AWS Kimlik ve Erişim Yönetimi (IAM) için Eksiksiz Kılavuz

Kimlik ve Erişim Yönetimi (IAM) hizmeti, AWS’de yaptığınız her şeyin temelini oluşturur. Verilerinizi güvende tutar ve AWS kaynaklarınıza kimin erişebileceğini ve bunlarla neler yapabileceğini kontrol etmenizi sağlar. 

IAM olmadan, AWS hesabınıza erişimi olan herkes yapılandırmaları değiştirerek, kaynakları silerek veya hassas verilere erişerek ortalığı karıştırabilir.

Bu kılavuz, AWS ortamınızı güvenceye almak için IAM’i kurup kullanmanız hakkında bilmeniz gereken her şeyi içerir.

AWS’ye yeniyseniz, temellere aşina olmak için AWS’ye Giriş kursumuzu almayı düşünebilirsiniz.

AWS IAM Nedir?

IAM, Kimlik ve Erişim Yönetimi anlamına gelir. 2011’de yayımlandı ve AWS kaynaklarınıza kimin erişebileceğini ve bu kaynaklarla neler yapabileceğini yönetmek için kullanılan bir araçtır.

IAM’in dört temel bileşeni şunlardır:

• Kullanıcılar, AWS kaynaklarınıza erişmesi gereken kişiler veya uygulamalardır. Her kullanıcı, parola ve erişim anahtarları gibi benzersiz kimlik bilgilerinin sahibi olur.
• Gruplar, kullanıcı koleksiyonlarıdır. İzinleri tek tek her kullanıcıya atamak yerine kullanıcıları gruplara koyup izinleri gruba atayabilirsiniz. Bu, birden fazla kullanıcının izinlerini aynı anda yönetmeyi kolaylaştırır.
• Roller, belirli bir kişiye bağlı olmak yerine ihtiyaç duyan herkes tarafından “üstlenilmek” üzere tasarlanmıştır. Örneğin, bir EC2 örneği, kalıcı kimlik bilgilere ihtiyaç duymadan S3 kovalarına erişmek için bir “rol üstlenebilir”. Roller, otomatik olarak süresi dolan geçici güvenlik kimlik bilgileri kullanır; bu da güvenlik açısından harikadır.
• İlkeler, izinleri tanımlayan JSON belgeleridir. Hangi kaynaklar üzerinde hangi eylemlere izin verildiğini veya reddedildiğini belirtirler. İlkeler kullanıcılar, gruplar veya rollere eklenebilir.

AWS’ye yeniyseniz, bu kapsamlı platformun temellerini öğrenmek için AWS’ye Giriş kursumuzu almayı düşünebilirsiniz.

IAM ile Başlarken

Henüz yapmadıysanız, bir AWS hesabı oluşturun ve oturum açın.

IAM hizmetini bulmak için, AWS konsolunun üst kısmındaki arama çubuğuna “iam” anahtar kelimesini girin ve IAM için ilk sonucu seçin.

AWS konsolunda IAM hizmetini arama

Bu işlem sizi, tüm IAM bileşenlerini oluşturup yönetebileceğiniz IAM panosuna götürür.

IAM Panosu

Pano’nun sol paneli, kullanıcılar, roller ve ilkeler oluşturmanın yanı sıra yönetim ve izleme için raporlar ve araçlar sunar.

Güvenlik önerileri genellikle IAM panosunun orta kısmında yer alır. AWS, güvenlik en iyi uygulamaları konusunda kapsamlı rehberlik sunar ve gerekirse düzeltici eylem almayı kolaylaştırır.

AWS IAM İlkeleri

Şimdi, IAM’in en önemli kavramlarından biri olan ilkelere göz atalım.

IAM ilkeleri nedir?

İlkeler, AWS kaynaklarınıza erişmek için kimin hangi izinlere sahip olabileceğini tanımlar.

IAM ilkelerine genel bakış

İlkeler JSON biçiminde yazılır ve birkaç temel unsurdan oluşur.

