Межі між обліковими записами

Що таке Межі між обліковими записами?

Обліковий запис — найнадійніша межа, яку дає хмара, щоб обмежити радіус ураження. Вона тримається лише доти, доки довіру через неї чітко обмежено. Кожна роль має дві політики: що вона може робити і хто може нею стати. Сувора політика дозволів не створює межі, якщо роль може взяти на себе цілий інший обліковий запис. Ви прочитаєте політику довіри між обліковими записами, що називає весь обліковий запис dev без жодної умови, і проникнете з нього в продакшн. Виправлення має два рівні: названа ідентичність (principal) з умовою, а потім стеля SCP над самим обліковим записом.

Що ви дізнаєтесь у Межі між обліковими записами

• Розрізняйте дві політики ролі: одна визначає, що вона може робити, друга — хто може нею стати. Сувора політика дозволів не вирішує проблеми, якщо роль може взяти на себе будь-яка ідентичність.
• Не вказуйте в політиці довіри цілий обліковий запис: тоді найслабший обліковий запис визначає безпеку найсильнішого.
• Пам'ятайте, що обліковий запис за замовчуванням локалізує злам, доки не створено довірчих відносин, які перетинають його межу.
• Застосовуйте політику керування сервісами, щоб задати стелю над обліковим записом: адміністратор облікового запису-учасника не зможе повернути дозвіл.

Межі між обліковими записами — Кроки навчання

1. Найдешевші двері досередини

   Боб не в продакшні. Він в обліковому записі-пісочниці компанії Dremwick і має облікові дані ранера CI, що витекли в публічному журналі збірки. У пісочниці немає нічого, що варто красти, і саме тому за нею ніхто пильно не стежить. Спочатку він з'ясовує, що ще є в організації.

2. Двері, де в списку гостей — увесь обліковий запис

   Боб шукає в prod ролі, які dev має право брати на себе. Він знаходить роль для інструментів аудиту й читає її політику довіри.

3. Пройдіть крізь двері

   Боб бере роль на себе. Нічого екзотичного: політика довіри каже, що його обліковому запису тут раді, тож AWS видає йому облікові дані для продакшну.

4. Як prod виглядає зсередини

   Тепер сесія з узятою роллю — звичайна ідентичність у продакшні. Боб з'ясовує, що їй видно.

5. Усі контракти Dremwick

   Експорт контрактів — комерційне ядро бізнесу: хто купує електроенергію, за якою ціною і на який строк. Боб виводить його потоком просто у свій термінал.

6. Що насправді не спрацювало?

7. Наші ціни — у чужій пропозиції

   Компанія Dremwick програла тендер конкурентові. Його пропозиція виявилася нижчою на таку величину, що це має сенс лише в одному випадку: конкурент знав ціни виконання Dremwick. Комерційний відділ передав питання вище. Слід веде до сесії в обліковому записі продакшн, що надійшла з dev.

8. Відкрийте організацію

   Аліса відкриває огляд організації: дерево облікових записів, політику довіри ролі між обліковими записами та запобіжники над кожною організаційною одиницею.

9. Увесь обліковий запис у списку гостей

   Прогалина — у політиці довіри. Вона називає обліковий запис dev, а не інструмент, якому призначалася ця роль.

10. Назвіть єдину ідентичність, що може перетнути межу

    Аліса переписує політику довіри так, щоб у ній була названа саме роль інструментів аудиту, і вимагає зовнішній ідентифікатор, який мають указати ці інструменти.