IAM高级 #

SCP特点：
├── AWS Organizations功能
├── 限制成员账户权限
├── 不授予权限，只限制权限
├── 影响所有用户（包括root）
└── 必须启用所有功能

SCP权限模型：
┌─────────────────────────────────────────────────────────────┐
│                    有效权限                                  │
│  ┌─────────────────────────────────────────────────────────┐│
│  │                    IAM策略                              ││
│  │  ┌─────────────────────────────────────────────────────┐││
│  │  │                    SCP                             │││
│  │  │  ┌─────────────────────────────────────────────────┐│││
│  │  │  │               组织管理账户                      ││││
│  │  │  └─────────────────────────────────────────────────┘│││
│  │  └─────────────────────────────────────────────────────┘││
│  └─────────────────────────────────────────────────────────┘│
└─────────────────────────────────────────────────────────────┘

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyAllExceptS3",
            "Effect": "Deny",
            "NotAction": [
                "s3:*",
                "iam:Get*",
                "iam:List*"
            ],
            "Resource": "*"
        }
    ]
}

SCP建议：
├── 从允许所有开始
├── 逐步添加限制
├── 测试后再应用
├── 使用条件语句
└── 定期审查SCP

权限边界用途：
├── 限制用户/角色的最大权限
├── 权限委托场景
├── 开发者自助权限管理
└── 合规要求

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:*",
                "ec2:*",
                "lambda:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "iam:*",
            "Resource": "*"
        }
    ]
}

有效权限 = 身份策略 ∩ 权限边界 ∩ SCP

示例：
├── 身份策略：允许S3和EC2
├── 权限边界：允许S3和Lambda
├── SCP：允许S3、EC2、Lambda
└── 有效权限：仅S3

联合身份类型：
├── 企业联合
│   ├── SAML 2.0
│   └── Microsoft Active Directory
│
├── Web联合
│   ├── Amazon Cognito
│   ├── Login with Amazon
│   ├── Google
│   └── Facebook
│
└── 自定义联合
    └── 自定义身份提供商

SAML联合配置：
├── 创建IAM身份提供商
├── 配置信任关系
├── 创建角色
├── 映射属性
└── 配置应用程序

aws iam create-saml-provider \
    --saml-metadata-document file://metadata.xml \
    --saml-provider-name MyProvider

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "Federated": "graph.facebook.com"
        },
        "Action": "sts:AssumeRoleWithWebIdentity",
        "Condition": {
            "StringEquals": {
                "graph.facebook.com:app_id": "123456789"
            }
        }
    }]
}

Cognito特点：
├── 用户池
│   └── 用户目录和认证
│
├── 身份池
│   └── 获取AWS临时凭证
│
└── 支持
    ├── 用户名/密码
    ├── 社交登录
    └── 企业联合

Access Analyzer功能：
├── 分析资源访问策略
├── 发现外部访问
├── 识别过度权限
├── 验证策略
└── 生成策略

分析器类型：
├── 区域分析器
│   └── 分析区域内资源
│   └── S3存储桶、IAM角色等
│
└── 组织分析器
    └── 分析组织内资源
    └── 跨账户访问

aws accessanalyzer create-analyzer \
    --analyzer-name my-analyzer \
    --type ACCOUNT

查找结果类型：
├── 外部访问
│   └── 账户外的实体可访问
│
├── 未使用的访问
│   └── 授予但未使用的权限
│
└── 内部访问
    └── 账户内的访问

aws accessanalyzer validate-policy \
    --policy-document file://policy.json \
    --policy-type IDENTITY_POLICY

常用条件键：
├── aws:SourceIp
│   └── 限制源IP地址
│
├── aws:RequestedRegion
│   └── 限制请求区域
│
├── aws:MultiFactorAuthPresent
│   └── 要求MFA
│
├── aws:CurrentTime
│   └── 限制访问时间
│
├── aws:PrincipalArn
│   └── 限制主体ARN
│
└── s3:prefix
    └── 限制S3前缀

条件运算符：
├── 字符串
│   ├── StringEquals
│   ├── StringNotEquals
│   ├── StringLike
│   └── StringNotLike
│
├── 数字
│   ├── NumericEquals
│   ├── NumericLessThan
│   └── NumericGreaterThan
│
├── 日期
│   ├── DateEquals
│   ├── DateLessThan
│   └── DateGreaterThan
│
├── IP地址
│   ├── IpAddress
│   └── NotIpAddress
│
└── 布尔
    ├── Bool
    └── Null

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": "*",
        "Condition": {
            "IpAddress": {
                "aws:SourceIp": "192.0.2.0/24"
            },
            "StringEquals": {
                "aws:RequestedRegion": "us-east-1"
            },
            "Bool": {
                "aws:MultiFactorAuthPresent": "true"
            }
        }
    }]
}

实例配置文件特点：
├── EC2实例的容器
├── 包含IAM角色
├── 自动提供临时凭证
├── 无需管理密钥
└── 安全访问AWS服务

aws iam create-instance-profile \
    --instance-profile-name EC2Profile

aws iam add-role-to-instance-profile \
    --instance-profile-name EC2Profile \
    --role-name EC2Role

aws ec2 associate-iam-instance-profile \
    --instance-id i-1234567890abcdef0 \
    --iam-instance-profile Name=EC2Profile

角色链特点：
├── 一个角色担任另一个角色
├── 跨账户访问
├── 权限提升控制
└── 会话持续时间限制

aws sts assume-role \
    --role-arn arn:aws:iam::123456789012:role/RoleA \
    --role-session-name SessionA

aws sts assume-role \
    --role-arn arn:aws:iam::123456789012:role/RoleB \
    --role-session-name SessionB

权限管理建议：
├── 使用组管理权限
├── 使用角色而非用户
├── 使用托管策略
├── 定期审计权限
├── 使用Access Analyzer
└── 实施最小权限原则

安全建议：
├── 启用MFA
├── 使用条件限制
├── 定期轮换凭证
├── 监控异常活动
├── 使用CloudTrail审计
└── 实施权限边界