Bewährte Verfahren

Es gibt einen Grenzwert für die Gesamtzahl der Richtlinien, die in einem Konto zulässig ist. Mit ein paar Strategien können Sie sicherstellen, dass der Grenzwert nicht erreicht wird, und den Zeitaufwand für die Verwaltung der Identitäten in Ihrem Konto (Benutzer, Service-IDs oder vertrauenswürdige Profile) verringern:

• Verwenden Sie das Prinzip der geringsten Berechtigung und weisen Sie nur den erforderlichen Zugriff zu. Auf diese Weise können Sie sicherstellen, dass die Aktionen, die Identitäten in Ihrem Konto ausführen können, auf die Aktionen begrenzt sind, die Sie zulassen möchten. Erstellen Sie beispielsweise neue Richtlinien für Benutzer, die Zugriff auf das Konto und auf jede Serviceinstanz (und die zugehörigen Schlüssel) benötigen, anstatt dass der Kontoeigner ihre Berechtigungsnachweise gemeinsam nutzt, die ihnen standardmäßig Administrator und Vorgesetzter Zugriff auf alle Ressourcen unter ihrem Konto erteilen.
• Fügen Sie Ressourcen zu einer Ressourcengruppe hinzu, um die Anzahl der erforderlichen Richtlinien weiter zu minimieren. Beispielweise kann ein Team an einem Projekt arbeiten, für das bestimmten Ressourcen in Ihrem Konto verwendet werden. Fügen Sie die Teammitglieder einer Zugriffsgruppe oder einem vertrauenswürdigen Profil mit einer Richtlinie hinzu, die den Zugriff nur auf die Ressourcen in einer bestimmten Ressourcengruppe zuweist. Auf diese Weise müssen Sie nicht jeder Ressource für jedes Teammitglied eine Richtlinie zuweisen. Weitere Informationen zum Zuordnen von differenziertem Zugriff finden Sie im Abschnitt Zugriff auf einen einzelnen Schlüssel mit einem differenzierten Zugriff zuordnen.
• Verwenden Sie Zugriffsgruppen, um die Verwaltung von Zugriffsberechtigungen für Identitäten, die dieselbe Zugriffsebene benötigen, zu optimieren. Sie können eine Zugriffsgruppe einrichten, für die eine bestimmte Richtlinie definiert ist, und dann die betreffenden Identitäten zur Gruppe hinzufügen. Wenn die Gruppenmitglieder später mehr Zugriff benötigen, definieren Sie einfach eine neue Richtlinie für die Zugriffsgruppe.
• Setzen Sie Zugriffsverwaltungstags ein, um den Zugriff auf die Ressourcen in Ihrem Konto skalierbar zu steuern. Indem Sie den Zugriff nur auf Ressourcen zuweisen, denen bestimmte Tags angehängt sind, können Sie mehrfache Aktualisierungen Ihrer definierten Richtlinien vermeiden. Weitere Informationen finden Sie unter Zugriff auf Ressourcen mithilfe von Tags steuern.
• Verwenden Sie vertrauenswürdige Profile, um eingebundenen Benutzern und Rechenressourcen automatisch Zugriff auf Ihr Konto zu gewähren. Auf diese Weise können eingebundene Benutzer bei der Anmeldung einem oder mehreren vertrauenswürdigen Profilen zugeordnet werden, indem SAML-basierte Attribute ausgewertet werden, um festzustellen, welche Profile sie anwenden können. Mithilfe von vertrauenswürdigen Profilen für Rechenressourcen können Sie die Speicherung von Berechtigungsnachweisen zum Ausführen von Anwendungen sowie die Verwaltung und Rotation von Berechtigungsnachweisen vermeiden. Sie können auch vertrauenswürdigen Profile zu Zugriffsgruppen hinzufügen, um die Gruppe von Richtlinien zu nutzen, die Sie bereits erstellt haben.
• Prüfen Sie regelmäßig, wer die Zugriffssteuerung verwalten und Schlüsselressourcen löschen kann. Da Fehler und Missbrauch durch Benutzer mit erhöhten Berechtigungen Ihr Konto, Ihre Dienstinstanzen und die durch Schlüssel in Ihrer Dienstinstanz geschützten Daten beschädigen können, sollten Sie sicherstellen, dass der ordnungsgemäße Zugriff aufrechterhalten wird, indem Sie die Benutzer mit diesen Rollen überprüfen. Denken Sie daran, dass alle neuen Schlüssel, Schlüsselringe oder Serviceinstanzen standardmäßig den vorhandenen Rollendefinitionen unterliegen. Wenn auf einen neuen Schlüssel nicht zugegriffen oder von einem neuen Benutzer geändert werden soll, der als Manager der Instanz zugeordnet wird, muss diese Einschränkung explizit zugewiesen werden, da Manager der Instanz standardmäßig Zugriff auf alle Schlüssel in einer Instanz haben, einschließlich der Fähigkeit, einen Schlüssel zu löschen.

