Jak tworzyć użytkowników IAM i grupy użytkowników na AWS

Wielu użytkowników można skonfigurować na jednym koncie AWS, gdy masz więcej członków w swoim zespole lub organizacji. Użytkownicy ci nazywają się użytkownikami IAM (tożsamość i zarządzanie dostępem). Każdy użytkownik otrzyma jego unikalny identyfikator użytkownika i logowania do bezpieczeństwa i prywatności. Wszyscy ci użytkownicy będą wykorzystywać zasoby z tego samego konta głównego, więc nie będzie rozliczeń na temat użytkowników IAM, a konto główne zostanie naliczone za ogólne wykorzystanie Usług i Zasobów. Domyślnie nasze konto główne w AWS ma wszystkie uprawnienia i dostęp do wszystkiego, dlaczego z perspektywy bezpieczeństwa nie jest to świetny pomysł, aby używać użytkownika root do rutynowych zadań, zamiast tego możesz utworzyć użytkowników IAM i przypisać im uprawnienia, które użytkownicy użytkownicy Musisz zarządzać systemem.

Każdemu użytkownikowi należy przypisać uprawnienia, aby uzyskać dostęp do wymaganych zasobów zgodnie z jego ról i wymaganiami. Zezwolenia te mogą być dozwolone poprzez bezpośrednio dołączenie zasady uprawnień z użytkownikiem IAM, ale nie jest to dobre podejście z punktu widzenia zarządzania. Tak więc lepszym podejściem jest utworzenie grupy użytkowników i przypisanie uprawnień do tej grupy, a wszyscy użytkownicy IAM w grupie użytkowników odziedziczą uprawnienia przypisane do grupy użytkowników i nie będziesz musiał zarządzać uprawnieniami dla każdego użytkownika IAM.

Na tym blogu zobaczymy, w jaki sposób możemy utworzyć grupę użytkownika i użytkowników IAM w AWS za pomocą interfejsu wiersza poleceń AWS i AWS.

Tworzenie użytkownika IAM

Aby utworzyć użytkownika IAM na AWS, możesz użyć konta root lub dowolnego konta użytkownika IAM, które ma pozwolenie i dostęp do zarządzania użytkownikami IAM. Istnieją następujące metody tworzenia użytkownika IAM w AWS.

• Korzystanie z konsoli zarządzania AWS
• Za pomocą AWS CLI (interfejs wiersza poleceń)

Tworzenie użytkownika IAM z AWS Management Console

Zaloguj się na swoje konto AWS i na najlepszym pasku wyszukiwania, wpisz IAM.

Wybierz opcję IAM w menu wyszukiwania. To zabierze Cię na deskę rozdzielczą IAM.

Z lewego panelu bocznego kliknij Użytkownicy karta, w której znajdziesz Dodaj użytkowników opcja.

Aby utworzyć nowego użytkownika, musisz skonfigurować wiele ustawień. Najpierw musisz podać nazwę użytkownika dla użytkownika IAM i wybrać typ logowania. Aby zalogować się na konto użytkownika za pomocą konsoli zarządzania AWS, musisz utworzyć hasło (możesz automatycznie wygenerować hasło lub użyć niestandardowego) lub jeśli chcesz uzyskać dostęp do konta użytkownika z CLI lub SDK, będziesz Musisz skonfigurować klucz dostępu, który zapewni identyfikator klucza dostępu i tajny klucz dostępu.

W następnej sekcji będziesz musiał zarządzać uprawnieniami przypisanymi każdemu użytkownikowi IAM na koncie AWS. Lepszym podejściem do udzielania uprawnień jest utworzenie grupy użytkowników, którą zobaczymy w następnej sekcji, ale jeśli chcesz, możesz dołączyć zasadę uprawnień bezpośrednio do użytkownika IAM.

Ostatnim krokiem, który znajdziesz, jest dodanie tagów, które są prostymi słowami kluczowymi z opisem, aby prześledzić wszystkie zasoby na koncie związane z tym słowem kluczowym. Tagi są opcjonalne i możesz je pominąć w wyborze.

Wreszcie, po prostu przejrzyj szczegółowe informacje na temat tego użytkownika i dobrze jest utworzyć użytkownika IAM.

Po kliknięciu Utwórz użytkownika pojawi się nowy ekran, w którym będziesz mógł pobrać poświadczenia użytkownika na wypadek włączenia klucza dostępu. Jest to konieczne, aby pobrać ten plik, ponieważ jest to jedyny moment, w którym możesz je uzyskać, w przeciwnym razie będziesz musiał stworzyć nowe poświadczenia.

Aby zalogować się na konto użytkownika IAM za pomocą konsoli zarządzania, wystarczy wprowadzić identyfikator konta, nazwę użytkownika i hasło.

Tworzenie użytkownika IAM za pomocą CLI (interfejs wiersza poleceń)

Użytkownicy IAM mogą być tworzone za pomocą interfejsu wiersza poleceń, a jest to najczęstsza metoda z punktu widzenia programistów, którzy wolą używać CLI niż konsola zarządzania. W przypadku AWS możesz skonfigurować CLI w systemie Windows, Mac, Linux lub po prostu możesz użyć AWS Cloudshell. Po pierwsze, zaloguj się do konta użytkownika AWS przy użyciu poświadczeń i utworzyć nowego użytkownika, wprowadź następujące polecenie.

