Hướng dẫn toàn diện về AWS Identity and Access Management (IAM)

Dịch vụ Identity and Access Management (IAM) là nền tảng cho mọi việc bạn làm trên AWS. Nó giúp dữ liệu của bạn an toàn và cho phép bạn kiểm soát ai có thể truy cập tài nguyên AWS và họ có thể làm gì với các tài nguyên đó. 

Không có IAM, bất kỳ ai truy cập tài khoản AWS của bạn đều có thể gây rối bằng cách thay đổi cấu hình, xóa tài nguyên hoặc truy cập dữ liệu nhạy cảm.

Hướng dẫn này chứa mọi thứ bạn cần biết để thiết lập và sử dụng IAM nhằm bảo mật môi trường AWS của bạn.

Nếu bạn mới sử dụng AWS, hãy cân nhắc tham gia khóa học Giới thiệu về AWS của chúng tôi để làm quen với các kiến thức cơ bản.

AWS IAM là gì?

IAM là viết tắt của Identity and Access Management. Dịch vụ này được ra mắt vào năm 2011 và là công cụ để quản lý ai có thể truy cập tài nguyên AWS của bạn và họ có thể làm gì với các tài nguyên đó.

Đây là bốn thành phần thiết yếu của IAM:

• Người dùng (Users) là cá nhân hoặc ứng dụng cần truy cập tài nguyên AWS của bạn. Mỗi người dùng nhận thông tin xác thực riêng, như mật khẩu và khóa truy cập.
• Nhóm (Groups) là tập hợp người dùng. Thay vì gán quyền cho từng người dùng, bạn có thể đưa họ vào nhóm và gán quyền cho nhóm. Cách này giúp quản lý quyền cho nhiều người dùng cùng lúc dễ dàng hơn.
• Vai trò (Roles) được thiết kế để bất kỳ ai cần đều có thể “đảm nhiệm” thay vì gắn với một người cố định. Ví dụ, một phiên bản EC2 có thể “assume a role” để truy cập các bucket S3 mà không cần thông tin xác thực vĩnh viễn. Vai trò sử dụng thông tin xác thực tạm thời tự động hết hạn, rất tốt về mặt bảo mật.
• Chính sách (Policies) là các tài liệu JSON định nghĩa quyền. Chúng chỉ rõ những hành động nào được cho phép hoặc bị từ chối trên những tài nguyên nào. Chính sách có thể được gắn cho người dùng, nhóm hoặc vai trò.

Nếu bạn mới sử dụng AWS, hãy cân nhắc tham gia khóa học Giới thiệu về AWS của chúng tôi để làm quen với những điều cơ bản của nền tảng rộng lớn này.

Bắt đầu với IAM

Nếu bạn chưa thực hiện, hãy tạo tài khoản AWS và đăng nhập.

Để tìm dịch vụ IAM, nhập từ khóa “iam” vào thanh tìm kiếm ở đầu bảng điều khiển AWS và chọn kết quả đầu tiên cho IAM.

Tìm kiếm dịch vụ IAM trong bảng điều khiển AWS

Bạn sẽ được chuyển đến bảng điều khiển IAM, nơi bạn có thể tạo và quản lý tất cả các thành phần IAM.

Bảng điều khiển IAM

Bảng điều khiển bên trái cho phép bạn tạo người dùng, vai trò và chính sách, cũng như các báo cáo và công cụ cho quản lý và giám sát.

Các khuyến nghị bảo mật thường nằm ở giữa bảng điều khiển IAM. AWS cung cấp hướng dẫn sâu rộng về các thực tiễn bảo mật tốt nhất và giúp bạn dễ dàng thực hiện các hành động khắc phục nếu cần.

Chính sách AWS IAM

Giờ hãy xem một trong những khái niệm quan trọng nhất của IAM: chính sách.

Chính sách IAM là gì?

Chính sách xác định ai có những quyền gì để truy cập tài nguyên AWS của bạn.

Tổng quan về chính sách IAM

Chính sách được viết ở định dạng JSON và bao gồm một vài thành phần chính.