Was zeichnet eine gute Strategie für Zugriffsgruppen aus?

Eine Zugriffsgruppe ist eine Organisation von Benutzern, Service-IDs und vertrauenswürdigen Profilen in einer Gruppierung, der Sie denselben IAM-Zugriff erteilen können. Alle Identitäten in einer Zugriffsgruppe übernehmen dieselbe Zugriffsberechtigung.

Eine logische Art und Weise, die Zugriffsberechtigung für Ihre Ressourcengruppen und die in ihnen enthaltenen Ressourcen zuzuweisen, ist das Erstellen einer einzigen Zugriffsgruppe pro erforderliche Zugriffsebene. Danach können Sie jede Zugriffsgruppe den zuvor erstellten Ressourcengruppen zuordnen. Falls Sie zum Beispiel den Zugriff auf das Projekt CustApp steuern möchten, könnten Sie die folgenden Zugriffsgruppen erstellen:

• Auditor-Group (Auditorgruppe)
• Developer-Group (Entwicklergruppe)
• Admin-Group (Administratorgruppe)

Weisen Sie der Auditor-Group (Auditorgruppe) zwei Zugriffsrichtlinien zu, die die Zugriffsberechtigung des 'Anzeigeberechtigten' für die Ressourcen und Ressourcengruppen CustApp-Test und CustApp-Prod erteilen. Weisen Sie der Developer-Group (Entwicklergruppe) zwei Zugriffsrichtlinien zu, die die Zugriffsberechtigung des 'Bearbeiters' für die Ressourcen und Ressourcengruppen CustApp-Dev und CustApp-Test erteilen. Weisen Sie der Admin-Group (Administratorgruppe) drei Zugriffsrichtlinien zu, die Administratorzugriff auf alle drei CustApp-Ressourcengruppen und die zugehörigen Ressourcen bietet.

Sie können den Administratorzugriff auf den gesamten Inhalt eines Kontos zuweisen, indem Sie eine Zugriffsgruppe erstellen und ihr zwei Richtlinien zuweisen. Um die erste Richtlinie zu erstellen, wählen Sie Alle Services mit aktiviertem Identity and Access Management in Konto mit der Plattformrolle 'Administrator' und der Servicerolle 'Manager' aus. Um die zweite Richtlinie zu erstellen, wählen Sie Alle Kontoverwaltungsservices mit der zugewiesenen Administratorrolle aus.

Plattformrollen

• Administrator: Verfügt über das volle Spektrum an Berechtigungen für ein bestimmtes Objekt und dessen "untergeordneten" Objekte (Schlüssel sind beispielsweise untergeordnete Objekte von Instanzen), einschließlich des Rechts, neue Benutzer einzuladen und Rollen für das Objekt zuzuweisen (nur Administratoren können Rollen zuweisen). Beachten Sie, dass Administratoren standardmäßig keine Servicerollen haben. Sie können sich jedoch selbst Rollen zuordnen.
• Editor: Kann Instanzen auf Kontoebene anzeigen, erstellen und löschen, aber keine neuen Benutzer einladen. Hat eine eingeschränkte Verwendung für Objekte innerhalb einer Serviceinstanz, z. B. Schlüssel, über die Fähigkeit, sie anzuzeigen.
• Operator: Kann Instanzen auf Kontoebene anzeigen, aber nicht bearbeiten. Hat eine eingeschränkte Verwendung für Objekte innerhalb einer Serviceinstanz, z. B. Schlüssel, über die Fähigkeit, sie anzuzeigen.
• Viewer: Kann Instanzen auf Kontoebene anzeigen, aber nicht bearbeiten. Hat eine eingeschränkte Verwendung für Objekte innerhalb einer Serviceinstanz, z. B. Schlüssel, über die Fähigkeit, sie anzuzeigen.

Plattformrollen werden über ein gesamtes Konto, über bestimmte Serviceinstanzen oder innerhalb von Objekten innerhalb einer Serviceinstanz zugeordnet.

