Panduan Lengkap AWS Identity and Access Management (IAM)

Layanan Identity and Access Management (IAM) menjadi fondasi untuk semua yang Anda lakukan di AWS. Layanan ini menjaga data Anda tetap aman dan memungkinkan Anda mengontrol siapa yang dapat mengakses sumber daya AWS serta apa yang bisa mereka lakukan dengannya. 

Tanpa IAM, siapa pun yang mengakses akun AWS Anda bisa membuat kekacauan dengan mengubah konfigurasi, menghapus sumber daya, atau mengakses data sensitif.

Panduan ini mencakup semua yang perlu Anda ketahui untuk menyiapkan dan menggunakan IAM guna mengamankan lingkungan AWS Anda.

Jika Anda baru di AWS, pertimbangkan untuk mengikuti kursus Introduction to AWS kami untuk memahami dasar-dasarnya.

Apa Itu AWS IAM?

IAM adalah singkatan dari Identity and Access Management. Layanan ini dirilis pada 2011 dan merupakan alat untuk mengelola siapa yang dapat mengakses sumber daya AWS Anda serta apa yang bisa mereka lakukan dengannya.

Berikut empat komponen penting IAM:

• Users adalah individu atau aplikasi yang membutuhkan akses ke sumber daya AWS Anda. Setiap pengguna menerima kredensial unik, seperti kata sandi dan access key.
• Groups adalah kumpulan pengguna. Alih-alih menetapkan izin ke masing-masing pengguna, Anda dapat menempatkan pengguna dalam grup dan menetapkan izin ke grup tersebut. Ini memudahkan pengelolaan izin untuk banyak pengguna sekaligus.
• Roles dimaksudkan untuk diassume oleh siapa pun yang membutuhkannya, bukan dikaitkan dengan satu orang saja. Misalnya, sebuah instance EC2 dapat “assume a role” untuk mengakses bucket S3 tanpa memerlukan kredensial permanen. Role menggunakan kredensial keamanan sementara yang kedaluwarsa otomatis, yang sangat baik dari sisi keamanan.
• Policies adalah dokumen JSON yang mendefinisikan izin. Dokumen ini menentukan tindakan apa yang diizinkan atau ditolak pada sumber daya mana. Policy dapat dilampirkan ke pengguna, grup, atau role.

Jika Anda baru di AWS, pertimbangkan untuk mengikuti kursus Introduction to AWS kami untuk membiasakan diri dengan dasar-dasar platform yang luas ini.

Mulai Menggunakan IAM

Jika belum, buat akun AWS dan masuk.

Untuk menemukan layanan IAM, masukkan kata kunci “iam” di bilah pencarian di bagian atas konsol AWS dan pilih hasil pertama untuk IAM.

Mencari layanan IAM di konsol AWS

Ini akan membawa Anda ke dasbor IAM, tempat Anda dapat membuat dan mengelola semua komponen IAM.

Dasbor IAM

Panel kiri dasbor memungkinkan Anda membuat pengguna, role, dan policy, serta laporan dan alat untuk pengelolaan dan pemantauan.

Rekomendasi keamanan biasanya ditemukan di tengah dasbor IAM. AWS menawarkan panduan luas tentang praktik terbaik keamanan dan memudahkan untuk mengambil tindakan korektif bila diperlukan.

Kebijakan AWS IAM

Sekarang, mari tinjau salah satu konsep terpenting dalam IAM: policy.

Apa itu kebijakan IAM?

Policy menentukan siapa yang dapat memiliki izin apa untuk mengakses sumber daya AWS Anda.

Gambaran kebijakan IAM

Policy ditulis dalam format JSON dan terdiri dari beberapa elemen kunci.

Sebagai contoh, berikut dokumen JSON untuk AWS-managed policy bernama “AmazonS3FullAccess”:

​​{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

• Elemen Version menentukan versi bahasa policy.
• Elemen Statement adalah bagian “inti” dari policy. Satu policy dapat memiliki beberapa statement. Setiap statement mencakup beberapa bidang penting:
• Effect: Bidang ini menentukan apakah statement mengizinkan atau menolak akses. Nilainya bisa "Allow" atau "Deny".
• Action: Mendefinisikan tindakan apa yang diizinkan atau ditolak. Action biasanya merupakan operasi yang dapat Anda lakukan pada suatu sumber daya. AWS memiliki action spesifik untuk setiap layanan, jadi Anda harus menentukannya dengan benar.
• Resource: Menentukan sumber daya AWS yang menjadi cakupan action. Sumber daya diidentifikasi menggunakan Amazon Resource Names (ARN) yang mengidentifikasi sumber daya secara unik.