Ví dụ, đây là tài liệu JSON cho chính sách do AWS quản lý có tên “AmazonS3FullAccess”:

​​{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

• Thành phần Version chỉ định phiên bản ngôn ngữ của chính sách.
• Phần Statement là “phần nội dung chính” của chính sách. Một chính sách có thể có nhiều câu lệnh. Mỗi câu lệnh gồm một vài trường thiết yếu:
• Effect: Trường này chỉ định câu lệnh cho phép hay từ chối truy cập. Giá trị có thể là "Allow" hoặc "Deny".
• Action: Xác định các hành động được cho phép hoặc bị từ chối. Hành động thường là các thao tác bạn có thể thực hiện trên một tài nguyên. AWS có các hành động cụ thể cho từng dịch vụ, vì vậy bạn phải chỉ định chính xác.
• Resource: Chỉ định các tài nguyên AWS mà hành động áp dụng. Tài nguyên được định danh bằng Amazon Resource Names (ARN) để định danh duy nhất tài nguyên.

Các loại chính sách: Managed và inline

Bây giờ, hãy nói về các loại chính sách, bắt đầu với loại managed có thể do AWS quản lý hoặc do khách hàng quản lý. 

Chính sách do AWS quản lý được AWS tạo và duy trì, là điểm khởi đầu tuyệt vời cho các bộ quyền thường dùng. Chính sách do khách hàng quản lý là những chính sách bạn tự tạo và quản lý, cho phép bạn linh hoạt hơn khi viết tài liệu JSON tùy chỉnh.

Ngược lại, chính sách inline được gắn trực tiếp vào một người dùng, nhóm hoặc vai trò duy nhất. Chúng hữu ích cho các quyền cụ thể, kiểm soát chặt chẽ và không nên tái sử dụng. Tuy nhiên, việc quản lý số lượng lớn chính sách inline có thể trở nên khó khăn, nên nhìn chung chúng ít được ưa chuộng hơn so với chính sách managed.

Tạo và gắn chính sách cho người dùng, nhóm và vai trò

Việc tạo và gắn chính sách cho người dùng, nhóm và vai trò trong AWS khá đơn giản. Đây là hướng dẫn từng bước:

1. Tạo chính sách

Để tạo chính sách, nhấp “Policies” trong menu bên trái của bảng điều khiển IAM và nhấp “Create Policy”.

Bạn có thể định nghĩa chính sách bằng trình soạn thảo trực quan hoặc thẻ JSON. Trình soạn thảo trực quan sẽ dễ hơn nếu bạn chưa quen với JSON. Ví dụ, để tạo chính sách cho phép truy cập chỉ đọc vào S3, bạn có thể chọn “S3 service” rồi chọn các hành động “read-only”.

Nếu bạn muốn tìm hiểu thêm về S3, đừng quên xem hướng dẫn lưu trữ AWS của chúng tôi.

Tạo một chính sách mới

Sau khi bạn đã định nghĩa chính sách, nhấp “Review policy”. Sau đó đặt tên và mô tả cho chính sách rồi nhấp “Create policy”. Lúc này, chính sách tùy chỉnh của bạn sẽ được tạo.

Lưu ý có hơn một nghìn chính sách do AWS quản lý, đủ bao phủ hầu hết các trường hợp sử dụng. Vì vậy, bạn có thể sẽ không cần tạo chính sách tùy chỉnh.

Danh sách chính sách do AWS quản lý

2. Gắn chính sách cho người dùng

Nếu bạn muốn gắn chính sách cho một người dùng, vào “Users” trong bảng điều khiển IAM và chọn người dùng bạn muốn gắn chính sách. 

Nhấp vào thẻ “Permissions” rồi nhấp “Add permissions”.

Chọn “Attach policies directly”, tìm chính sách bạn đã tạo (hoặc bất kỳ chính sách có sẵn nào bạn muốn gắn) và chọn nó.

Gắn chính sách cho một người dùng

Nhấp “Next” để xem lại quyền, sau đó nhấp “Add permissions”.

