De complete gids voor AWS Identity and Access Management (IAM)

De Identity and Access Management (IAM)-service vormt de basis voor alles wat je in AWS doet. Het houdt je data veilig en laat je bepalen wie toegang heeft tot je AWS-resources en wat ze ermee mogen doen. 

Zonder IAM zou iedereen die toegang heeft tot je AWS-account zaken kunnen verstoren door configuraties te wijzigen, resources te verwijderen of gevoelige data te openen.

Deze gids bevat alles wat je moet weten om IAM in te stellen en te gebruiken om je AWS-omgeving te beveiligen.

Ben je nieuw bij AWS? Overweeg dan onze Introductie tot AWS-cursus om de basis te leren kennen.

Wat is AWS IAM?

IAM staat voor Identity and Access Management. Het werd uitgebracht in 2011 en is een tool om te beheren wie toegang heeft tot je AWS-resources en wat ze ermee kunnen doen.

Dit zijn de vier essentiële componenten van IAM:

• Users zijn personen of applicaties die toegang nodig hebben tot je AWS-resources. Elke gebruiker krijgt unieke inloggegevens, zoals wachtwoorden en toegangssleutels.
• Groups zijn verzamelingen van gebruikers. In plaats van rechten aan elke gebruiker apart toe te kennen, kun je gebruikers in groepen plaatsen en rechten aan de groep toekennen. Zo beheer je makkelijk de rechten voor meerdere gebruikers tegelijk.
• Roles zijn bedoeld om te worden aangenomen door iedereen die ze nodig heeft, in plaats van te zijn gekoppeld aan één persoon. Zo kan een EC2-instance bijvoorbeeld een rol "aannemen" om S3-buckets te benaderen zonder permanente inloggegevens. Rollen gebruiken tijdelijke beveiligingsgegevens die automatisch verlopen, wat erg goed is voor de veiligheid.
• Policies zijn JSON-documenten die rechten definiëren. Ze geven aan welke acties zijn toegestaan of geweigerd op welke resources. Policies kunnen worden gekoppeld aan users, groups of roles.

Ben je nieuw bij AWS? Overweeg dan onze Introductie tot AWS-cursus om je vertrouwd te maken met de basis van dit uitgebreide platform.

Aan de slag met IAM

Als je dat nog niet hebt gedaan, maak een AWS-account aan en log in.

Om de IAM-service te vinden, typ je het trefwoord "iam" in de zoekbalk bovenaan de AWS-console en selecteer je het eerste resultaat voor IAM.

De IAM-service zoeken in de AWS-console

Dit brengt je naar het IAM-dashboard, waar je alle IAM-componenten kunt maken en beheren.

IAM-dashboard

In het linkerpaneel van het dashboard kun je users, roles en policies aanmaken, evenals rapporten en tools voor beheer en monitoring.

Beveiligingsaanbevelingen vind je meestal in het midden van het IAM-dashboard. AWS biedt uitgebreide richtlijnen voor best practices op het gebied van security en maakt het eenvoudig om indien nodig corrigerende maatregelen te nemen.

AWS IAM Policies

Laten we nu een van de belangrijkste concepten van IAM doornemen: policies.

Wat zijn IAM-policies?

Policies bepalen wie welke rechten kan hebben om je AWS-resources te benaderen.

Overzicht van IAM-policies

Policies worden geschreven in JSON-indeling en bestaan uit een paar kernelementen.

Als voorbeeld zie je hier het JSON-document voor de door AWS beheerde policy met de naam "AmazonS3FullAccess":

​​{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

• Het element Version specificeert de versie van de taal voor policies.
• De Statement is waar de kern van de policy staat. Eén policy kan meerdere statements hebben. Elke statement bevat een paar essentiële velden:
• Effect: dit veld geeft aan of de statement toegang toestaat of weigert. Dit kan "Allow" of "Deny" zijn.
• Action: dit definieert welke acties zijn toegestaan of geweigerd. Acties zijn meestal de bewerkingen die je op een resource kunt uitvoeren. AWS heeft specifieke acties per service, dus je moet ze correct specificeren.
• Resource: dit specificeert de AWS-resources waarop de acties van toepassing zijn. Resources worden geïdentificeerd met Amazon Resource Names (ARN's), die een resource uniek identificeren.

