يجب أن تتحكم المؤسسات في من لديه الإذن للوصول إلى موارد AWS الخاصة بهم ، والموارد المتاحة ، والإجراءات التي يمكن للمستخدمين المصرح لهم تنفيذها. الغرض من AWS IAM هو مساعدة مسؤولي تكنولوجيا المعلومات على الإدارة هويات المستخدمين ومستويات وصولهم المختلفة إلى موارد AWS. في هذه المقالة ، سوف نفهم الميزات وإجراءات العمل الخاصة بإدارة الهوية والوصول (IAM) بالتسلسل التالي:
ما هي إدارة الهوية والوصول؟
AWS Identity and Access Management (IAM) هي خدمة ويب تساعدك على التحكم بأمان في الوصول إلى موارد AWS. باستخدام IAM ، يمكنك التحكم في من تمت المصادقة عليه والمصرح له باستخدام الموارد.
عندما تقوم بإنشاء حساب AWS لأول مرة ، فإنك تحتاج إلى هوية تسجيل دخول واحدة للوصول إلى الكل تسمى هذه الهوية مستخدم حساب AWS الجذر. يمكنك الوصول إليه عن طريق تسجيل الدخول باستخدام معرف البريد الإلكتروني وكلمة المرور اللذين استخدمتهما لإنشاء الحساب. تساعد AWS IAM في أداء المهام التالية:
- يتم استخدامه لتعيين المستخدمين والأذونات والأدوار. يسمح لك منح حق الوصول إلى الأجزاء المختلفة من منصة AWS
- كما أنه يمكّن عملاء Amazon Web Services من القيام بذلك ادارة المستخدمين وأذونات المستخدم في AWS
- باستخدام IAM ، يمكن للمؤسسات إدارة المستخدمين مركزيًا ، أوراق اعتماد الأمان مثل مفاتيح الوصول والأذونات
- تمكن IAM المنظمة من إنشاء عدة مستخدمين ، لكل منها بيانات اعتماد الأمان الخاصة بها ، ويتم التحكم فيها وتحويلها إلى حساب AWS واحد
- تسمح IAM للمستخدم بالقيام فقط بما يحتاج إلى القيام به كجزء من وظيفة المستخدم
الآن بعد أن عرفت ما هو IAM ، دعنا نلقي نظرة على بعض ميزاتها.
ميزات إدارة الهوية والوصول
تتضمن بعض الميزات المهمة لـ IAM ما يلي:
- الوصول المشترك إلى حساب AWS الخاص بك : يمكنك منح إذن لأشخاص آخرين لإدارة واستخدام الموارد في حساب AWS الخاص بك دون الحاجة إلى مشاركة كلمة المرور أو مفتاح الوصول.
- الأذونات الحبيبية : يمكنك منح أذونات مختلفة لأشخاص مختلفين لموارد مختلفة.
- الوصول الآمن إلى موارد AWS : يمكنك استخدام ميزات IAM لتوفير بيانات اعتماد بشكل آمن للتطبيقات التي تعمل على مثيلات EC2. توفر بيانات الاعتماد هذه أذونات لتطبيقك للوصول إلى موارد AWS الأخرى.
- مصادقة متعددة العوامل (MFA) : يمكنك إضافة مصادقة ثنائية إلى حسابك والمستخدمين الفرديين لمزيد من الأمان.
- اتحاد الهوية : يمكنك السماح للمستخدمين الذين لديهم بالفعل كلمات مرور في مكان آخر
- معلومات الهوية للتأكيد : تتلقى سجلات السجل التي تتضمن معلومات حول أولئك الذين قدموا طلبات للحصول على الموارد التي تستند إلى هويات IAM.
- امتثال PCI DSS : تدعم IAM معالجة بيانات بطاقة الائتمان وتخزينها ونقلها من قبل التاجر أو مزود الخدمة ، وقد تم التحقق من أنها متوافقة مع معيار أمان بيانات صناعة بطاقات الدفع (PCI) (DSS).
- متكامل مع العديد من خدمات AWS : هناك عدد من خدمات AWS التي تعمل مع IAM.
- متسقة في النهاية : تحقق IAM توفرًا عاليًا من خلال تكرار البيانات عبر خوادم متعددة داخل مراكز بيانات Amazon حول العالم. يتم تنفيذ التغيير ويتم تخزينه بأمان عند طلب بعض التعديل.
- مجاني للاستخدام : عند الوصول إلى خدمات AWS الأخرى باستخدام مستخدمي IAM أو بيانات اعتماد الأمان المؤقتة لـ AWS STS ، عندها فقط سيتم محاسبتك.
الآن دعنا ننتقل ونفهم عمل إدارة الهوية والوصول.
انتظر واعلم في جافا
عمل IAM
يقدم الوصول إلى الهوية وإدارتها أفضل بنية تحتية هذا مطلوب للتحكم في جميع التفويضات والمصادقة لحساب AWS الخاص بك. فيما يلي بعض عناصر البنية التحتية لـ IAM:
المبدأ
يُستخدم المبدأ في AWS IAM لاتخاذ إجراء بشأن مورد AWS. يعتبر مستخدم IAM الإداري هو المبدأ الأول ، والذي يمكن أن يسمح للمستخدم لخدمات معينة لتولي دور. يمكنك دعم المستخدمين المتحدين للسماح للتطبيق بالوصول إلى حساب AWS الحالي الخاص بك.