3. Gắn chính sách cho nhóm

Nếu bạn muốn gắn chính sách cho một nhóm, vào “User groups” trong bảng điều khiển IAM và chọn nhóm để gắn chính sách, hoặc nhấp “Create new group” để tạo nhóm mới.

Nhấp vào “Permissions tab” và “Add permissions”.

Tương tự như gắn chính sách cho người dùng, bạn cần chọn “Attach policies directly” rồi tìm và chọn chính sách bạn đã tạo (hoặc bất kỳ chính sách có sẵn nào).

Nhấp “Next” để xem lại quyền, rồi nhấp “Add permissions”.

4. Gắn chính sách cho vai trò

Vào “Roles” trong bảng điều khiển IAM và chọn vai trò bạn muốn gắn chính sách.

Nhấp vào thẻ “Permissions” rồi nhấp ”Add permissions”. Bước này hơi khác so với trước đó. Bạn sẽ thấy các chính sách quyền hiện tại và danh sách đầy đủ các chính sách khác có thể gắn. 

Gắn chính sách cho một vai trò

Chọn các chính sách bạn muốn gắn và chọn “Add permissions”. Lưu ý bạn chỉ có thể thêm tối đa 10 chính sách managed cho một vai trò.

AWS IAM Roles

Các vai trò IAM giúp bạn quản lý quyền cho dịch vụ và ứng dụng của mình. 

Khác với người dùng IAM, vốn gắn với một cá nhân cụ thể, vai trò được thiết kế để bất kỳ ai cần đều có thể đảm nhiệm, nhờ đó vô cùng linh hoạt.

Hãy xem vai trò như một tập hợp quyền có thể tạm thời gán cho các thực thể như dịch vụ AWS (ví dụ EC2, Lambda) hoặc thậm chí người dùng từ tài khoản AWS khác. Điều này rất tốt cho bảo mật vì vai trò sử dụng thông tin xác thực tạm thời tự động hết hạn.

Xem hướng dẫn của chúng tôi về làm chủ Step Functions trong AWS để thấy vai trò IAM là thành phần thiết yếu trong việc điều phối quy trình làm việc.

Vai trò IAM hoạt động như thế nào?

Khi tạo một vai trò, bạn xác định hai nội dung chính: chính sách tin cậy (trust policies) và chính sách quyền (permissions policies):

• Chính sách tin cậy xác định ai có thể đảm nhiệm vai trò. Ví dụ, bạn có thể tạo chính sách tin cậy cho phép một phiên bản EC2 hoặc một hàm AWS Lambda đảm nhiệm vai trò. Chính sách này chỉ định các thực thể được tin cậy (như dịch vụ hoặc người dùng) có thể sử dụng vai trò.
• Chính sách quyền xác định những hành động nào được cho phép hoặc bị từ chối khi vai trò được đảm nhiệm. Chúng hoạt động tương tự như các chính sách bạn gắn cho người dùng IAM, chỉ rõ vai trò có thể truy cập tài nguyên nào và có thể thực hiện hành động gì.

Một thực thể phải đảm nhiệm vai trò thì mới sử dụng được vai trò đó. Khi một phiên bản EC2 hoặc hàm Lambda đảm nhiệm vai trò, nó nhận thông tin xác thực tạm thời có thể dùng để gửi yêu cầu tới các dịch vụ AWS.

Ví dụ đơn giản: Giả sử bạn có một ứng dụng chạy trên phiên bản EC2 cần đọc dữ liệu từ một bucket S3. Thay vì lưu khóa truy cập trên phiên bản, bạn có thể tạo một vai trò IAM với chính sách cho phép đọc từ S3. Sau đó gắn vai trò này cho phiên bản EC2 của bạn. Khi phiên bản chạy, nó đảm nhiệm vai trò và nhận thông tin xác thực tạm thời để truy cập bucket S3.

Thông tin xác thực tạm thời được cấp cho phiên bản thông qua AWS Security Token Service (STS). Các thông tin này gồm ID khóa truy cập, khóa bí mật và mã thông báo phiên, có hiệu lực trong thời gian ngắn, thường là vài giờ.