Jenis kebijakan: Managed versus inline policies

Sekarang, mari bahas jenis-jenis policy, dimulai dari managed policy yang dapat berupa AWS-managed atau customer-managed. 

AWS-managed policy dibuat dan dikelola oleh AWS, sehingga menjadi titik awal yang bagus untuk set izin yang umum digunakan. Customer-managed policy adalah policy yang Anda buat dan kelola sendiri, memberi Anda fleksibilitas lebih untuk menulis dokumen JSON khusus.

Inline policy, di sisi lain, dilampirkan langsung ke satu pengguna, grup, atau role. Policy ini berguna untuk izin spesifik yang dikontrol ketat dan tidak boleh digunakan kembali. Namun, mengelola inline policy bisa menjadi rumit saat jumlahnya bertambah, sehingga umumnya kurang disarankan dibanding managed policy.

Membuat dan melampirkan policy ke pengguna, grup, dan role

Membuat dan melampirkan policy ke pengguna, grup, dan role di AWS cukup mudah. Berikut panduan langkah demi langkah:

1. Membuat policy

Untuk membuat policy, klik “Policies” di menu kiri konsol IAM dan klik “Create Policy.”

Anda dapat mendefinisikan policy menggunakan visual editor atau tab JSON. Visual editor lebih mudah jika Anda belum familiar dengan JSON. Misalnya, untuk membuat policy yang mengizinkan akses baca-saja ke S3, Anda dapat memilih “S3 service” lalu pilih action “read-only”.

Jika Anda ingin mempelajari lebih lanjut tentang S3, pastikan untuk melihat tutorial penyimpanan AWS kami.

Buat policy baru

Setelah Anda mendefinisikan policy, klik “Review policy.” Lalu, beri nama dan deskripsi untuk policy Anda dan klik “Create policy.” Pada titik ini, policy kustom Anda seharusnya sudah dibuat.

Perlu dicatat bahwa ada lebih dari seribu AWS-managed policy yang seharusnya mencakup sebagian besar kasus penggunaan Anda. Jadi, mungkin Anda tidak perlu membuat policy kustom.

Daftar AWS-managed policies

2. Melampirkan policy ke pengguna

Jika Anda ingin melampirkan policy ke seorang pengguna, buka “Users” di konsol IAM dan pilih pengguna yang ingin Anda lampiri policy. 

Klik tab “Permissions” lalu klik “Add permissions.”

Pilih “Attach policies directly,” temukan policy yang Anda buat (atau policy yang sudah ada yang ingin Anda lampirkan) dan pilih.

Lampirkan policy ke pengguna

Klik “Next” untuk meninjau izin, lalu klik “Add permissions.”

3. Melampirkan policy ke grup

Jika Anda ingin melampirkan policy ke grup, buka “User groups” di konsol IAM dan pilih grup untuk melampirkan policy, atau klik “Create new group” untuk membuat grup baru.

Klik “Permissions tab” dan “Add permissions.”

Serupa dengan melampirkan policy ke pengguna, Anda perlu memilih “Attach policies directly” lalu temukan dan pilih policy yang Anda buat (atau policy yang sudah ada).

Klik “Next” untuk meninjau izin, lalu klik “Add permissions.”

4. Melampirkan policy ke role

Buka “Roles” di konsol IAM dan pilih role yang ingin Anda lampiri policy.

Klik tab “Permissions” lalu klik ”Add permissions.” Langkah ini sedikit berbeda dari sebelumnya. Anda akan ditampilkan policy izin saat ini dan daftar lengkap policy lain yang dapat Anda lampirkan. 

Lampirkan policy ke role

Pilih policy yang ingin Anda lampirkan dan pilih “Add permissions.” Ingat bahwa Anda hanya dapat menambahkan hingga 10 managed policy ke sebuah role.

Role AWS IAM

IAM role membantu Anda mengelola izin untuk layanan dan aplikasi Anda. 

Berbeda dengan IAM user, yang dikaitkan dengan orang tertentu, role dirancang untuk diassume oleh siapa pun yang membutuhkannya, sehingga sangat fleksibel.