Policytypes: managed versus inline policies

Laten we het nu hebben over policytypes, te beginnen met de managed-varianten: die kunnen door AWS beheerd of door de klant beheerd zijn. 

AWS-managed policies worden door AWS gemaakt en onderhouden en zijn een goed startpunt voor veelgebruikte setjes rechten. Customer-managed policies maak en beheer je zelf, wat je meer flexibiliteit geeft om eigen JSON-documenten te schrijven.

Inline policies daarentegen zijn direct gekoppeld aan één enkele user, group of role. Ze zijn handig voor specifieke, strikt afgebakende rechten die je niet wilt hergebruiken. Het beheer kan echter lastig worden naarmate het aantal groeit, dus over het algemeen hebben managed policies de voorkeur.

Policies maken en koppelen aan users, groups en roles

Policies maken en koppelen aan users, groups en roles in AWS is vrij eenvoudig. Hier is een stapsgewijze gids:

1. Een policy maken

Om een policy te maken, klik je op "Policies" in het linkermenu van de IAM-console en vervolgens op "Create Policy".

Je kunt je policy definiëren met de visuele editor of via het JSON-tabblad. De visuele editor is makkelijker als je niet bekend bent met JSON. Om bijvoorbeeld een policy te maken die alleen-lezen-toegang tot S3 toestaat, kun je de "S3-service" selecteren en vervolgens de "read-only"-acties kiezen.

Wil je meer leren over S3? Bekijk dan zeker onze AWS-opslag-tutorial.

Een nieuwe policy maken

Zodra je de policy hebt gedefinieerd, klik je op "Review policy". Geef je policy vervolgens een naam en beschrijving en klik op "Create policy". Op dit moment is je aangepaste policy aangemaakt.

Houd er rekening mee dat er meer dan duizend door AWS beheerde policies zijn die de meeste use-cases dekken. Mogelijk hoef je dus nooit eigen policies te maken.

Lijst met door AWS beheerde policies

2. Policies koppelen aan users

Als je een policy aan een user wilt koppelen, ga je in de IAM-console naar "Users" en selecteer je de gebruiker aan wie je de policy wilt koppelen. 

Klik op het tabblad "Permissions" en vervolgens op "Add permissions".

Selecteer "Attach policies directly", zoek de policy die je hebt gemaakt (of een bestaande policy die je wilt koppelen) en kies deze.

Een policy koppelen aan een user

Klik op "Next" om de rechten te bekijken en daarna op "Add permissions".

3. Policies koppelen aan groups

Als je in plaats daarvan een policy aan een group wilt koppelen, ga dan in de IAM-console naar "User groups" en selecteer de groep waaraan je de policy wilt koppelen, of klik op "Create new group" om een nieuwe groep te maken.

Klik op het tabblad "Permissions" en vervolgens op "Add permissions".

Net als bij het koppelen van policies aan gebruikers moet je "Attach policies directly" selecteren en vervolgens de policy zoeken en kiezen die je hebt gemaakt (of een bestaande policy).

Klik op "Next" om de rechten te bekijken en daarna op "Add permissions".

4. Policies koppelen aan roles

Ga in de IAM-console naar "Roles" en selecteer de rol waaraan je een policy wilt koppelen.

Klik op het tabblad "Permissions" en vervolgens op "Add permissions". Deze stap is net iets anders dan wat we eerder zagen. Je krijgt de huidige permissie-policies te zien en de volledige lijst met andere policies die je kunt koppelen. 

Een policy koppelen aan een rol

Selecteer de policies die je wilt koppelen en klik op "Add permissions". Onthoud dat je maximaal 10 managed policies aan een rol kunt toevoegen.

AWS IAM Roles

IAM-rollen helpen je de rechten voor je services en applicaties te beheren. 

In tegenstelling tot IAM-users, die aan een specifieke persoon zijn gekoppeld, zijn rollen bedoeld om te worden aangenomen door iedereen die ze nodig heeft, waardoor ze enorm flexibel zijn.