Örnek olarak, “AmazonS3FullAccess” adlı AWS yönetimli ilkesinin JSON belgesi şöyledir:

​​{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

• Version öğesi, ilke dilinin sürümünü belirtir.
• Statement, ilkenin “esas” kısmıdır. Tek bir ilke birden fazla ifade (statement) içerebilir. Her ifade, birkaç temel alanı kapsar:
• Effect: Bu alan, ifadenin erişime izin verip vermediğini belirtir. "Allow" veya "Deny" olabilir.
• Action: Hangi eylemlere izin verildiğini veya reddedildiğini tanımlar. Eylemler genellikle bir kaynak üzerinde gerçekleştirebileceğiniz işlemlerdir. AWS, her hizmet için belirli eylemler tanımlar; bu nedenle bunları doğru belirtmeniz gerekir.
• Resource: Eylemlerin uygulandığı AWS kaynaklarını belirtir. Kaynaklar, bir kaynağı benzersiz şekilde tanımlayan Amazon Kaynak Adları (ARN’ler) kullanılarak tanımlanır.

İlke türleri: Yönetimli ilkelere karşı satır içi ilkeler

Şimdi, yönetimli olanlarla başlayarak ilke türlerinden bahsedelim; bunlar AWS yönetimli veya müşteri yönetimli olabilir. 

AWS yönetimli ilkeler, AWS tarafından oluşturulur ve bakımı yapılır; yaygın kullanılan izin setleri için harika bir başlangıç noktasıdır. Müşteri yönetimli ilkeler ise sizin oluşturup yönettiğiniz, özel JSON belgeleri yazma esnekliği sunan ilkelerdir.

Satır içi ilkeler ise doğrudan tek bir kullanıcıya, gruba veya role eklenir. Yeniden kullanılmaması gereken belirli ve sıkı kontrol edilen izinler için kullanışlıdırlar. Ancak sayıları arttıkça yönetimleri zorlaşabilir; bu nedenle genellikle yönetimli ilkelere kıyasla daha az tercih edilirler.

İlkeleri kullanıcılara, gruplara ve rollere oluşturma ve ekleme

AWS’de ilkeleri kullanıcılara, gruplara ve rollere oluşturup eklemek oldukça basittir. İşte adım adım bir rehber:

1. İlke oluşturma

Bir ilke oluşturmak için IAM konsolunun sol menüsünde “Policies”e tıklayın ve “Create Policy”e tıklayın.

İlkenizi görsel düzenleyiciyi veya JSON sekmesini kullanarak tanımlayabilirsiniz. JSON’a aşina değilseniz görsel düzenleyici daha kolaydır. Örneğin, S3’e salt okuma erişimi veren bir ilke oluşturmak için “S3 service”i ve ardından “read-only” eylemlerini seçebilirsiniz.

S3 hakkında daha fazla bilgi edinmek isterseniz, AWS depolama eğitimimize mutlaka göz atın.

Yeni bir ilke oluştur

İlkeyi tanımladıktan sonra “Review policy”e tıklayın. Ardından, ilkenize bir ad ve açıklama verin ve “Create policy”e tıklayın. Bu noktada, özel ilkeniz oluşturulmuş olmalıdır.

Binlerce AWS yönetimli ilke bulunduğunu ve çoğu kullanım senaryonuzu karşılayacağını unutmayın. Dolayısıyla özel ilkeler oluşturmanız gerekmeyebilir.

AWS yönetimli ilkeler listesi

2. İlkeleri kullanıcılara ekleme

Bir ilkeyi bir kullanıcıya eklemek istiyorsanız, IAM konsolunda “Users”a gidin ve ilkeyi eklemek istediğiniz kullanıcıyı seçin. 

“Permissions” sekmesine tıklayın ve ardından “Add permissions”e tıklayın.

“Attach policies directly”i seçin, oluşturduğunuz (veya eklemek istediğiniz mevcut) ilkeyi bulun ve seçin.

Bir kullanıcıya ilke ekle

İzinleri gözden geçirmek için “Next”e, ardından “Add permissions”e tıklayın.

3. İlkeleri gruplara ekleme

Bir ilkeyi bunun yerine bir gruba eklemek istiyorsanız, IAM konsolunda “User groups”a gidin ve ilke eklemek için grubu seçin veya yeni bir grup oluşturmak için “Create new group”a tıklayın.

