【AWS】什么是AWS的最小权限原则

AWS 的最小权限原则 (Principle of Least Privilege) 是一种信息安全最佳实践，也是 AWS Well-Architected Framework 中安全支柱的重要组成部分。

它的核心思想是：授予用户、应用程序、服务或任何实体执行其工作职责所需的最小权限等级或许可。

这意味着：

只给予必要的权限： 任何用户、角色或服务，都只应拥有完成其特定任务所必需的权限，不多也不少。

限制访问范围： 权限应尽可能地限定在特定的资源（例如，只允许访问某个特定的 S3 存储桶，而不是所有 S3 存储桶）和特定的操作（例如，只允许读取数据，不允许写入或删除）。

防止意外或恶意行为： 通过限制权限，可以大大降低因用户错误、配置错误或恶意攻击（例如，被入侵的账户）而造成的潜在损害。即使某个账户被攻破，其权限受限，也无法对整个 AWS 环境造成广泛影响。

重要性：

缩小攻击面： 限制权限可以减少潜在的攻击途径，使恶意行为者更难通过提升权限来访问敏感数据或发起攻击。

提高数据安全性： 确保只有授权人员和应用程序才能访问敏感数据。

减少人为错误： 防止用户因操作失误而意外删除或修改关键资源。

支持合规性： 许多行业标准和法规都要求实施最小权限原则，以保护数据和系统。

在 AWS 中实施最小权限原则：

在 AWS 中，最小权限原则主要通过 AWS Identity and Access Management (IAM) 来实现。默认情况下，IAM 用户和角色没有任何权限。您需要通过附加 IAM 策略来明确授予权限。

实施步骤通常包括：

识别所需权限： 明确用户、应用程序或服务需要执行哪些任务，以及这些任务涉及哪些 AWS 服务和资源。

创建精细的 IAM 策略： 编写自定义的 IAM 策略，精确地定义允许的操作、资源和条件。避免使用过于宽泛的策略（例如，"Action": "*", "Resource": "*"）。

将策略附加到 IAM 实体： 将这些精细的策略附加到 IAM 用户、IAM 组或 IAM 角色。

定期审查和审计： 定期审查权限，确保它们仍然符合业务需求，并在不再需要时立即撤销权限（例如，当用户变更角色或离开组织时）。

使用条件： 在策略中使用条件键（Condition Keys）来进一步限制权限，例如，只允许从特定的 IP 地址访问，或在特定的时间段内访问。

总之，最小权限原则是构建安全、弹性和合规的 AWS 环境的基石。

过去考试题

AWS IAMユーザーに可能な限り少ない特権を提供する内容として正しいのは、次のうちどれですか？

1. 単一のユーザーにのみアクセス許可を付与する
2. AWS IAMポリシーのみを使用してアクセス許可を付与する
3. 信頼できるユーザーにAdministrator Accessポリシーのアクセス許可を付与する
4. 特定のタスクを実行するために必要な権限のみを付与する

リソースへのアクセスの割り当てにはIAMを利用します。最小特権の原則に基づき、特定のタスクを実行するのに必要な権限のみを付与するのが適切です。これにより、セキュリティリスクを最小限に抑えることができます。

A:単一のユーザーにのみアクセス許可を付与することは、最小特権の原則に反します。状況に応じた適切な権限を付与する必要があります。

B:IAMポリシーを適切に設定することは重要ですが、それだけでは不十分です。適切なポリシーを特定のユーザー、グループ、ロールに割り当てる必要があります。

C:Administrator Accessポリシーを付与することは、最小特権の原則に反します。必要最小限の権限のみを割り当てるべきです。信頼できるユーザーであっても、不要な権限を持つべきではありません。