As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Controle do acesso ao console com políticas baseadas em recursos e políticas de controle de recursos

AWS Sign-In suporta políticas baseadas em recursos e políticas de controle de recursos (RCPs) para controlar o acesso a. AWS Sign-In Use essas políticas para verificar a identidade do usuário e a localização da rede durante todo o Console de gerenciamento da AWS acesso — antes, durante e depois da autenticação. Para usuários root, essas políticas validam a localização da rede e a identidade do usuário antes do início da coleta de credenciais. As credenciais só podem ser inseridas quando o acesso se origina nas redes esperadas.

AWS Sign-In políticas baseadas em recursos:

Políticas de controle de recursos (RCPs):

Ambos os tipos de política verificam o acesso antes da autenticação. Isso impede que os diretores acessem a página de login de redes inesperadas.

Essas políticas não substituem as políticas baseadas em identidade do IAM, que continuam sendo aplicadas.

AWS Sign-In políticas baseadas em recursos e RCPs se aplicam aos seguintes métodos de autenticação:

Esses controles não se aplicam ao acesso programático usando chaves de acesso (AWS SDKs ou chamadas de API assinadas com SigV4).

Como AWS Sign-In avalia políticas baseadas em recursos

AWS Sign-In avalia as políticas baseadas em recursos ou as políticas de controle de recursos (RCPs) aplicáveis em dois pontos durante o acesso ao console: antes da autenticação (a fase de pré-autenticação) e após a autenticação bem-sucedida (a fase de pós-autenticação). Cada avaliação verifica as chaves de condição definidas em sua política. As teclas disponíveis dependem da fase e da ação. Para obter detalhes, consulte Chaves de condição compatíveis.

Após a autenticação, a avaliação também considera as políticas baseadas em identidade do diretor. Uma política do IAM que nega a ação de login relevante pode impedir que a sessão do console seja concedida, mesmo quando as condições da rede forem atendidas.

Ações compatíveis

AWS Sign-In as políticas de recursos (políticas baseadas em recursos e RCPs) apoiam as seguintes ações:

Chaves de condição compatíveis

AWS Sign-In suporta as seguintes chaves de condição em políticas baseadas em recursos e políticas de controle de recursos (RCPs). Use essas chaves para controlar o acesso ao console com base na localização da rede e na identidade principal:

Para ver as regras de uso detalhadas, a compatibilidade do operador, as restrições de combinação e a matriz de disponibilidade por ação, consulteAWS Sign-In referência de chaves de condição.

Introdução ao controle de acesso ao console usando políticas de recursos

Pré-requisitos

Especifique --region us-east-1 para todas as operações de gravação nas AWS Sign-In políticas. AWS replica as políticas globais desta região. As operações de leitura podem ter como alvo qualquer região.

Etapa 1: criar declarações de permissão de recursos

Crie declarações de permissão que definam seus controles de acesso. Todas as operações de gravação são necessárias --region us-east-1 (o AWS Sign-In serviço aceita alterações de política somente nesta região). Os demais parâmetros (--source-vpc,--source-ip,--requested-region,--excluded-principal) definem as condições em sua política. Por exemplo, --requested-region us-west-2 adiciona uma condição que restringe o login ao endpoint de login regional us-west-2.

Exemplo — Restrinja o acesso à VPC corporativa:

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

Exemplo — Restrinja o acesso a uma faixa de IP específica:

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

Etapa 2: Habilitar a configuração de autorização do console

A etapa a seguir ativa a aplicação da política para o processo de login do console em sua conta ou organização. As declarações de permissão de recursos podem ser criadas a qualquer momento, mas não são avaliadas até que a autorização do console seja habilitada.

Para contas autônomas:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Para AWS Organizations:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

Verifique a configuração:

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

Exclua a configuração de autorização do console:

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

Etapa 3: verifique sua política

Liste todas as declarações de permissão:

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

Recupere a política consolidada completa:

aws signin get-resource-policy \
  --region <your-region>

O get-resource-policy comando retorna a política completa baseada em recursos composta por todas as suas declarações de permissão. Revise esta política para confirmar se ela reflete os controles de acesso pretendidos antes de testar o acesso ao console.

Disponibilidade regional

As APIs de autorização do console estão disponíveis em todas as regiões AWS comerciais. Você pode chamar essas APIs de qualquer região em que opera.

Entendendo a estrutura política

AWS Sign-In as políticas contêm duas declarações que protegem diferentes fases do fluxo de login do console:

Ambas as instruções são necessárias porque o login no console usa o OAuth 2.0, que flui pelas três ações sequencialmente. Uma política com apenas uma declaração deixa a outra fase desprotegida. signin:PrincipalArnoferece suporte aos tipos de usuário raiz, usuário do IAM e principal função. aws:PrincipalArnsuporta todos os tipos principais (usuário raiz, usuário do IAM, usuário federado, função).

Exemplos de políticas

Exemplo 1: RCP com perímetro de rede e principais excluídos

A política de controle de recursos (RCP) a seguir nega o Console de gerenciamento da AWS login de fora da rede corporativa em todas as contas da sua organização. Diretores excluídos designados estão isentos de acesso emergencial. Como os IDs de VPC são exclusivos somente dentro de uma região, a política inclui uma terceira declaração que fixa o VPC-based acesso à região esperada.