Anggap role sebagai sekumpulan izin yang dapat diberikan sementara kepada entitas seperti layanan AWS (misalnya, EC2, Lambda) atau bahkan pengguna dari akun AWS lain. Ini sangat baik untuk keamanan karena role menggunakan kredensial sementara yang kedaluwarsa otomatis.

Lihat tutorial kami tentang menguasai step functions di AWS, di mana Anda dapat melihat bagaimana IAM role merupakan komponen penting dalam mengorkestrasi alur kerja.

Bagaimana cara kerja IAM role?

Saat Anda membuat role, Anda mendefinisikan dua hal utama: trust policy dan permissions policy:

• Trust policy menentukan siapa yang dapat mengassume role tersebut. Misalnya, Anda dapat membuat trust policy yang mengizinkan instance EC2 atau fungsi AWS Lambda untuk mengassume role. Policy ini menentukan entitas tepercaya (seperti layanan atau pengguna) yang dapat menggunakan role tersebut.
• Permissions policy menentukan tindakan apa yang diizinkan atau ditolak saat role diassume. Cara kerjanya sama seperti policy yang Anda lampirkan ke IAM user, yaitu menentukan sumber daya apa yang dapat diakses dan tindakan apa yang dapat dilakukan role.

Sebuah entitas harus mengassume role untuk menggunakannya. Saat instance EC2 atau fungsi Lambda mengassume role, entitas tersebut mendapatkan kredensial keamanan sementara yang dapat digunakan untuk membuat permintaan ke layanan AWS.

Berikut contoh sederhana: Misalkan Anda memiliki aplikasi yang berjalan pada instance EC2 yang perlu membaca dari bucket S3. Alih-alih menyimpan access key di instance, Anda dapat membuat IAM role dengan policy yang mengizinkan pembacaan dari S3. Kemudian Anda melampirkan role ini ke instance EC2 Anda. Saat instance berjalan, instance akan mengassume role dan mendapatkan kredensial sementara untuk mengakses bucket S3.

Kredensial sementara diberikan ke instance melalui AWS Security Token Service (STS). Kredensial ini mencakup access key ID, secret access key, dan session token, dan berlaku untuk durasi singkat, biasanya beberapa jam.

Menggunakan role juga memudahkan pengelolaan izin karena Anda dapat memperbarui policy role di satu tempat, yang otomatis berlaku untuk semua entitas yang mengassume role tersebut.

Cara membuat IAM role

Untuk membuat IAM role, klik “Roles” di menu kiri konsol IAM lalu klik “Create Role.” Kemudian ikuti langkah-langkah ini untuk menyelesaikan pembuatan role:

1. Pilih entitas tepercaya

Anda perlu memilih siapa atau apa yang akan menggunakan role ini. Anda memiliki beberapa opsi: layanan AWS (misalnya, EC2, Lambda), akun AWS lain, atau web identity. Untuk saat ini, anggap kita membuat role yang memberikan akses penuh ke S3.

Pilih “S3” sebagai layanan dan “S3” sebagai use case. Klik “Next.”

Pilih entitas tepercaya

2. Lampirkan policy

Di sini, Anda akan menambahkan izin ke role Anda. Anda dapat memilih dari policy yang ada atau membuat yang baru.

Untuk role ini, kita mencari dan memilih policy “AmazonS3FullAccess” lalu klik “Next.”

Tambahkan izin ke IAM role

3. Beri nama, tinjau, dan buat

Beri role Anda nama yang menjelaskan fungsinya, seperti “FullS3Access.”

Beri nama, tinjau, dan buat role

Tinjau detail role Anda untuk memastikan semuanya terlihat baik. Anda akan melihat entitas tepercaya, policy yang dilampirkan, dan tag apa pun yang Anda tambahkan.

Tag bersifat opsional, tetapi dapat membantu mengatur dan mengelola role Anda. Misalnya, Anda dapat menambahkan tag dengan key "Environment" dan value "Production".

Klik “Create role.”