Sử dụng vai trò cũng giúp quản lý quyền dễ dàng hơn vì bạn có thể cập nhật chính sách của vai trò tại một nơi, và thay đổi sẽ tự động áp dụng cho tất cả thực thể đảm nhiệm vai trò.

Cách tạo một vai trò IAM

Để tạo vai trò IAM, nhấp “Roles” ở menu bên trái bảng điều khiển IAM rồi nhấp “Create Role”. Sau đó, làm theo các bước sau để hoàn tất việc tạo vai trò:

1. Chọn thực thể đáng tin cậy

Bạn cần chọn ai hoặc cái gì sẽ sử dụng vai trò này. Có một số tùy chọn: dịch vụ AWS (ví dụ EC2, Lambda), tài khoản AWS khác hoặc web identity. Hiện tại, giả sử chúng ta tạo một vai trò cấp toàn quyền truy cập S3.

Chọn “S3” làm dịch vụ và “S3” làm trường hợp sử dụng. Nhấp “Next”.

Chọn thực thể đáng tin cậy

2. Gắn chính sách

Tại đây, bạn sẽ thêm quyền cho vai trò. Bạn có thể chọn từ các chính sách hiện có hoặc tạo mới.

Với vai trò này, chúng ta tìm và chọn chính sách “AmazonS3FullAccess” rồi nhấp “Next”.

Thêm quyền cho một vai trò IAM

3. Đặt tên, xem lại và tạo

Đặt tên vai trò thể hiện rõ mục đích, như “FullS3Access”.

Đặt tên, xem lại và tạo vai trò

Xem lại chi tiết vai trò để đảm bảo mọi thứ ổn. Bạn sẽ thấy thực thể đáng tin cậy, các chính sách được gắn và mọi thẻ (tag) đã thêm.

Tag là tùy chọn, nhưng có thể giúp tổ chức và quản lý vai trò. Ví dụ, bạn có thể thêm tag với khóa "Environment" và giá trị "Production".

Nhấp “Create role”.

Cách quản lý các vai trò IAM

Việc quản lý vai trò IAM có thể trở nên rối rắm nếu bạn có nhiều vai trò, nhưng có những cách để giữ mọi thứ ngăn nắp:

• Dùng tên mô tả cho vai trò. Điều này giúp bạn biết vai trò dùng để làm gì chỉ bằng cách nhìn tên. Ví dụ, thay vì tên chung chung như “Role1”, hãy dùng “EC2_S3_ReadOnly” để chỉ ra vai trò cho các phiên bản EC2 với quyền chỉ đọc S3.
• Nhóm các vai trò tương tự với nhau. Bạn có thể dùng tag để tổ chức vai trò theo phòng ban, dự án hoặc môi trường. Ví dụ, thêm tag như “Environment: Production” hoặc “Department: Finance”.
• Thường xuyên rà soát vai trò. Định kỳ kiểm tra tất cả vai trò để xem chúng còn cần thiết không. Xóa vai trò không còn sử dụng. Điều này giảm lộn xộn và rủi ro bảo mật bằng cách đảm bảo chỉ còn các vai trò cần thiết.
• Sử dụng AWS IAM Access Analyzer. Công cụ này giúp bạn xác định các vai trò và chính sách cấp quyền truy cập rộng có thể gây rủi ro bảo mật. Nó cung cấp thông tin chi tiết để bạn tinh chỉnh quyền và đảm bảo vai trò càng cụ thể càng tốt.

Trường hợp sử dụng: Truy cập chéo tài khoản

Truy cập chéo tài khoản với vai trò IAM là tính năng hữu ích cho phép bạn cấp quyền cho người dùng hoặc tài nguyên trong một tài khoản AWS để truy cập tài nguyên trong tài khoản khác.

Hãy hình dung bạn có hai tài khoản AWS: “Tài khoản A” là môi trường sản xuất, và “Tài khoản B” là môi trường phát triển. Bạn có thể cần người dùng hoặc ứng dụng ở “Tài khoản B” truy cập tài nguyên ở “Tài khoản A”, nhưng bạn không muốn tạo người dùng IAM riêng trong “Tài khoản A” cho tất cả mọi người.