Beschouw een rol als een set rechten die tijdelijk kan worden toegewezen aan entiteiten zoals AWS-services (bijv. EC2, Lambda) of zelfs gebruikers uit een ander AWS-account. Dit is goed voor de veiligheid omdat rollen tijdelijke inloggegevens gebruiken die automatisch verlopen.

Bekijk onze tutorial over het beheersen van Step Functions in AWS, waar je ziet hoe IAM-rollen een essentieel onderdeel zijn bij het orkestreren van workflows.

Hoe werken IAM-rollen?

Wanneer je een rol maakt, definieer je twee hoofdzaken: trust policies en permissions policies:

• Trust policies bepalen wie de rol mag aannemen. Je kunt bijvoorbeeld een trust policy maken die een EC2-instance of een AWS Lambda-functie toestaat de rol aan te nemen. Deze policy specificeert de vertrouwde entiteiten (zoals services of gebruikers) die de rol mogen gebruiken.
• Permissions policies bepalen welke acties zijn toegestaan of geweigerd wanneer de rol is aangenomen. Ze werken net als de policies die je aan IAM-users koppelt en specificeren welke resources de rol kan benaderen en welke acties zijn toegestaan.

Een entiteit moet een rol aannemen om deze te gebruiken. Wanneer een EC2-instance of Lambda-functie een rol aanneemt, krijgt deze tijdelijke beveiligingsgegevens die kunnen worden gebruikt om verzoeken aan AWS-services te doen.

Hier is een eenvoudig voorbeeld: stel dat je een applicatie op een EC2-instance hebt draaien die uit een S3-bucket moet lezen. In plaats van toegangssleutels op de instance op te slaan, kun je een IAM-rol maken met een policy die lezen uit S3 toestaat. Koppel deze rol vervolgens aan je EC2-instance. Wanneer de instance draait, neemt deze de rol aan en krijgt tijdelijke inloggegevens om de S3-bucket te benaderen.

Tijdelijke inloggegevens worden aan de instance verstrekt via de AWS Security Token Service (STS). Deze gegevens omvatten een toegangssleutel-ID, geheime toegangssleutel en sessietoken, en zijn geldig voor een korte periode, doorgaans enkele uren.

Het gebruik van rollen maakt het beheer van rechten ook eenvoudiger, omdat je de policies van de rol op één plek kunt bijwerken, wat automatisch geldt voor alle entiteiten die de rol aannemen.

Hoe maak je een IAM-rol

Om een IAM-rol te maken, klik je op "Roles" in het linkermenu van de IAM-console en vervolgens op "Create Role". Volg daarna deze stappen om de rol aan te maken:

1. Kies de vertrouwde entiteit

Je moet kiezen wie of wat deze rol gaat gebruiken. Je hebt verschillende opties: AWS-services (bijv. EC2, Lambda), een ander AWS-account of web identity. Laten we nu zeggen dat we een rol maken die ons volledige toegang tot S3 geeft.

Selecteer "S3" als service en "S3" als use-case. Klik op "Next".

Kies een vertrouwde entiteit

2. Policies koppelen

Hier voeg je rechten toe aan je rol. Je kunt kiezen uit bestaande policies of een nieuwe maken.

Voor deze rol zoeken en selecteren we de policy "AmazonS3FullAccess" en klikken daarna op "Next".

Rechten toevoegen aan een IAM-rol

3. Naam geven, controleren en aanmaken

Geef je rol een naam die duidelijk maakt waar deze voor is, zoals "FullS3Access".

Rol benoemen, controleren en aanmaken

Controleer de details van je rol om zeker te weten dat alles klopt. Je ziet de vertrouwde entiteit, gekoppelde policies en eventuele tags die je hebt toegevoegd.

Tags zijn optioneel, maar kunnen helpen om je rollen te organiseren en te beheren. Je kunt bijvoorbeeld een tag toevoegen met sleutel "Environment" en waarde "Production".

Klik op "Create role".