“Permissions” sekmesine ve “Add permissions”e tıklayın.

Kullanıcılara ilke eklemeye benzer şekilde, “Attach policies directly”i seçmeniz ve ardından oluşturduğunuz (veya herhangi bir mevcut) ilkeyi bulup seçmeniz gerekir.

İzinleri gözden geçirmek için “Next”e, ardından “Add permissions”e tıklayın.

4. İlkeleri rollere ekleme

IAM konsolunda “Roles”a gidin ve ilke eklemek istediğiniz rolü seçin.

“Permissions” sekmesine tıklayın ve sonra ”Add permissions”e tıklayın. Bu adım, daha önce karşılaştıklarımızdan biraz farklıdır. Mevcut izin ilkeleri ve ekleyebileceğiniz diğer tüm ilkelerin tam listesi gösterilir. 

Bir role ilke ekle

Eklemek istediğiniz ilkeleri seçin ve “Add permissions”i seçin. Bir role en fazla 10 yönetimli ilke ekleyebileceğinizi unutmayın.

AWS IAM Roller

IAM roller, hizmetleriniz ve uygulamalarınız için izinleri yönetmenize yardımcı olur. 

Belirli bir kişiyle ilişkilendirilen IAM kullanıcılarının aksine, roller ihtiyaç duyan herkesin üstlenmesi için tasarlanmıştır ve bu da onları son derece esnek kılar.

Bir rolü, EC2, Lambda gibi AWS hizmetleri veya başka bir AWS hesabındaki kullanıcılar gibi varlıklara geçici olarak atanabilen bir izin seti olarak düşünün. Bu, rollerin otomatik olarak süresi dolan geçici kimlik bilgileri kullanması nedeniyle güvenlik açısından mükemmeldir.

AWS’de adım işlevlerine hakim olmayı anlattığımız rehberimize göz atın; burada IAM rollerinin iş akışlarını düzenlemede temel bir bileşen olduğunu görebilirsiniz.

IAM roller nasıl çalışır?

Bir rol oluşturduğunuzda iki ana şeyi tanımlarsınız: güven ilkeleri ve izin ilkeleri:

• Güven ilkeleri, rolü kimin üstlenebileceğini tanımlar. Örneğin, bir EC2 örneğinin veya bir AWS Lambda işlevinin rolü üstlenmesine izin veren bir güven ilkesi oluşturabilirsiniz. Bu ilke, rolü kullanabilen güvenilir varlıkları (hizmetler veya kullanıcılar gibi) belirtir.
• İzin ilkeleri, rol üstlenildiğinde hangi eylemlere izin verildiğini veya reddedildiğini tanımlar. IAM kullanıcılarına eklediğiniz ilkeler gibi çalışırlar; rolün hangi kaynaklara erişebileceğini ve hangi eylemleri gerçekleştirebileceğini belirtirler.

Bir varlığın bir rolü kullanabilmesi için o rolü üstlenmesi gerekir. Bir EC2 örneği veya Lambda işlevi bir rol üstlendiğinde, AWS hizmetlerine istek yapmak için kullanabileceği geçici güvenlik kimlik bilgileri alır.

Basit bir örnek: Bir EC2 örneğinde çalışan ve bir S3 kovasından okuma yapması gereken bir uygulamanız olduğunu varsayalım. Erişim anahtarlarını örnekte saklamak yerine, S3’ten okumaya izin veren bir ilkeye sahip bir IAM rolü oluşturabilirsiniz. Bu rolü EC2 örneğinize eklersiniz. Örnek çalıştığında rolü üstlenir ve S3 kovasına erişmek için geçici kimlik bilgileri alır.

Geçici kimlik bilgileri, AWS Security Token Service (STS) aracılığıyla örneğe sağlanır. Bu kimlik bilgileri bir erişim anahtarı kimliği, gizli erişim anahtarı ve oturum belirteci içerir ve genellikle birkaç saat gibi kısa bir süre için geçerlidir.