Listet die Rollen im Plattformmanagement auf, soweit sie für Key Protect

Aktion	Anzeigeberechtigter	Bearbeiter	Operator	Administrator
Key Protect-Instanzen anzeigen
Key Protect-Instanzen erstellen
Key Protect-Instanzen löschen
Neue Benutzer einladen und Zugriffsrichtlinien verwalten

Während eine Rolle auf Kontoebene einem Benutzer standardmäßig bestimmte Berechtigungen für Dienstinstanzen verleiht, können Rollen auch für eine bestimmte Dienstinstanz zugewiesen werden. Beispielsweise kann ein Konto-Editor (der die Möglichkeit hat, Instanzen anzuzeigen, zu erstellen und zu löschen, aber nicht die Möglichkeit, Rollen zuzuordnen) einen Administrator für eine bestimmte Serviceinstanz erstellen, der es ihm ermöglicht, Rollen innerhalb dieser Serviceinstanz zuzuordnen.

Servicerollen können auf die drei Objekte der ersten Klasse innerhalb einer Serviceinstanz angewendet werden: die Instanz als Ganzes, bestimmte Schlüsselund Schlüsselringe. Genauso wie Kontorollen standardmäßig Berechtigungen für Instanzen haben, haben auch Instanzmanager standardmäßig Berechtigungen für Schlüssel und Schlüsselringe. Diese Berechtigungen können jedoch bei Bedarf granularer zugewiesen werden, z. B. indem einem Benutzer die Rolle des Managers nur für einen bestimmten Schlüssel oder Schlüsselring und eine geringere Berechtigung für die gesamte Instanz zugewiesen wird.

Servicerollen können pro Instanz oder für alle Instanzen in einem Konto zugeordnet werden.

Rollen von Service-Instanzen

Beachten Sie, dass die in Rollen enthaltenen Berechtigungen kumulativsind. Ein Manager verfügt z. B. über alle Berechtigungen, die ein Reader hat, und mehr. Die Ausnahme ist die Rolle KeyPurge, die die Aktion kms.secrets.purge enthält, die nicht Teil einer anderen Rolle ist und daher explizit festgelegt werden muss.

• Manager: Verfügt über das volle Spektrum an Berechtigungen für ein bestimmtes Objekt (z. B. hat der Manager eines Schlüssels die Möglichkeit, den Schlüssel einzuschließen, das Wrapping aufzuheben und zu löschen sowie das ausschließliche Recht zum Lesen und Aktualisieren von Key Protect-Richtlinien wie dualAuthDelete, allowedNetwork, allowedIP usw.).
• Writer: Verfügt über die meisten der Rechte, die ein Manager hat, wenn es um die Verwendung eines Objekts geht (einschließlich der Möglichkeit, einen Schlüssel und dessen Metadaten abzurufen), kann aber im Allgemeinen das Objekt nicht löschen oder deaktivieren.
• Reader: Kann das Objekt verwenden (z. B. können Schlüsselleser ein Wrapping für einen Schlüssel durchführen und das Wrapping aufheben), aber weder das Objekt erstellen, löschen noch ändern.
• ReaderPlus: Verfügen über die gleichen Rechte wie ein Reader, mit der zusätzlichen Fähigkeit, die Nutzdaten eines Standardschlüssels abzurufen.
• KeyPurge: Hat die Fähigkeit, Schlüssel nach vier Stunden zu löschen.
• KmipAdapterManager: Verfügt über alle erforderlichen Rechte zur Verwaltung des Zugriffs auf Ressourcen, die über das KMIP-Protokoll verwaltet werden

Die folgende Tabelle enthält Informationen dazu, wie die Servicezugriffsrollen den Key Protect-Berechtigungen zugeordnet werden.

Listet die Zugriffsrollen für den Dienst auf, die für die wichtigsten Ressourcen von „ Key Protect “ gelten

Aktion	Leseberechtigter	ReaderPlus	Schreibberechtigter	Manager	KeyPurge	KmipAdapterManager
Schlüssel erstellen
Schlüssel importieren
Schlüssel abrufen
Schlüsselmetadaten abrufen
Gesamte Schlüssel abrufen
Schlüssel auflisten
Schlüsselversionen auflisten
Wrapping für einen Schlüssel durchführen
Wrapping für einen Schlüssel aufheben
Wrapping eines Schlüssel erneut durchführen
Schlüssel turnusmäßig wechseln
Schlüssel inaktivieren
Schlüssel aktivieren
Löschen eines Schlüssels planen
Löschvorgang für einen Schlüssel abbrechen
Schlüssel löschen
Schlüssel wiederherstellen
Programmkorrektur eines Schlüssels
Schlüssel synchronisieren
Schlüssel nach vier Stunden löschen

