan --region us-east-1 untuk semua operasi penulisan pada AWS Sign-In kebijakan. AWS mereplikasi kebijakan secara global dari Wilayah ini. Operasi baca dapat menargetkan Wilayah mana pun.

Langkah 1: Buat pernyataan izin sumber daya

Buat pernyataan izin yang menentukan kontrol akses Anda. Semua operasi tulis memerlukan --region us-east-1 ( AWS Sign-In layanan hanya menerima perubahan kebijakan di Wilayah ini). Parameter yang tersisa (--source-vpc--source-ip,--requested-region,,--excluded-principal) menentukan kondisi dalam kebijakan Anda. Misalnya, --requested-region us-west-2 menambahkan kondisi yang membatasi proses masuk ke titik akhir masuk regional us-west-2.

Contoh - Batasi akses ke VPC perusahaan:

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

Contoh - Batasi akses ke rentang IP tertentu:

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

Langkah 2: Aktifkan konfigurasi otorisasi konsol

Langkah berikut mengaktifkan penegakan kebijakan untuk proses login konsol di akun atau organisasi Anda. Pernyataan izin sumber daya dapat dibuat kapan saja, tetapi tidak dievaluasi sampai otorisasi konsol diaktifkan.

Untuk akun mandiri:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Untuk AWS Organizations:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

Verifikasi konfigurasi:

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

Hapus konfigurasi otorisasi konsol:

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

Langkah 3: Verifikasi kebijakan Anda

Daftar semua pernyataan izin:

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

Ambil kebijakan konsolidasi lengkap:

aws signin get-resource-policy \
  --region <your-region>

get-resource-policyPerintah mengembalikan kebijakan berbasis sumber daya lengkap yang terdiri dari semua pernyataan izin Anda. Tinjau kebijakan ini untuk mengonfirmasi bahwa kebijakan tersebut mencerminkan kontrol akses yang Anda inginkan sebelum menguji akses konsol.

Ketersediaan wilayah

API otorisasi konsol tersedia di semua Wilayah AWS komersial. Anda dapat memanggil API ini dari Wilayah mana pun tempat Anda beroperasi.

Memahami struktur kebijakan

AWS Sign-In kebijakan berisi dua pernyataan yang melindungi fase alur masuk konsol yang berbeda:

Kedua pernyataan diperlukan karena login konsol menggunakan OAuth 2.0, yang mengalir melalui ketiga tindakan secara berurutan. Kebijakan dengan hanya satu pernyataan membuat fase lainnya tidak terlindungi. signin:PrincipalArnmendukung pengguna root, pengguna IAM, dan tipe utama peran. aws:PrincipalArnmendukung semua tipe utama (pengguna root, pengguna IAM, pengguna federasi, peran).

Contoh kebijakan

Contoh 1: RCP dengan perimeter jaringan dan prinsipal yang dikecualikan

Kebijakan kontrol sumber daya (RCP) berikut menolak Konsol Manajemen AWS login dari luar jaringan perusahaan Anda di semua akun di organisasi Anda. Prinsipal yang dikecualikan yang ditunjuk dibebaskan untuk akses darurat. Karena ID VPC hanya unik di dalam Wilayah, kebijakan tersebut mencakup pernyataan ketiga yang menyematkan VPC-based akses ke Wilayah yang diharapkan.

EnforceNetworkPerimeterPreAuthPernyataan tersebut digunakan signin:PrincipalArn untuk membebaskan prinsipal yang dikecualikan selama fase pra-otentikasi. EnforceNetworkPerimeterPostAuthPernyataan tersebut digunakan aws:PrincipalArn untuk membebaskan prinsipal yang dikecualikan setelah otentikasi. EnforceSourceVPCRegionPernyataan tersebut memastikan Wilayah permintaan cocok dengan Wilayah VPC, membatasi akses ke Wilayah yang diharapkan untuk VPC yang ditentukan.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

Kebijakan ini:

Contoh 2: Resource-based kebijakan untuk IP-based akses dengan prinsipal yang dikecualikan

Kebijakan berbasis sumber daya berikut menolak akses konsol ke semua prinsipal yang membuat permintaan dari luar rentang IP yang ditentukan, dengan prinsipal yang dikecualikan dikecualikan. Kebijakan ini berisi dua pernyataan: pernyataan pra-otentikasi yang menggunakan signin:PrincipalArn kunci khusus layanan, dan pernyataan pasca-otentikasi yang menggunakan kunci global. aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

Kebijakan ini:

Praktik terbaik

Konfigurasikan prinsip yang dikecualikan untuk akses pemulihan darurat

AWS merekomendasikan untuk mengonfigurasi setidaknya satu pengguna yang dikecualikan sebelum menerapkan kebijakan otorisasi konsol dalam produksi. Pada tahap pra-otentikasi, kunci signin:PrincipalArn kondisi mengecualikan pengguna root, pengguna IAM, dan prinsip peran. Pada tahap pasca-otentikasi, kunci aws:PrincipalArn kondisi mengecualikan semua jenis utama (pengguna root, pengguna IAM, pengguna federasi, peran).

Prinsipal yang dikecualikan bersifat opsional, tetapi menghilangkannya meningkatkan risiko penguncian akun jika kondisi jaringan berubah secara tidak terduga atau jika kebijakan salah dikonfigurasi.

