قراءة سياسات IAM وكتابتها

في الدرس السابق تعلّمت كيف يقرّر IAM. والآن تكتب ما يقرّر بناءً عليه. يحتاج Lantern إلى سياسة للدالة التي تستقبل الملصقات المرفوعة، وسياسة للمطوّرين، وسياسة bucket تحمي الملصقات. والثلاث مكتوبة بلغة JSON الصغيرة نفسها.

تشريح العبارة

إليك سياسة دالة الرفع في Lantern، التي تحفظ الملصقات تحت uploads/ وتسرد أحيانًا ما يوجد هناك:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "WriteUploads",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::lantern-posters/uploads/*"
    },
    {
      "Sid": "ListUploadsOnly",
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::lantern-posters",
      "Condition": {
        "StringLike": { "s3:prefix": "uploads/*" }
      }
    }
  ]
}

اقرأها من الأعلى إلى الأسفل:

• Version دائمًا "2012-10-17"، وهو الإصدار الحالي للغة السياسات. إنه نص ثابت، لا تاريخ اليوم.
• Statement قائمة. وكل عبارة تُقيَّم وحدها.
• Sid تسمية اختيارية. سمِّ الغرض من العبارة؛ وستشكرك نفسك في المستقبل.
• Effect قيمته Allow أو Deny.
• Action إجراء واحد أو قائمة، ويُكتب بالشكل service:Operation. الرموز البديلة تعمل (s3:Get*) لكن كل واحد منها يوسّع الباب.
• Resource ARN واحد أو قائمة. والرموز البديلة تعمل هنا أيضًا.
• Condition اختياري ويضيّق متى تنطبق العبارة.

تضيف السياسات القائمة على المورد، مثل سياسات الـ buckets، عنصر Principal يسمّي من تخصّه العبارة. أما السياسات القائمة على الهوية فلا تحتوي عليه، لأن الهوية المرفقة بها هي الـ principal.

ARN الـ bucket أم ARN الكائن؟

للسياسة أعلاه موردان مختلفان عن قصد. s3:ListBucket عملية على الـ bucket، لذا موردها هو arn:aws:s3:::lantern-posters. وs3:PutObject عملية على الكائنات، لذا موردها ARN الـ bucket متبوعًا بمسار: lantern-posters/uploads/*. بدّل بينهما فلن تطابق أيٌّ من العبارتين أبدًا، وستحصل على AccessDenied مع سياسة تبدو صحيحة.

التمييز نفسه موجود في أماكن أخرى. فالإجراء dynamodb:Query على index في جدول يحتاج إلى ARN الـ index (table/lantern-rsvps/index/by-event)، لا إلى ARN الجدول وحده. عندما تسمح سياسة “بوضوح” بشيء وترفضه AWS، قارن ARN الطلب بـ ARN السياسة حرفًا حرفًا.

أقل الصلاحيات عمليًا

أقل الصلاحيات (least privilege) يعني ألّا تمنح إلا الإجراءات والموارد التي تحتاجها المهمة. يبدو هذا بطيئًا، لكن طريقة العمل سريعة:

1. اكتب ما تفعله المهمة بكلمات بسيطة: “تكتب الملصقات في uploads/، وتسرد تلك البادئة”.
2. ترجم كل فعل إلى إجراء، وكل اسم إلى ARN دقيق.
3. انشر واختبر. رسالة AccessDenied تسمّي الإجراء والمورد الناقصين؛ أضف ذلك بالضبط.

بالنسبة إلى الـ roles الموجودة، يعرض IAM معلومات آخر وصول (last accessed) لكل خدمة، ويستطيع IAM Access Analyzer توليد سياسة من الإجراءات التي استخدمها الـ role فعلًا وفق AWS CloudTrail. وكلاهما طريقة جيدة لتقليص سياسة اتّسعت أكثر من اللازم.

الشروط: متى ينطبق السماح

كتلة الشرط تربط العوامل (operators) بـ المفاتيح (keys) والقيم (values):

"Condition": {
  "StringEquals": { "aws:RequestedRegion": ["eu-west-1", "eu-south-2"] },
  "Bool": { "aws:MultiFactorAuthPresent": "true" }
}

قاعدتان تجعلان الشروط قابلة للتوقّع. المفاتيح المنفصلة تُجمع بـ AND: يجب أن يكون الطلب في إحدى تلك الـ Regions وأن يُرسَل باستخدام MFA. والقيم المتعدّدة للمفتاح الواحد تُجمع بـ OR: أيٌّ من الاثنتين تفي بالغرض.

مفاتيح مفيدة لـ Lantern:

والشروط ممتازة أيضًا كحواجز حماية بـ الرفض. ترفض سياسة الـ bucket في Lantern أي طلب دون TLS، من أي أحد:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyInsecureTransport",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::lantern-posters",
        "arn:aws:s3:::lantern-posters/*"
      ],
      "Condition": { "Bool": { "aws:SecureTransport": "false" } }
    }
  ]
}

ولأن الرفض الصريح ينتصر دائمًا، لا يستطيع أي سماح في أي مكان إلغاءه.

تحقّق قبل أن ترفق

يشغّل محرّر السياسات في console الـ IAM فحوص IAM Access Analyzer أثناء كتابتك: أخطاء الصياغة، والإجراءات غير الصالحة، والتحذيرات الأمنية مثل رمز بديل في pass-role. ومن الطرفية:

aws accessanalyzer validate-policy \
  --policy-type IDENTITY_POLICY \
  --policy-document file://lantern-upload-policy.json \
  --query "findings[].[findingType,issueCode]" --output table

النتيجة الفارغة تعني عدم وجود ملاحظات. أصلح كل ERROR وSECURITY_WARNING، واقرأ كل WARNING وSUGGESTION.

أصبحت تستطيع كتابة صلاحيات محكمة. في الدرس التالي: كيف يحصل عليها الأشخاص دون مستخدمي IAM، وكيف يحصل عليها الكود دون مفاتيح وصول.