Rolleri kullanmak, izinleri yönetmeyi de kolaylaştırır; çünkü rolün ilkelerini tek bir yerde güncelleyebilir ve bu değişiklik rolü üstlenen tüm varlıklara otomatik olarak uygulanır.

Bir IAM rolü nasıl oluşturulur

Bir IAM rolü oluşturmak için IAM konsolunun sol menüsünde “Roles”a tıklayın ve ardından “Create Role”a tıklayın. Sonra rol oluşturmayı tamamlamak için şu adımları izleyin:

1. Güvenilir varlığı seçin

Bu rolü kimin veya neyin kullanacağını seçmeniz gerekir. Birkaç seçeneğiniz var: AWS hizmetleri (ör. EC2, Lambda), başka bir AWS hesabı veya web kimliği. Şimdilik, bize S3’e tam erişim sağlayan bir rol oluşturduğumuzu varsayalım.

Hizmet olarak “S3”ü ve kullanım durumu olarak “S3”ü seçin. “Next”e tıklayın.

Güvenilir bir varlık seçin

2. İlkeleri ekleyin

Burada rolünüze izinler ekleyeceksiniz. Mevcut ilkelerden seçim yapabilir veya yeni bir ilke oluşturabilirsiniz.

Bu rol için “AmazonS3FullAccess” ilkesini bulup seçiyor ve ardından “Next”e tıklıyoruz.

Bir IAM rolüne izin ekleyin

3. Adlandırma, gözden geçirme ve oluşturma

Rolünüze amacını netleştiren bir ad verin; örneğin “FullS3Access”.

Bir rolü adlandırın, gözden geçirin ve oluşturun

Her şeyin doğru göründüğünden emin olmak için rolünüzün ayrıntılarını gözden geçirin. Güvenilir varlığı, ekli ilkeleri ve eklediğiniz etiketleri göreceksiniz.

Etiketler isteğe bağlıdır, ancak rolleri düzenlemenize ve yönetmenize yardımcı olabilir. Örneğin, anahtar olarak "Environment", değer olarak "Production" etiketi ekleyebilirsiniz.

“Create role”e tıklayın.

IAM rolleri nasıl yönetilir

Çok sayıda rolünüz varsa IAM rolleri yönetimi karmaşıklaşabilir; ancak işleri düzenli tutmanın yolları vardır:

• Rolleriniz için açıklayıcı adlar kullanın. Böylece yalnızca adına bakarak her rolün ne işe yaradığını anlamak kolaylaşır. Örneğin “Role1” gibi genel bir ad yerine, EC2 örnekleri için S3’e salt okuma erişimi olduğunu belirten “EC2_S3_ReadOnly” gibi bir ad kullanın.
• Benzer rolleri bir araya getirin. Rolleri departman, proje veya ortam bazında düzenlemek için etiketleri kullanabilirsiniz. Örneğin “Environment: Production” veya “Department: Finance” gibi etiketler ekleyin.
• Rollerinizi düzenli olarak gözden geçirin. Periyodik olarak tüm rolleri kontrol ederek hâlâ gerekli olup olmadıklarını değerlendirin. Artık kullanılmayanları kaldırın. Bu, karmaşayı azaltır ve yalnızca gerekli rollerin var olmasını sağlayarak güvenlik risklerini en aza indirir.
• AWS IAM Access Analyzer’ı kullanın. Bu araç, geniş erişim izni veren ve güvenlik riski oluşturabilecek rol ve ilkeleri belirlemenize yardımcı olur. Rollerinize ilişkin içgörüler sunarak izinleri iyileştirmenizi ve rollerinizin olabildiğince spesifik olmasını sağlar.

Kullanım senaryosu: Hesaplar arası erişim

IAM rolleriyle hesaplar arası erişim, bir AWS hesabındaki kullanıcı veya kaynaklara başka bir hesaptaki kaynaklara erişim izni vermenizi sağlayan kullanışlı bir özelliktir.

İki AWS hesabınız olduğunu hayal edin: “Hesap A” üretim ortamınızdır ve “Hesap B” ise geliştirme ortamınızdır. “Hesap B”deki kullanıcı veya uygulamaların “Hesap A”daki kaynaklara erişmesi gerekebilir; ancak herkes için “Hesap A”da ayrı IAM kullanıcıları oluşturmak istemezsiniz.