Cara mengelola IAM role

Mengelola IAM role bisa menjadi kacau jika jumlahnya banyak, tetapi ada cara untuk tetap tertata:

• Gunakan nama yang deskriptif untuk role Anda. Ini memudahkan mengetahui fungsi setiap role hanya dari namanya. Misalnya, alih-alih nama generik seperti “Role1,” gunakan sesuatu seperti “EC2_S3_ReadOnly” untuk menunjukkan bahwa role tersebut untuk instance EC2 dengan akses baca-saja ke S3.
• Kelompokkan role serupa. Anda dapat menggunakan tag untuk mengatur role berdasarkan departemen, proyek, atau lingkungan. Misalnya, tambahkan tag seperti “Environment: Production” atau “Department: Finance.”
• Tinjau role Anda secara berkala. Secara berkala periksa semua role untuk melihat apakah masih diperlukan. Hapus yang tidak lagi digunakan. Ini mengurangi kekacauan dan meminimalkan risiko keamanan dengan memastikan hanya role yang diperlukan yang ada.
• Gunakan AWS IAM Access Analyzer. Alat ini membantu Anda mengidentifikasi role dan policy yang memberikan akses luas dan dapat menimbulkan risiko keamanan. Alat ini memberikan wawasan terhadap role Anda, sehingga lebih mudah menyempurnakan izin dan memastikan role Anda sedapat mungkin spesifik.

Use case: Akses lintas akun

Akses lintas akun dengan IAM role adalah fitur praktis yang memungkinkan Anda memberikan izin kepada pengguna atau sumber daya di satu akun AWS untuk mengakses sumber daya di akun lain.

Bayangkan Anda memiliki dua akun AWS: “Account A” adalah lingkungan produksi Anda, dan “Account B” adalah lingkungan pengembangan. Anda mungkin memerlukan pengguna atau aplikasi di “Account B” untuk mengakses sumber daya di “Account A,” tetapi Anda tidak ingin membuat IAM user terpisah di “Account A” untuk semua orang.

Anda dapat membuat role di “Account A” yang memberikan izin yang diperlukan, lalu mengizinkan pengguna atau sumber daya di “Account B” untuk mengassume role tersebut.

Berikut langkah-langkah yang perlu Anda lakukan untuk mengelola skenario di atas:

• Buat role di “Account A” dengan membuka konsol IAM di “Account A” dan klik “Roles”.
• Klik “Create role" dan pilih "AWS account" sebagai entitas tepercaya. Masukkan ID akun dari “Account B.” Ini menyiapkan hubungan trust, yang memungkinkan pengguna dari “Account B” untuk mengassume role tersebut.

Akses lintas akun IAM

• Lampirkan permissions policy yang diperlukan ke role. Misalnya, jika Anda ingin mengizinkan akses ke bucket S3, Anda dapat melampirkan policy “AmazonS3ReadOnlyAccess”.
• Di “Account B,” buat IAM policy yang mengizinkan mengassume role di “Account A.” Policy tersebut akan terlihat seperti ini:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::AccountA_ID:role/RoleName"
    }
  ]
}

• Ganti AccountA_ID dengan AWS account ID sebenarnya dari “Account A” dan RoleName dengan nama role yang Anda buat.
• Lampirkan policy ini ke pengguna atau grup di “Account B” yang membutuhkan akses.

Pengguna atau aplikasi di “Account B” sekarang dapat mengassume role di “Account A” untuk mengakses sumber dayanya. Ini dapat dilakukan menggunakan AWS CLI, SDK, atau konsol.

Praktik Terbaik AWS IAM

Praktik terbaik IAM sangat penting untuk menjaga keamanan lingkungan AWS Anda. Berikut hal yang harus Anda fokuskan:

Aktifkan Multi-Factor Authentication (MFA)

MFA menambahkan lapisan keamanan ekstra ke akun AWS Anda. Bahkan jika seseorang mendapatkan kata sandi Anda, mereka masih membutuhkan bentuk verifikasi kedua untuk masuk. Aktifkan ini untuk akun root Anda dan pengguna penting lainnya.

Gunakan IAM role alih-alih IAM user bila memungkinkan

Role menyediakan kredensial sementara yang berotasi otomatis, mengurangi risiko keterpaparan kredensial jangka panjang. Misalnya, gunakan role alih-alih meng-hardcode access key untuk aplikasi yang berjalan di instance EC2.

Ikuti prinsip least privilege

Berikan hanya izin yang benar-benar dibutuhkan oleh pengguna dan role. Ini meminimalkan risiko tindakan tidak sengaja atau berbahaya. Secara berkala tinjau dan perbarui izin untuk memastikan izin tersebut masih diperlukan.