طلب
أثناء استخدام وحدة تحكم إدارة AWS ، سترسل API أو CLI الطلب تلقائيًا إلى AWS. سيحدد المعلومات التالية:
- تعتبر الإجراءات بمثابة مبادئ كي يؤدي
- يتم تنفيذ الإجراءات على أساس مصادر
- تتضمن المعلومات الأساسية بيئة حيث تم تقديم الطلب مسبقًا
المصادقة
إنها واحدة من أكثر المبادئ شيوعًا المستخدمة لتسجيل الدخول إلى AWS أثناء إرسال الطلب إليها. ومع ذلك ، فهو يتكون أيضًا من الخدمات البديلة مثل أمازون S3 والتي ستسمح بطلبات من المستخدمين غير المعروفين. من أجل المصادقة من وحدة التحكم ، تحتاج إلى تسجيل الدخول باستخدام بيانات اعتماد تسجيل الدخول مثل اسم المستخدم وكلمة المرور. ولكن للمصادقة ، تحتاج إلى توفير مفتاح السر ومفتاح الوصول إلى جانب معلومات الأمان الإضافية المطلوبة.
تفويض
أثناء تفويض قيم IAM التي يتم رفعها من الطلب ، سيتم التحقق من جميع السياسات المطابقة وتقييم ما إذا كان مسموحًا أو مرفوضًا للطلب المعني. يتم تخزين جميع السياسات في IAM كـ جسون المستندات وتقديم الإذن المحدد للموارد الأخرى. AWS IAM يتحقق تلقائيًا من جميع السياسات التي تتطابق بشكل خاص مع سياق جميع طلباتك. إذا تم رفض الإجراء الفردي ، فإن IAM ترفض الطلب بأكمله وتأسف لتقييم الإجراءات المتبقية ، وهو ما يسمى بالرفض الصريح. فيما يلي بعض القواعد المنطقية للتقييم لـ IAM:
- يتم رفض جميع الطلبات بشكل افتراضي
- يمكن أن يسمح الصريح بالتجاوزات بشكل افتراضي
- قد يرفض الصريح أيضًا التجاوز بالسماح لهم
أجراءات
بعد معالجة طلب الإذن أو عدم المصادقة تلقائيًا ، توافق AWS على الإجراء الذي اتخذته في شكل طلب. هنا يتم تحديد جميع الإجراءات من خلال الخدمات ويمكن القيام بالأشياء بواسطة موارد مثل الإنشاء والتحرير والحذف والعرض. من أجل السماح بمبدأ العمل ، نحتاج إلى تضمين جميع الإجراءات المطلوبة في السياسة دون التأثير على المورد الحالي.
مصادر
بعد الحصول على موافقات AWS ، يمكن تنفيذ جميع الإجراءات الواردة في طلبك استنادًا إلى الموارد ذات الصلة الموجودة في حسابك. بشكل عام ، يُطلق على المورد اسم كيان موجود بشكل خاص داخل الخدمات. هؤلاء خدمات الموارد يمكن تعريفها على أنها مجموعة من الأنشطة التي يتم تنفيذها بشكل خاص على كل مورد. إذا كنت ترغب في إنشاء طلب واحد ، فأنت بحاجة أولاً إلى تنفيذ الإجراء غير ذي الصلة الذي لا يمكن رفضه.
دعنا الآن نأخذ مثالاً ونفهم بشكل أفضل مفهوم إدارة الوصول إلى الهوية.
الحصول على طول مصفوفة جافا سكريبت
إدارة الهوية والوصول: مثال
لفهم مفهوم إدارة الهوية والوصول (IAM) ، لنأخذ مثالا. لنفترض أن شخصًا ما لديه شركة ناشئة مكونة من 3-4 أعضاء واستضاف التطبيق عبر Amazon. نظرًا لأنها منظمة صغيرة ، يمكن للجميع الوصول إلى Amazon حيث يمكنهم تكوين وتنفيذ أنشطة أخرى باستخدام حساب Amazon الخاص بهم. بمجرد أن ينمو حجم الفريق مع مجموعة من الأشخاص في كل قسم ، فإنه لا يفضل منح حق الوصول الكامل إليه ، حيث أنهم جميعًا موظفين ويجب حماية البيانات. في هذه الحالة ، يُنصح بإنشاء عدد قليل من حسابات خدمة الويب Amazon تسمى مستخدمي IAM. الميزة هنا هي أنه يمكننا التحكم في المجال الذي يمكنهم العمل فيه.
الآن ، إذا نما الفريق 4000 الأشخاص بمختلف المهام والإدارات. أفضل حل هو أن Amazon تدعم تسجيل الدخول الفردي بخدمات الدليل. تقدم أمازون خدمة مدعومة من قبل SAML المصادقة القائمة. لن يطلب أي بيانات اعتماد عندما يقوم شخص ما من المنظمة بتسجيل الدخول إلى جهاز المنظمة. عندها ستنتقل إلى بوابة أمازون وستظهر الخدمات التي يُسمح لمستخدم معين باستخدامها. أكبر ميزة لاستخدام IAM هي أنه ليست هناك حاجة لإنشاء مستخدمين متعددين ولكن تنفيذ تسجيل دخول بسيط.
بهذا نكون قد وصلنا إلى نهاية مقالتنا. أتمنى أن تكون قد فهمت ما هي إدارة الهوية والوصول في AWS وكيف تعمل.
إذا قررت الاستعداد للحصول على شهادة AWS ، فيجب عليك مراجعة دوراتنا التدريبية في لديك سؤال لنا؟ يرجى ذكر ذلك في قسم التعليقات في 'إدارة الهوية والوصول' وسنعاود الاتصال بك.