Bạn có thể tạo một vai trò trong “Tài khoản A” cấp các quyền cần thiết, sau đó cho phép người dùng hoặc tài nguyên ở “Tài khoản B” đảm nhiệm vai trò đó.

Các bước bạn cần thực hiện để xử lý kịch bản trên:

• Tạo một vai trò trong “Tài khoản A” bằng cách vào bảng điều khiển IAM của “Tài khoản A” và nhấp “Roles”.
• Nhấp “Create role" và chọn "AWS account" làm thực thể đáng tin cậy. Nhập ID tài khoản của “Tài khoản B”. Điều này thiết lập quan hệ tin cậy, cho phép người dùng từ “Tài khoản B” đảm nhiệm vai trò.

Truy cập chéo tài khoản với IAM

• Gắn các chính sách quyền cần thiết cho vai trò. Ví dụ, nếu muốn cho phép truy cập một bucket S3, bạn có thể gắn chính sách “AmazonS3ReadOnlyAccess”.
• Trong “Tài khoản B”, tạo một chính sách IAM cho phép đảm nhiệm vai trò ở “Tài khoản A”. Chính sách sẽ tương tự như sau:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::AccountA_ID:role/RoleName"
    }
  ]
}

• Thay AccountA_ID bằng ID tài khoản AWS thực của “Tài khoản A” và RoleName bằng tên vai trò bạn đã tạo.
• Gắn chính sách này cho người dùng hoặc nhóm trong “Tài khoản B” cần truy cập.

Người dùng hoặc ứng dụng trong “Tài khoản B” giờ có thể đảm nhiệm vai trò của “Tài khoản A” để truy cập tài nguyên. Việc này có thể thực hiện qua AWS CLI, SDK hoặc bảng điều khiển.

Các thực tiễn tốt nhất về AWS IAM

Các thực tiễn tốt nhất của IAM rất quan trọng để giữ an toàn cho môi trường AWS của bạn. Hãy tập trung vào những điểm sau:

Bật xác thực đa yếu tố (MFA)

MFA thêm một lớp bảo mật nữa cho tài khoản AWS của bạn. Ngay cả khi ai đó có được mật khẩu của bạn, họ vẫn cần yếu tố xác minh thứ hai để đăng nhập. Hãy bật MFA cho tài khoản root và các người dùng quan trọng khác.

Ưu tiên dùng vai trò IAM thay cho người dùng IAM khi có thể

Vai trò cung cấp thông tin xác thực tạm thời được xoay vòng tự động, giảm rủi ro lộ thông tin xác thực dài hạn. Ví dụ, hãy dùng vai trò thay vì hardcode khóa truy cập cho ứng dụng chạy trên các phiên bản EC2.

Tuân thủ nguyên tắc đặc quyền tối thiểu

Chỉ cấp cho người dùng và vai trò những quyền họ thực sự cần. Điều này giảm thiểu rủi ro từ các hành động vô ý hoặc độc hại. Thường xuyên xem xét và cập nhật quyền để đảm bảo chúng vẫn cần thiết.

Thường xuyên xoay vòng khóa truy cập

Nếu buộc phải dùng khóa truy cập, hãy xoay vòng định kỳ. AWS cho phép mỗi người dùng có hai khóa truy cập đang hoạt động, vì vậy bạn có thể tạo khóa mới, cập nhật ứng dụng, rồi vô hiệu hóa khóa cũ mà không bị gián đoạn.

Dùng nhóm IAM để quản lý quyền

Thay vì gán quyền cho từng người dùng, hãy tạo nhóm và gán quyền cho nhóm. Cách này giúp quản lý quyền dễ dàng hơn, đặc biệt khi số lượng người dùng tăng lên.

Giám sát và kiểm toán hoạt động IAM

Bật AWS CloudTrail để ghi lại tất cả các lệnh gọi API, bao gồm những lệnh do người dùng IAM thực hiện. Thường xuyên xem lại các bản ghi này để phát hiện hoạt động bất thường hoặc trái phép. Điều này giúp duy trì bảo mật và tuân thủ.