Rotasi access key secara berkala

Jika Anda harus menggunakan access key, rotasi secara berkala. AWS memungkinkan Anda membuat dua access key aktif per pengguna, sehingga Anda dapat membuat kunci baru, memperbarui aplikasi Anda, lalu menonaktifkan kunci lama tanpa waktu henti.

Gunakan IAM group untuk mengelola izin

Alih-alih memberi izin ke pengguna satu per satu, buat grup dan tetapkan izin ke grup tersebut. Ini memudahkan pengelolaan izin, terutama saat jumlah pengguna bertambah.

Pantau dan audit aktivitas IAM

Aktifkan AWS CloudTrail untuk mencatat semua panggilan API, termasuk yang dilakukan oleh IAM user. Tinjau log ini secara berkala untuk mendeteksi aktivitas yang tidak biasa atau tidak sah. Ini membantu menjaga keamanan dan kepatuhan.

Terapkan kebijakan kata sandi yang kuat

Terapkan kebijakan kata sandi yang mengharuskan kata sandi kuat. Ini mencakup campuran huruf besar dan kecil, angka, dan karakter khusus. Selain itu, Anda harus menerapkan perubahan kata sandi secara berkala dan mencegah penggunaan ulang kata sandi lama.

Batasi penggunaan akun root

Akun root memiliki akses tanpa batas ke semua sumber daya di akun AWS Anda. Gunakan dengan hemat dan buat IAM user individual untuk tugas sehari-hari. Selalu aktifkan MFA pada akun root.

Fitur Lanjutan AWS IAM

Jika Anda menggunakan AWS IAM di lingkungan perusahaan, Anda harus mengetahui beberapa fitur lanjutan.

Federasi identitas

Federasi identitas memungkinkan Anda menggunakan identitas yang sudah ada dari penyedia identitas lain (seperti direktori perusahaan Anda atau penyedia identitas sosial) untuk mengakses sumber daya AWS. Alih-alih membuat IAM user terpisah untuk semua orang, Anda dapat membiarkan pengguna masuk dengan kredensial yang sudah mereka miliki.

Untuk menggunakan federasi identitas, Anda harus membangun hubungan trust antara AWS dan penyedia identitas. 

Saat pengguna mencoba mengakses AWS, mereka pertama-tama melakukan autentikasi dengan penyedia identitas. Jika autentikasi berhasil, mereka mendapatkan kredensial keamanan sementara untuk mengakses sumber daya AWS. 

Kredensial ini dikelola oleh AWS Security Token Service (STS) dan berlaku untuk waktu singkat, sehingga mengurangi risiko keterpaparan kredensial jangka panjang.

IAM Identity Center

IAM Identity Center, juga dikenal sebagai AWS Single Sign-On (SSO), adalah pusat kendali untuk mengatur siapa yang dapat mengakses apa di lingkungan AWS Anda tanpa harus mengelola banyak nama pengguna dan kata sandi.

Anda dapat terhubung ke sumber identitas yang sudah ada seperti Microsoft Active Directory atau penyedia identitas lain yang mendukung SAML 2.0. Pengguna Anda dapat menggunakan kredensial login perusahaan untuk masuk ke AWS.

Setelah disiapkan, pengguna dapat mengakses portal personal yang menampilkan semua akun dan aplikasi AWS yang mereka miliki izinnya. Mereka cukup masuk sekali, dan dari sana, mereka dapat beralih antar akun dan aplikasi AWS tanpa harus masuk lagi. 

Anda dapat menyiapkan IAM Identity Center dengan mengaktifkannya di AWS Management Console, menghubungkannya ke sumber identitas Anda, dan mengonfigurasi akses pengguna. AWS menyediakan tutorial langkah demi langkah untuk membantu Anda melalui prosesnya, sehingga mudah bahkan jika Anda baru dengan IAM atau SSO.

Kesimpulan

Menguasai IAM sangat penting karena menjadi fondasi untuk semua yang Anda lakukan di AWS. IAM membantu Anda mengontrol sumber daya apa yang dapat diakses pengguna, menjaga data tetap aman, dan memastikan Anda tidak membuka celah bagi peretas.

Untuk mempelajari lebih lanjut tentang AWS, mulailah dengan mendaftar kursus AWS Cloud Technology and Services kami. Setelah itu, Anda dapat meningkatkan karier dengan mendapatkan sertifikasi AWS!

Selain itu, lihat webinar kami yang akan memperkenalkan Anda pada data science di cloud dengan Python, AWS, dan boto3.