Безопасность в облаке и IAM

Что это такое

Безопасность в облаке начинается с идентичности: набора субъектов, которые могут вызывать API провайдера, и разрешений, которые есть у каждого из них. В облачных платформах это называется управлением идентификацией и доступом (IAM), и это основная поверхность управления. Сетевое правило решает, что может дойти до сервиса; разрешение решает, кто может создать, изменить или удалить его, и каждый ресурс в аккаунте покрыт обоими.

Почему это важно

Аккаунт в облаке — это API, а API может создать или уничтожить всё, что в аккаунте есть. Поэтому утёкшие учётные данные гораздо опаснее скомпрометированного хоста: это не одна машина, а возможность действовать от имени аккаунта. Характерный инцидент в облаке почти всегда повторяет одну и ту же форму — долгоживущий ключ с широкими правами оказывается раскрыт, и злоумышленник читает данные, создаёт дорогие ресурсы или удаляет резервные копии. Защита от этого — небольшой набор дисциплин, применяемых последовательно, и это делает тему обозримой, а не подавляющей.

Что в этом треке

Идентичности и роли (06-cloud-devops/12-cloud-security-iam/01-identities-and-roles) — субъекты, временные учётные данные и структура аккаунта, в которой они живут.
Наименьшие привилегии на практике (06-cloud-devops/12-cloud-security-iam/02-least-privilege-in-practice) — как сужать разрешения со временем и замечать дрейф, который это отменяет.

Предварительные требования

AWS (06-cloud-devops/02-aws)

Что читать дальше

AWS (06-cloud-devops/02-aws) — конкретная модель аккаунта и разрешений, поэтому читайте её первой.
Идентичность и затраты (06-cloud-devops/02-aws/04-identity-and-cost) — та же дисциплина со стороны счетов и владения.
Веб-безопасность (OWASP Top 10) (07-security/01-web-security-owasp-top-10) — слой приложения в той же задаче, который управление идентификацией и доступом не покрывает.