A EnforceNetworkPerimeterPreAuth declaração é usada signin:PrincipalArn para isentar diretores excluídos durante a fase de pré-autenticação. A EnforceNetworkPerimeterPostAuth declaração é usada aws:PrincipalArn para isentar os diretores excluídos após a autenticação. A EnforceSourceVPCRegion declaração garante que a região da solicitação corresponda à região da VPC, restringindo o acesso à região esperada para a VPC especificada.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

Esta política:

Exemplo 2: Resource-based política de IP-based acesso com principal excluído

A política baseada em recursos a seguir nega o acesso ao console a todos os principais que fazem solicitações de fora do intervalo de IP especificado, com um principal excluído isento. A política contém duas declarações: uma declaração de pré-autenticação que usa a signin:PrincipalArn chave específica do serviço e uma declaração de pós-autenticação que usa a chave global. aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

Esta política:

Práticas recomendadas

Configurar diretores excluídos para acesso de recuperação de emergência

AWS recomenda configurar pelo menos um usuário excluído antes de aplicar as políticas de autorização do console na produção. No estágio de pré-autenticação, a chave de signin:PrincipalArn condição isenta o usuário raiz, o usuário do IAM e os responsáveis pela função. No estágio de pós-autenticação, a chave de aws:PrincipalArn condição isenta todos os tipos principais (usuário raiz, usuário do IAM, usuário federado, função).

Os principais excluídos são opcionais, mas omiti-los aumenta o risco de bloqueio da conta se as condições da rede mudarem inesperadamente ou se as políticas forem configuradas incorretamente.

Etapas de configuração principal excluídas recomendadas:

Mantenha os caminhos de acesso à recuperação

Além do principal excluído descrito acima, certifique-se de que métodos alternativos de acesso estejam disponíveis caso as políticas de autorização do console bloqueiem o login inesperadamente:

Teste antes da implantação da produção

AWS recomenda que você não anexe RCPs restritivos à raiz da sua organização sem testar minuciosamente o impacto que a política tem nas contas. Em vez disso, crie uma OU para a qual você possa transferir suas contas uma de cada vez, ou pelo menos em pequenos números, para garantir que você não bloqueie inadvertidamente os usuários das principais contas.

Fluxo de trabalho de teste:

Design com defesa em profundidade

Use políticas AWS Sign-In baseadas em recursos e políticas de controle de recursos como uma camada dentro de uma estratégia de segurança mais ampla. AWS Sign-In as políticas restringem o acesso ao console com base na localização da rede e na identidade principal. Combine-as com outros tipos de políticas para criar controles de acesso abrangentes:

Monitore e audite continuamente

AWS CloudTrail registra automaticamente todas as avaliações AWS Sign-In de políticas e alterações de configuração. Veja esses CloudTrail eventos no histórico de eventos por até 90 dias. Para uma retenção mais longa, entregue eventos para o Amazon S3 criando uma trilha (consulte Criação de uma trilha). Para alertas em tempo real, crie EventBridge regras da Amazon que correspondam aos AWS Sign-In eventos, configure sua trilha para ser entregue a um grupo de CloudWatch registros de registros para alarmes baseados em filtros métricos ou encaminhe eventos para sua solução SIEM existente.

Casos de uso

Solução de problemas de controle de acesso ao console

Não consigo entrar devido às condições da rede nas políticas baseadas em Sign-in recursos

Você pode ver uma das seguintes mensagens de erro quando o acesso é negado por uma AWS Sign-In política:

Se você encontrar algum desses erros e achar que seu acesso deve ser permitido, entre em contato com o AWS administrador. Eles podem revisar CloudTrail os registros de ConsoleLogin eventos com errorMessage “Autorização negada por causa de uma política baseada em recursos” ou “Autorização negada por causa de uma política de controle de recursos” para identificar qual declaração de política negou acesso.

Causas possíveis:

Resolução:

Para administradores que diagnosticam esse problema:

Minha conta está bloqueada depois de ativar a autorização do console

Se você configurou a autorização do console e não consegue mais acessar sua conta, talvez não tenha configurado os principais excluídos antes de aplicar a política.

Há vários caminhos para recuperar o acesso, dependendo do tipo de conta e das credenciais disponíveis.

Opção 1: usar acesso programático (AWS CLI ou SDK)

As políticas de autorização do console se aplicam somente ao login interativo do console. Eles não se aplicam às solicitações de API assinadas com o SigV4. Se você tiver acesso programático (por exemplo, chaves de acesso existentes, uma função entre contas), use-o para chamar signin:DeleteConsoleAuthorizationConfiguration e remover a política de restrição. As credenciais que você usa devem ter permissão para ligarsignin:DeleteConsoleAuthorizationConfiguration. A política AWSSignInResourcePolicyManagement gerenciada inclui essa permissão. AWS recomenda credenciais temporárias em vez de chaves de acesso de usuário do IAM de longo prazo. Para contas de membros, os administradores da conta de gerenciamento podem assumir OrganizationAccountAccessRole na conta do membro a obtenção de credenciais temporárias. Essa função não é criada automaticamente em contas que foram convidadas a participar da organização.

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Ou exclua declarações de permissão específicas:

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

Opção 2: Entre em contato com o AWS Support

Se você não tiver acesso programático e não puder usar o OrganizationAccountAccessRole para acessar a conta, entre em contato com o AWS Support para iniciar o processo de recuperação do bloqueio.

O processo de recuperação funciona da seguinte forma:

O link do portal de recuperação expira 72 horas após o AWS Support compartilhá-lo. Se você não concluir a recuperação dentro dessa janela, entre em contato com o AWS Support para reiniciar o processo.

Depois de recuperar o acesso:

As alterações que eu faço nem sempre ficam imediatamente visíveis

As mudanças nas políticas se replicam globalmente, mas a replicação pode levar alguns minutos.

Resolução:

aws signin get-resource-policy --region <your-region>

Problemas comuns de replicação de políticas: