Generator polityki AWS IAM

Generator polityki AWS IAM — dokument JSON zgodny z zasadą najmniejszych uprawnień

Generator polityki AWS IAM składa poprawny dokument JSON z pól Effect, Action, Resource i opcjonalnego Condition. Wpisz akcje i ARN-y zasobów, a narzędzie doda właściwą wersję języka polityki i sformatuje wynik gotowy do wklejenia w konsoli AWS lub w Terraformie.

Co dokładnie robi to narzędzie

Formularz przyjmuje listę akcji (po jednej w linii), listę zasobów w postaci ARN-ów, przełącznik Allow/Deny, opcjonalny identyfikator Sid oraz jeden warunek klucz–wartość. Puste linie są pomijane, powtórzenia usuwane, a wynik zawsze przechodzi przez json_encode, więc jest składniowo poprawnym JSON-em — nie zbudujesz tu dokumentu z niedomkniętym nawiasem czy zawieszoną przecinkiem tablicą.

Jedna akcja trafia do Action jako pojedynczy ciąg, kilka — jako tablica; tak samo z Resource. Oba warianty AWS akceptuje. Trzy szablony startowe (S3 read, Lambda invoke, Deny) pokazują typowe kształty polityki i są dobrym punktem wyjścia.

Struktura polityki IAM

Polityka to dokument JSON o ustalonym szkielecie. Najważniejsze pola:

Pole Version to nie wersja Twojej polityki, tylko wersja gramatyki AWS. Wartość 2012-10-17 jest obowiązująca dla wszystkich nowych dokumentów — starsza 2008-10-17 nie obsługuje między innymi zmiennych w politykach. Statement może zawierać wiele instrukcji, a każda z osobna łączy jeden Effect z listami akcji i zasobów.

Zasada najmniejszych uprawnień w praktyce

Najmniejsze uprawnienia to dawanie dokładnie tego, co potrzebne — ani akcji więcej, ani szerszego zakresu zasobów. Zamiast s3:* wypisz konkretne operacje: s3:GetObject i s3:ListBucket dla dostępu tylko do odczytu. Zamiast "Resource": "*" wskaż ARN bucketa i jego zawartości. Dzięki temu skradziony klucz albo błąd w kodzie nie zamieniają się w pełny dostęp do konta.

1. Zacznij od jednej akcji i jednego zasobu, potem dokładaj tylko to, co realnie się pojawia w logach odmów.
2. Rozdzielaj uprawnienia na osobne instrukcje Statement, gdy dotyczą różnych usług — łatwiej je później czytać i wycofywać.
3. Dodaj Condition, gdy chcesz ograniczyć regułę, np. do jednego regionu (aws:RequestedRegion) albo do żądań po HTTPS.
4. Przetestuj dokument w IAM Policy Simulator, zanim podepniesz go do roli produkcyjnej.

Dlaczego "Action": "*" na "Resource": "*" jest niebezpieczne

Instrukcja Allow z gwiazdką w obu polach przyznaje każdą operację każdej usługi na każdym zasobie — to odpowiednik roli administratora. Wystarczy jeden wyciek takiego klucza, by ktoś usunął bazy, uruchomił maszyny do kopania kryptowalut albo wyprowadził dane. Narzędzie wykrywa ten układ i wyświetla ostrzeżenie nad wynikiem, żeby taki dokument nie powstał przez przypadek.

Podobną kontrolę składni znajdziesz w generatorze nagłówka CSP, gdzie ostrzegamy przed 'unsafe-inline' — w obu przypadkach domyślnie „wszystko wolno” jest wygodne, ale kosztuje bezpieczeństwem.

ARN, czyli jak nazywa się zasób

ARN (Amazon Resource Name) jednoznacznie wskazuje zasób i ma stały wzór arn:aws:usługa:region:konto:zasób. Dla S3 region i konto bywają puste (arn:aws:s3:::my-bucket), bo nazwy bucketów są globalne. Zwróć uwagę na dwa różne ARN-y: arn:aws:s3:::my-bucket to sam bucket (dla s3:ListBucket), a arn:aws:s3:::my-bucket/* to obiekty w nim (dla s3:GetObject). Pomylenie ich to najczęstsza przyczyna „AccessDenied” mimo pozornie poprawnej polityki.

Polityki zarządzane a wbudowane (inline)

Ten sam dokument JSON możesz podpiąć na dwa sposoby. Polityka zarządzana istnieje samodzielnie i przypina się do wielu tożsamości — łatwo ją wersjonować i wielokrotnie użyć. Polityka wbudowana (inline) żyje wewnątrz jednej tożsamości i znika razem z nią. Do współdzielonych uprawnień wybieraj zarządzane, do jednorazowych wyjątków — inline.

Jeśli tę samą politykę wdrażasz jako kod, opisz ją w Terraformie: pomoże generator konfiguracji Terraform dla AWS EC2, a szablony CloudFormation sprawdzisz walidatorem szablonów CloudFormation. Do ochrony samych plików na serwerze przydaje się z kolei generator .htpasswd.

Najczęściej zadawane pytania