“Hesap A”da gerekli izinleri veren bir rol oluşturabilir ve ardından “Hesap B”deki kullanıcı veya kaynakların bu rolü üstlenmesine izin verebilirsiniz.

Yukarıdaki senaryoyu yönetmek için atmanız gereken adımlar şunlardır:

• “Hesap A”da IAM konsoluna gidip “Roles”a tıklayarak bir rol oluşturun.
• “Create role”e tıklayın ve güvenilir varlık olarak "AWS account"u seçin. “Hesap B”nin hesap kimliğini girin. Bu, bir güven ilişkisi kurar ve “Hesap B”den kullanıcıların rolü üstlenmesine olanak tanır.

IAM hesaplar arası erişim

• Gerekli izin ilkelerini role ekleyin. Örneğin, bir S3 kovasına erişime izin vermek istiyorsanız “AmazonS3ReadOnlyAccess” ilkesini ekleyebilirsiniz.
• “Hesap B”de, “Hesap A”daki rolün üstlenilmesine izin veren bir IAM ilkesi oluşturun. İlke aşağıdaki gibi görünecektir:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::AccountA_ID:role/RoleName"
    }
  ]
}

• AccountA_ID’yi “Hesap A”nın gerçek AWS hesap kimliğiyle ve RoleName’i oluşturduğunuz rol adıyla değiştirin.
• Bu ilkeyi, erişime ihtiyaç duyan “Hesap B”deki kullanıcılara veya gruplara ekleyin.

Artık “Hesap B”deki kullanıcılar veya uygulamalar, kaynaklara erişirken “Hesap A”daki rolü üstlenebilir. Bu, AWS CLI, SDK’lar veya konsol kullanılarak yapılabilir.

AWS IAM En İyi Uygulamaları

IAM en iyi uygulamaları, AWS ortamınızı güvenli tutmak için kritiktir. Odaklanmanız gerekenler şunlardır:

Çok Faktörlü Kimlik Doğrulamayı (MFA) etkinleştirin

MFA, AWS hesabınıza ek bir güvenlik katmanı ekler. Birisi parolanızı ele geçirse bile, içeri girmek için ikinci bir doğrulama biçimine ihtiyaç duyar. Bunu kök hesabınız ve diğer önemli kullanıcılar için kurun.

Mümkün olduğunda IAM kullanıcıları yerine IAM rolleri kullanın

Roller, otomatik olarak döndürülen geçici kimlik bilgileri sağlar ve uzun vadeli kimlik bilgisi sızıntısı riskini azaltır. Örneğin, EC2 örneklerinde çalışan uygulamalar için erişim anahtarlarını kodlamak yerine roller kullanın.

Asgari ayrıcalık ilkesini izleyin

Kullanıcı ve rollere kesinlikle ihtiyaç duydukları izinleri verin. Bu, kasıtsız veya kötü niyetli eylemler riskini en aza indirir. İzinleri düzenli olarak gözden geçirip güncelleyerek hâlâ gerekli olduklarından emin olun.

Erişim anahtarlarını düzenli olarak döndürün

Erişim anahtarlarını kullanmanız gerekiyorsa, bunları düzenli olarak döndürün. AWS, kullanıcı başına iki etkin erişim anahtarı oluşturmanıza izin verir; böylece yeni bir anahtar oluşturup uygulamalarınızı güncelleyebilir ve ardından kesinti olmadan eski anahtarı devre dışı bırakabilirsiniz.

İzinleri yönetmek için IAM grupları kullanın

İzinleri tek tek kullanıcılara atamak yerine gruplar oluşturup izinleri gruplara atayın. Bu, özellikle kullanıcı sayısı arttıkça izinlerin yönetimini kolaylaştırır.

IAM etkinliklerini izleyin ve denetleyin

IAM kullanıcıları tarafından yapılanlar dahil tüm API çağrılarını günlüğe kaydetmek için AWS CloudTrail’i etkinleştirin. Olağan dışı veya yetkisiz bir etkinliği tespit etmek için bu günlükleri düzenli olarak inceleyin. Bu, güvenliği ve uyumluluğu korumaya yardımcı olur.