IAM-rollen beheren

Het beheren van IAM-rollen kan chaotisch worden als je er veel hebt, maar er zijn manieren om het overzicht te bewaren:

• Gebruik duidelijke, beschrijvende namen voor je rollen. Zo zie je aan de naam al waar de rol voor is. Gebruik bijvoorbeeld in plaats van een generieke naam als "Role1" iets als "EC2_S3_ReadOnly" om aan te geven dat het om EC2-instances met alleen-lezen-toegang tot S3 gaat.
• Groepeer vergelijkbare rollen. Je kunt tags gebruiken om rollen te organiseren per afdeling, project of omgeving. Voeg bijvoorbeeld tags toe als "Environment: Production" of "Department: Finance".
• Beoordeel je rollen regelmatig. Controleer periodiek al je rollen om te zien of ze nog nodig zijn. Verwijder rollen die niet meer gebruikt worden. Dit vermindert rommel en minimaliseert beveiligingsrisico's door alleen noodzakelijke rollen te behouden.
• Gebruik AWS IAM Access Analyzer. Deze tool helpt je rollen en policies te identificeren die brede toegang verlenen en mogelijk veiligheidsrisico's opleveren. Het geeft inzichten in je rollen, waardoor je rechten kunt verfijnen en je rollen zo specifiek mogelijk kunt maken.

Use-case: cross-accounttoegang

Cross-accounttoegang met IAM-rollen is een handige functie waarmee je gebruikers of resources in het ene AWS-account rechten kunt geven om resources in een ander account te benaderen.

Stel dat je twee AWS-accounts hebt: "Account A" is je productieomgeving en "Account B" is je ontwikkelomgeving. Je wilt misschien dat gebruikers of applicaties in "Account B" resources in "Account A" kunnen benaderen, maar je wilt niet voor iedereen aparte IAM-users in "Account A" aanmaken.

Je kunt in "Account A" een rol maken die de vereiste rechten verleent en vervolgens gebruikers of resources in "Account B" toestaan die rol aan te nemen.

Dit zijn de stappen die je moet nemen om bovenstaand scenario te beheren:

• Maak een rol in "Account A" door in de IAM-console van "Account A" op "Roles" te klikken.
• Klik op "Create role" en kies "AWS account" als vertrouwde entiteit. Voer het account-ID van "Account B" in. Dit stelt een vertrouwensrelatie in, waardoor gebruikers uit "Account B" de rol kunnen aannemen.

IAM cross-accounttoegang

• Koppel de benodigde permissie-policies aan de rol. Als je bijvoorbeeld toegang tot een S3-bucket wilt toestaan, kun je de policy "AmazonS3ReadOnlyAccess" koppelen.
• Maak in "Account B" een IAM-policy die toestaat dat de rol in "Account A" wordt aangenomen. De policy ziet er ongeveer zo uit:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::AccountA_ID:role/RoleName"
    }
  ]
}

• Vervang AccountA_ID door het daadwerkelijke AWS-account-ID van "Account A" en RoleName door de rolename die je hebt gemaakt.
• Koppel deze policy aan de users of groups in "Account B" die toegang nodig hebben.

Gebruikers of applicaties in "Account B" kunnen nu de rol in "Account A" aannemen om de resources te benaderen. Dit kan via de AWS CLI, SDK's of de console.

AWS IAM best practices

IAM-best practices zijn essentieel om je AWS-omgeving veilig te houden. Hierop moet je focussen:

Zet Multi-Factor Authentication (MFA) aan

MFA voegt een extra beveiligingslaag toe aan je AWS-account. Zelfs als iemand je wachtwoord te pakken krijgt, is de tweede verificatiestap nodig om binnen te komen. Schakel dit in voor je rootaccount en andere belangrijke gebruikers.

Gebruik waar mogelijk IAM-rollen in plaats van IAM-users

Rollen bieden tijdelijke inloggegevens die automatisch roteren, waardoor het risico op blootstelling van langetermijngegevens afneemt. Gebruik bijvoorbeeld rollen in plaats van toegangssleutels hardcoden voor applicaties die op EC2-instances draaien.

Volg het principe van least privilege

Geef gebruikers en rollen alleen de rechten die ze echt nodig hebben. Zo beperk je het risico op toevallige of kwaadwillige acties. Beoordeel en werk rechten regelmatig bij om te controleren of ze nog nodig zijn.