Áp dụng chính sách mật khẩu mạnh

Thực thi chính sách yêu cầu mật khẩu mạnh. Bao gồm sự kết hợp chữ hoa, chữ thường, số và ký tự đặc biệt. Ngoài ra, bạn nên buộc thay đổi mật khẩu định kỳ và ngăn việc tái sử dụng mật khẩu cũ.

Hạn chế sử dụng tài khoản root

Tài khoản root có quyền không giới hạn với mọi tài nguyên trong tài khoản AWS của bạn. Chỉ sử dụng khi thực sự cần và tạo người dùng IAM riêng cho các tác vụ hàng ngày. Luôn bật MFA cho tài khoản root.

Các tính năng nâng cao của AWS IAM

Nếu bạn dùng AWS IAM trong môi trường doanh nghiệp, bạn nên biết về một vài tính năng nâng cao.

Liên kết danh tính (Identity federation)

Identity federation cho phép bạn dùng các danh tính sẵn có từ nhà cung cấp danh tính khác (như danh bạ doanh nghiệp hoặc nhà cung cấp danh tính xã hội) để truy cập tài nguyên AWS. Thay vì tạo người dùng IAM riêng cho mọi người, bạn có thể cho phép họ đăng nhập bằng thông tin hiện có.

Để dùng identity federation, bạn phải thiết lập quan hệ tin cậy giữa AWS và nhà cung cấp danh tính. 

Khi người dùng cố gắng truy cập AWS, họ trước tiên sẽ xác thực với nhà cung cấp danh tính. Nếu xác thực thành công, họ nhận thông tin xác thực tạm thời để truy cập tài nguyên AWS. 

Các thông tin này được quản lý bởi AWS Security Token Service (STS) và chỉ có hiệu lực trong thời gian ngắn, giúp giảm rủi ro lộ thông tin xác thực dài hạn.

IAM Identity Center

IAM Identity Center, còn được gọi là AWS Single Sign-On (SSO), là trung tâm để kiểm soát ai có thể truy cập những gì trong môi trường AWS của bạn mà không phải quản lý nhiều tên người dùng và mật khẩu.

Bạn có thể kết nối với các nguồn danh tính hiện có như Microsoft Active Directory hoặc các nhà cung cấp danh tính hỗ trợ SAML 2.0. Người dùng của bạn có thể dùng thông tin đăng nhập doanh nghiệp để truy cập AWS.

Sau khi thiết lập, người dùng có thể truy cập một cổng thông tin cá nhân hóa nơi họ thấy tất cả tài khoản và ứng dụng AWS mà họ có quyền. Họ chỉ cần đăng nhập một lần và từ đó có thể chuyển đổi giữa các tài khoản và ứng dụng AWS khác nhau mà không cần đăng nhập lại. 

Bạn có thể thiết lập IAM Identity Center bằng cách bật nó trong AWS Management Console, kết nối với nguồn danh tính và cấu hình quyền truy cập người dùng. AWS cung cấp hướng dẫn từng bước để hỗ trợ bạn trong quá trình này, giúp mọi thứ trở nên dễ dàng ngay cả khi bạn mới làm quen với IAM hoặc SSO.

Kết luận

Thành thạo IAM là điều tối quan trọng vì nó đặt nền tảng cho mọi hoạt động của bạn trên AWS. Nó giúp bạn kiểm soát tài nguyên mà người dùng có thể truy cập, giữ dữ liệu an toàn và đảm bảo bạn không vô tình mở cửa cho kẻ xấu.

Để tìm hiểu thêm về AWS, hãy bắt đầu bằng cách đăng ký khóa học Công nghệ và Dịch vụ Đám mây AWS của chúng tôi. Sau đó, bạn có thể thăng tiến sự nghiệp bằng cách lấy chứng chỉ AWS!

Ngoài ra, hãy xem hội thảo trên web của chúng tôi, nơi sẽ giới thiệu cho bạn về khoa học dữ liệu trên đám mây với Python, AWS và boto3.