$ AWS IAM Create-User-User-Name

Użytkownik IAM jest tworzony. Teraz musisz zarządzać poświadczeniami bezpieczeństwa dla swojego konta. Aby po prostu skonfigurować hasło użytkownika, uruchom polecenie:

$ AWS IAM Create-Login-profile-User-Nazwa--Password

Na koniec musisz zarządzać uprawnieniami do swojego nowo utworzonego użytkownika IAM. Możesz dodać użytkownika w grupie, a użytkownik otrzyma wszystkie uprawnienia tej grupy. W tym celu potrzebujesz następującego polecenia. Nie będzie żadnych wyjściowych.

$ AWS IAM Add-User-to-Group-Group-name --nazwa użytkownika

Jeśli chcesz bezpośrednio przyznać uprawnienia do swojego użytkownika IAM, możesz załączyć zasady z użytkownikiem, nazywa się to zasadami rzędowymi. Tylko zamiast nazwy grupy, musisz podać ARN polityki, którą chcesz dołączyć.

$ AWS IAM Attching-User-Policy-User-Name >-Policy-arn

Jest to więc kompletny przewodnik utworzenia użytkownika IAM na koncie AWS. Można zauważyć, że w żadnym momencie nie zarządzaliśmy regionem AWS ani strefą dostępności, to dlatego, że użytkownik IAM jest globalną usługą niezależnie od regionów.

Tworzenie grup użytkowników

Grupy użytkowników pomagają, gdy chcesz więcej niż jeden użytkownik o podobnych uprawnieniach, na przykład jeśli masz czterech programistów w swoim zespole i chcesz, aby wszyscy mieli równy dostęp. Zapewnia również łatwe utrzymanie konta, ponieważ nie musisz indywidualnie patrzeć na każde uprawnienia użytkownika i możesz po prostu zobaczyć ich grupę użytkowników. Ponadto w AWS użytkownik może należeć do wielu grup użytkowników lub nawet żadnej grupy użytkowników.

Tutaj będziemy patrzeć na utworzenie grupy użytkowników z dwiema metodami.

• Korzystanie z konsoli zarządzania AWS
• Za pomocą AWS CLI (interfejs wiersza poleceń)

Tworzenie grup użytkowników z konsoli zarządzania AWS

Aby utworzyć grupę użytkowników, po prostu zaloguj się na konto AWS i w górnym pasku wyszukiwania IAM.

Wybierz opcję IAM w menu wyszukiwania, to zabierze Cię na deskę rozdzielczą IAM.

Z lewego panelu bocznego wybierz grupy użytkowników patka. To zabierze Cię do okna zarządzania grupą użytkowników. Kliknij Stworzyć grupę i następują kroki, aby utworzyć grupę użytkowników.

Wpisz nazwę grupy użytkowników.

Z poniższej listy możesz wybrać istniejących użytkowników, których chcesz dodać do tej grupy. Ten krok nie jest obowiązkowy, ponieważ możesz również dodać użytkowników w grupie później.

Ostatnim i najważniejszym krokiem w tworzeniu grupy użytkowników jest dołączenie zasad, które udzielają uprawnień do tej grupy. Z listy polityk wybierz te, które chcesz dołączyć do grupy, a na koniec kliknij Utwórz grupę w prawym dolnym rogu.

Tworzenie grup użytkowników za pomocą CLI (interfejs wiersza poleceń)

Zaloguj się do interfejsu wiersza polecenia AWS za pomocą Windows, Mac, Linux lub CloudShell. Tutaj musisz uruchomić następujące polecenie, aby utworzyć nową grupę użytkowników

$ AWS IAM Create-Group-Group-Nazwa

Aby dodać użytkowników do Twojej grupy, po prostu uruchom następujące polecenie na terminalu.

$ AWS IAM Add-User-to-Group-Group-name < --nazwa użytkownika

Teraz wreszcie musimy po prostu dołączyć zasady do naszej grupy użytkowników. W przypadku tego uruchom następujące polecenie:

$ AWS IAM ATPAT-GROUP-Policy-Grupa-Nazwa --Polityka-arn

Wreszcie utworzyłeś nową grupę użytkowników, załączoną do niej zasady uprawnienia i dodałeś do niej użytkownika. W AWS grupy użytkowników są globalne, więc nie musisz zarządzać żadnym regionem.

Wniosek

Użytkownicy i grupy użytkowników są ważną częścią infrastruktury AWS. Tworzenie wielu użytkowników umożliwia organizacjom korzystanie z infrastruktury pojedynczej chmury wśród wielu działów i członków. Z drugiej strony grupy użytkowników pomagają nam skutecznie zarządzać naszymi użytkownikami na naszym koncie AWS, zapewniając każdemu użytkownikowi uprawnienia, które chce wykonać swoje zadania.