The approach to organizing your AWS account, delegating access to IAM, CI/CD to grant developers direct access to AWS

The approach to organizing your AWS account, delegating access to IAM, CI/CD to grant developers direct access to AWS

Transcript

1. The approach to organizing your AWS account, delegating access to IAM, CI/CD to grant developers direct access to AWS Александр Глущенко CloudOps Team and Technical Lead в Provectus
2. I. Вступление II. Эволюция работы с IAM III. Шаги развития IV. Возможности AWS, которые могут улучшить наши флоу V. Наша cтратегия работы с IAM Agenda
3. I. Делегировать ответственность для app-specific IAM владельцам продукта II. Использовать средства превентивного контроля как сервис III. Использовать всю мощь SCP и permissions boundaries для обеспечения свободы разработчиков Ключевые цели
4. I. Дать возможность разработчикам экспериментировать II. Минимизировать возможность повышения привилегий III. Освободить время сотрудника ответственного за безопасность IV. Обеспечить проверяемость политик Наши задачи
5. Обычное workflow
6. Развитие подходов к работе с IAM Раньше • Делегирование ограничено или отсутствует • Старая модель waterfall • Ручное согласование и длительный процесс развертывания Сейчас • Делегирование возможностей владельцам ресурсов • Безопасность как код • Ограничение только критических уязвимостей
7. Делегирование IAM разработчикам Service control policy Permissions boundary Role1 Role2 Role3
8. Автономность команд разработки
9. Структура AWS организации
10. Доступные варианты политик Service control policy • Присоединяется к OU, аккаунтам • Определяет максимальные разрешения для всех identities внутри аккаунта • Ограничивает разрешения в identities и resource-based policy • Не предоставляет никаких разрешений
11. Доступные варианты политик Permissions boundary • Присоединяется к пользователям, ролям • Определяет максимальные разрешения которые может предоставить identity-based policy. • Не ограничивает разрешения предоставленные в resource-based policy • Не предоставляет никаких разрешений
12. Доступные варианты политик Identity-based policy • Присоединяется к пользователям, группам, ролям • Предоставляет разрешения к связанному identity • Обычно используется для предоставления доступа
13. Доступные варианты политик Resource-based policy • Присоединяется к ролям, S3 бакетам, ключам, и т.д. • Предоставляет разрешения для определенного Principal (даже в другом аккаунте)
14. Эффективность ограничений SCP Identity-based policy Permissions boundary Конечные ограничения • Защищает ресурсы • Показывает что находится за пределами разрешений • Ограничивает возможности
15. Всем спасибо! Александр Глущенко CloudOps Team and Technical Lead в Provectus Linkedin: https://www.linkedin.com/in/alex-glushchenko/