Roteer toegangssleutels regelmatig

Als je toegangssleutels moet gebruiken, roteer ze dan regelmatig. AWS staat twee actieve toegangssleutels per gebruiker toe, zodat je een nieuwe sleutel kunt maken, je applicaties kunt updaten en vervolgens de oude sleutel kunt deactiveren zonder downtime.

Gebruik IAM-groepen om rechten te beheren

In plaats van rechten aan individuele gebruikers toe te kennen, maak je groepen en koppel je rechten aan die groepen. Dit maakt het beheer eenvoudiger, vooral als het aantal gebruikers groeit.

Monitor en auditeer IAM-activiteiten

Schakel AWS CloudTrail in om alle API-calls te loggen, inclusief die van IAM-users. Bekijk deze logs regelmatig om ongewone of ongeautoriseerde activiteiten op te sporen. Dit helpt om security en compliance te waarborgen.

Pas sterke wachtwoordbeleid toe

Dwing wachtwoordbeleid af dat sterke wachtwoorden vereist. Dit omvat een mix van hoofd- en kleine letters, cijfers en speciale tekens. Je moet ook periodieke wachtwoordwijzigingen afdwingen en voorkomen dat oude wachtwoorden opnieuw worden gebruikt.

Beperk het gebruik van het rootaccount

Het rootaccount heeft onbeperkte toegang tot alle resources in je AWS-account. Gebruik het spaarzaam en maak afzonderlijke IAM-users voor dagelijkse taken. Schakel altijd MFA in op het rootaccount.

Geavanceerde AWS IAM-functies

Als je AWS IAM in een bedrijfsomgeving gebruikt, moet je op de hoogte zijn van een paar geavanceerde functies.

Identity federation

Identity federation laat je bestaande identiteiten van andere identity providers (zoals je bedrijfsdirectory of sociale identity providers) gebruiken om toegang te krijgen tot AWS-resources. In plaats van voor iedereen aparte IAM-users te maken, kunnen gebruikers inloggen met hun bestaande inloggegevens.

Om identity federation te gebruiken, moet je een vertrouwensrelatie opzetten tussen AWS en de identity provider. 

Wanneer gebruikers proberen AWS te benaderen, authentiseren ze eerst bij de identity provider. Als de authenticatie succesvol is, krijgen ze tijdelijke beveiligingsgegevens om AWS-resources te benaderen. 

Deze inloggegevens worden beheerd door de AWS Security Token Service (STS) en zijn korte tijd geldig, waardoor het risico op blootstelling van langetermijngegevens afneemt.

IAM Identity Center

Het IAM Identity Center, ook bekend als AWS Single Sign-On (SSO), is een centrale hub om te bepalen wie wat kan benaderen in je AWS-omgeving, zonder meerdere gebruikersnamen en wachtwoorden te hoeven beheren.

Je kunt verbinden met je bestaande identity-bronnen zoals Microsoft Active Directory of andere identity providers die SAML 2.0 ondersteunen. Je gebruikers kunnen hun zakelijke inloggegevens gebruiken om in te loggen bij AWS.

Na de inrichting krijgen gebruikers toegang tot een gepersonaliseerd portaal waar ze alle AWS-accounts en applicaties zien waarvoor ze rechten hebben. Ze loggen één keer in en kunnen daarna schakelen tussen verschillende AWS-accounts en applicaties zonder opnieuw in te loggen. 

Je kunt het IAM Identity Center instellen door het te activeren in de AWS Management Console, het te koppelen aan je identity-bron en de gebruikers­toegang te configureren. AWS biedt stapsgewijze tutorials om je door het proces te loodsen, wat het eenvoudig maakt, zelfs als je nieuw bent met IAM of SSO.

Conclusie

IAM beheersen is cruciaal, omdat het de basis vormt voor alles wat je in AWS doet. Het helpt je te bepalen welke resources gebruikers kunnen benaderen, houdt je data veilig en zorgt ervoor dat je de deur niet openzet voor hackers.

Wil je meer leren over AWS? Begin dan met inschrijven voor onze AWS Cloud Technology and Services-cursus. Daarna kun je carrière maken door AWS-certificering te behalen!

Bekijk ook onze webinar, die je introduceert in data science in the cloud met Python, AWS en boto3.