Direkomendasikan langkah-langkah konfigurasi utama yang dikecualikan:

Pertahankan jalur akses pemulihan

Selain prinsip yang dikecualikan yang dijelaskan di atas, pastikan metode akses alternatif tersedia jika kebijakan otorisasi konsol memblokir proses masuk secara tidak terduga:

Uji sebelum penyebaran produksi

AWS merekomendasikan agar Anda tidak melampirkan RCP yang membatasi ke akar organisasi Anda tanpa menguji secara menyeluruh dampak kebijakan terhadap akun. Sebagai gantinya, buat OU yang dapat Anda pindahkan akun Anda menjadi satu per satu, atau setidaknya dalam jumlah kecil, untuk memastikan bahwa Anda tidak secara tidak sengaja mengunci pengguna dari akun utama.

Menguji alur kerja:

Desain dengan defense-in-depth

Gunakan kebijakan AWS Sign-In berbasis sumber daya dan kebijakan kontrol sumber daya sebagai satu lapisan dalam strategi keamanan yang lebih luas. AWS Sign-In kebijakan membatasi akses konsol berdasarkan lokasi jaringan dan identitas utama. Gabungkan mereka dengan jenis kebijakan lain untuk membuat kontrol akses yang komprehensif:

Memantau dan mengaudit secara terus menerus

AWS CloudTrail secara otomatis mencatat semua evaluasi AWS Sign-In kebijakan dan perubahan konfigurasi. Lihat peristiwa ini di Riwayat CloudTrail acara hingga 90 hari. Untuk retensi yang lebih lama, kirimkan peristiwa ke Amazon S3 dengan membuat jejak (lihat Membuat jejak). Untuk peringatan waktu nyata, buat EventBridge aturan Amazon yang cocok dengan AWS Sign-In peristiwa, konfigurasikan jejak Anda untuk dikirimkan ke grup CloudWatch log Log untuk alarm berbasis filter metrik, atau teruskan peristiwa ke solusi SIEM yang ada.

Kasus penggunaan

Memecahkan masalah kontrol akses konsol

Saya tidak dapat masuk karena kondisi jaringan dalam kebijakan berbasis Sign-in sumber daya

Anda mungkin melihat salah satu pesan galat berikut ketika akses ditolak oleh AWS Sign-In kebijakan:

Jika Anda melihat salah satu kesalahan ini dan yakin akses Anda harus diizinkan, hubungi AWS administrator Anda. Mereka dapat meninjau CloudTrail log untuk ConsoleLogin peristiwa dengan errorMessage “Otorisasi ditolak karena kebijakan berbasis sumber daya” atau “Otorisasi ditolak karena kebijakan kontrol sumber daya” untuk mengidentifikasi pernyataan kebijakan mana yang ditolak aksesnya.

Kemungkinan penyebabnya:

Resolusi:

Untuk administrator yang mendiagnosis masalah ini:

Saya terkunci dari akun saya setelah mengaktifkan otorisasi konsol

Jika Anda mengonfigurasi otorisasi konsol dan tidak dapat lagi mengakses akun Anda, Anda mungkin belum mengonfigurasi prinsip yang dikecualikan sebelum menerapkan kebijakan.

Ada beberapa jalur untuk mendapatkan kembali akses, tergantung pada jenis akun Anda dan kredensi yang tersedia.

Opsi 1: Gunakan akses terprogram (AWS CLI atau SDK)

Kebijakan otorisasi konsol hanya berlaku untuk login konsol interaktif. Mereka tidak berlaku untuk permintaan API yang ditandatangani dengan SiGv4. Jika Anda memiliki akses terprogram (misalnya, kunci akses yang ada, peran lintas akun), gunakan untuk memanggil signin:DeleteConsoleAuthorizationConfiguration dan menghapus kebijakan pembatasan. Kredensi yang Anda gunakan harus memiliki izin untuk menelepon. signin:DeleteConsoleAuthorizationConfiguration Kebijakan AWSSignInResourcePolicyManagement terkelola mencakup izin ini. AWS merekomendasikan kredensi sementara atas kunci akses pengguna IAM jangka panjang. Untuk akun anggota, administrator akun manajemen dapat berasumsi OrganizationAccountAccessRole di akun anggota untuk mendapatkan kredensi sementara. Peran ini tidak secara otomatis dibuat di akun yang diundang untuk bergabung dengan organisasi.

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Atau hapus pernyataan izin tertentu:

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

Opsi 2: Hubungi AWS Support

Jika Anda tidak memiliki akses terprogram dan tidak dapat menggunakan akses akun OrganizationAccountAccessRole for, hubungi AWS Support untuk memulai proses pemulihan lockout.

Proses pemulihan bekerja sebagai berikut:

Tautan portal pemulihan kedaluwarsa 72 jam setelah AWS Support membagikannya. Jika Anda tidak menyelesaikan pemulihan dalam jendela itu, hubungi AWS Support untuk memulai kembali proses.

Setelah mendapatkan kembali akses:

Perubahan yang saya buat tidak selalu langsung terlihat

Perubahan kebijakan mereplikasi secara global, tetapi replikasi mungkin memakan waktu beberapa menit.

Resolusi:

aws signin get-resource-policy --region <your-region>

Masalah replikasi kebijakan umum: