IAM (Identity Access Management)

AWS IAM, İşletmenizin AWS Hizmetlerini kullanacak kullanıcılara, kullanıcı zümrelerine hatta servislerin (Lambda, EC2 vs.) yönetim hakları tanımanızı sağlayan bir Kimlik yönetim servisidir.

• Eğer root kullanıcı ise AWS'e giriş yaptıysanız bu default bir IAM hesabıdır ve AWS hesabındaki en güçlü roldür ve tüm işlem haklarına sahiptir.

• Root dışındaki tüm kullanıcılar el ile yönetim yetkileri belirlenerek yaratılır.

Temel Objeler

1. IAM User: Tekil kullanıcıya verilecek yetkiyi belirtir. Bir IAM user'ın yetkilerine sahip olmak için o kullanıcı hesabı ile AWS'e girilmelidir.

2. IAM Group: Gruplar birden fazla kullanıcıya tek seferde yetki vermenizi sağlar. Gruplar başka grupları kapsamaz. IAM gruplarına Yetki koşullandırılması uygulanamaz.

Poliçeler

Bu iki kullanıcı tipine hazır poliçeler veya el ile yazılmış JSON tipindeki poliçeler ile yetki verilir.

Bir poliçe örneği

Politika (Policy) şunlardan oluşur:

• Version: Politika dili sürümü. Her zaman "2012-10-17" değeri kullanılır.

• Id: Politika için tanımlayıcı (isteğe bağlı).

• Statement: Bir veya daha fazla ifade (zorunlu).

Statement (ifade) şunlardan oluşur:

• Sid: İfade için tanımlayıcı (isteğe bağlı).

• Effect: Erişime izin mi verildiğini, yoksa reddedildiğini mi belirtir (Allow, Deny).

• Principal: Politikanın uygulandığı hesap/kullanıcı/r

Örneklemde Statement elemanları gösterilmiştir.

IAM MFA

IAM kullanıcılarına hesaplarına erişmelerini ve/veya yetkilerini kullanırken ikinci bir doğrulama şartı koymanızı sağlar. Bunu Sanal MFA Uygulamaları (bknz: Google Authenticator vs) veya fiziksel MFA Cihazları (bknz: Yubikey,Hardware Key FOB (Gemalto), Surepass vs) ile sağlayabilirler.

IAM Roles

• Bazı AWS servislerinin sizin adınıza işlem yapması gerekebilir

• Bunu yapmak için, AWS servislerine IAM Rolleri ile izinler atanabilir

• Yaygın roller:

  • EC2 Instance Rolleri

  • Lambda Fonksiyon Rolleri

  • CloudFormation için Roller

• Rollerin kullanıcıları şunlar olabilir:

  • AWS Servisleri (örneğin: EC2, Lambda, ECS…)

  • AWS Kullanıcıları

  • Farklı AWS Hesapları (Cross-account access)

  • Federated Users (Google, AD gibi kimlik sağlayıcılar)

IAM Güvenlik Araçları

• IAM Credentials Report (Hesap düzeyinde)

• Hesabınızdaki tüm kullanıcıları ve onların çeşitli kimlik bilgilerinin durumunu listeleyen bir rapordur.

• IAM Access Advisor (Kullanıcı düzeyinde)

• Bir kullanıcıya verilmiş servis izinlerini ve bu servislerin en son ne zaman kullanıldığını gösterir.