Güçlü parola ilkeleri uygulayın

Güçlü parolaları zorunlu kılan parola ilkeleri uygulayın. Buna büyük ve küçük harfler, sayılar ve özel karakterlerin bir karması dahildir. Ayrıca düzenli parola değişikliklerini zorunlu kılmalı ve eski parolaların yeniden kullanılmasını engellemelisiniz.

Kök hesabın kullanımını sınırlayın

Kök hesap, AWS hesabınızdaki tüm kaynaklara sınırsız erişime sahiptir. Onu sınırlı kullanın ve günlük işler için bireysel IAM kullanıcıları oluşturun. Kök hesapta her zaman MFA’yı etkinleştirin.

Gelişmiş AWS IAM Özellikleri

AWS IAM’i kurumsal bir ortamda kullanıyorsanız, birkaç gelişmiş özelliğin farkında olmalısınız.

Kimlik federasyonu

Kimlik federasyonu, diğer kimlik sağlayıcılardaki (kurumsal dizininiz veya sosyal kimlik sağlayıcıları gibi) mevcut kimlikleri AWS kaynaklarına erişmek için kullanmanızı sağlar. Herkes için ayrı IAM kullanıcıları oluşturmak yerine, kullanıcıların mevcut kimlik bilgileriyle oturum açmasına izin verebilirsiniz.

Kimlik federasyonunu kullanmak için AWS ile kimlik sağlayıcı arasında bir güven ilişkisi kurmanız gerekir. 

Kullanıcılar AWS’ye erişmeyi denediğinde önce kimlik sağlayıcıyla kimlik doğrulaması yapar. Kimlik doğrulaması başarılı olursa, AWS kaynaklarına erişmek için geçici güvenlik kimlik bilgileri alırlar. 

Bu kimlik bilgileri AWS Security Token Service (STS) tarafından yönetilir ve kısa süre için geçerlidir; bu da uzun vadeli kimlik bilgisi sızıntısı riskini azaltır.

IAM Identity Center

IAM Identity Center, AWS Single Sign-On (SSO) olarak da bilinir ve birden fazla kullanıcı adı ve parola yönetmeden AWS ortamınızda kimin neye erişebileceğini kontrol etmek için merkezi bir merkezdir.

Microsoft Active Directory gibi mevcut kimlik kaynaklarınıza veya SAML 2.0’ı destekleyen diğer kimlik sağlayıcılara bağlanabilirsiniz. Kullanıcılarınız, AWS’ye kurumsal oturum açma kimlik bilgileriyle giriş yapabilir.

Kurulum tamamlandıktan sonra kullanıcılar, izin sahibi oldukları tüm AWS hesaplarını ve uygulamalarını gördükleri kişiselleştirilmiş bir portala erişebilir. Yalnızca bir kez giriş yaparlar ve oradan farklı AWS hesapları ve uygulamaları arasında tekrar oturum açmadan geçiş yapabilirler. 

IAM Identity Center’ı AWS Yönetim Konsolu’nda etkinleştirip kimlik kaynağınıza bağlayarak ve kullanıcı erişimini yapılandırarak kurabilirsiniz. AWS, süreci adım adım anlatan öğreticiler sunar; IAM veya SSO’ya yeni olsanız bile işleri kolaylaştırır.

Sonuç

IAM’e hakim olmak çok önemlidir; çünkü AWS’de yaptığınız her şeyin temelini atar. Kullanıcıların hangi kaynaklara erişebileceğini kontrol etmenize yardımcı olur, verilerinizi güvende tutar ve kapıları saldırganlara açık bırakmamanızı sağlar.

AWS hakkında daha fazla bilgi edinmek için, öncelikle AWS Bulut Teknolojisi ve Hizmetleri kursumuza kaydolun. Ardından kariyerinizde ilerlemek için AWS sertifikası alın!

Ayrıca, Python, AWS ve boto3 ile bulutta veri bilimi konusuna giriş yapacağınız webinarımıza da göz atın.