Listet die Zugriffsrollen für den Dienst auf, die für die Schlüsselbundressourcen von „ Key Protect “ gelten

Aktion	Leseberechtigter	ReaderPlus	Schreibberechtigter	Manager	KeyPurge	KmipAdapterManager
Schlüsselring erstellen
Schlüsselringe auflisten
Schlüsselring löschen

Listet die Zugriffsrollen für den Dienst auf, die für die Ressourcen der Richtlinie „ Key Protect “ gelten

Aktion	Leseberechtigter	ReaderPlus	Schreibberechtigter	Manager	KeyPurge	KmipAdapterManager
Schlüsselrichtlinien festlegen
Schlüsselrichtlinien auflisten
Instanzrichtlinien festlegen
Instanzrichtlinien auflisten

Listet die Zugriffsrollen des Dienstes auf, die für den Import von Token-Ressourcen gelten

Aktion	Leseberechtigter	ReaderPlus	Schreibberechtigter	Manager	KeyPurge	KmipAdapterManager
Importtoken erstellen
Importtoken abrufen

Listet die Zugriffsrollen des Dienstes auf, die für die Registrierungsressourcen von „ Key Protect “ gelten

Aktion	Leseberechtigter	ReaderPlus	Schreibberechtigter	Manager	KeyPurge	KmipAdapterManager
Registrierung erstellen[^services-1]
Registrierungen für Schlüssel auflisten
Registrierungen für alle Schlüssel auflisten
Registrierung aktualisieren[^services-2]
Registrierung ersetzen[^services-3]
Registrierung löschen[^services-4]

Die KeyPurge-Rolle verleiht nur die Fähigkeit, Schlüssel zu bereinigen, und sollte als Zusatz zu anderen Servicezugriffsrollen, wie z. B. Manager, betrachtet werden.

Listet die Zugriffsrollen für den Dienst auf, die für die wichtigsten Ressourcen von „ Key Protect “ gelten

Aktion	Leseberechtigter	ReaderPlus	Schreibberechtigter	Manager	KeyPurge	KmipAdapterManager
KMIP-Adapter auflisten
Einen KMIP-Adapter erstellen
Abrufen eines KMIP-Adapters
Löschen eines KMIP-Adapters
KMIP-Objekte eines KMIP-Adapters auflisten
Abrufen eines KMIP-Objekts von einem KMIP-Adapter
Löschen eines KMIP-Objekts aus einem KMIP-Adapter
Client-Zertifikate eines KMIP-Adapters auflisten
Hinzufügen eines Client-Zertifikats zu einem KMIP-Adapter
Abrufen eines Client-Zertifikats von einem KMIP-Adapter
Löschen eines Client-Zertifikats von einem KMIP-Adapter

Die Rollen Writer, Reader und ReaderPlus haben keinen Zugriff auf das KMIP-Protokoll.

Rollen und Cloud Identity and Access Management Richtlinien

Die Key Protect Konsole ermöglicht Benutzern mit diesen Rollen eine feinkörnige Zugriffssteuerung. Es kann jedoch hilfreich sein, sich daran zu erinnern, dass diese Rollen an Cloud Identity and Access Management Richtlinien angehängt sind:

• Servicename (für Key Protect, immer kms)
• Serviceinstanz-ID
• Schlüsselring-ID
• Ressourcentyp (nur key wird unterstützt)
• Ressourcen-ID
• Konto-ID (sollte immer in der Richtlinie angegeben werden)

Im Folgenden sehen Sie ein Beispiel für eine Richtlinie, die von der IAM-API zurückgegeben wird:

"resources": [
    {
        "attributes": [
            {
                "name": "accountId",
                "value": "$ACCOUNT_ID",
            },
            {
                "name": "serviceName",
                "value": "kms",
            },
            {
                "name": "resourceType",
                "value": "key",
            },
            {
                "name": "resource",
                "value": "$KEY_ID",
            },
            {
                "name": "keyRing",
                "value": "$KEY_RING_ID",
            }
        ]
    }
]

Jede Kombination dieser Attribute kann in einer Richtlinie angewendet werden. Wenn dieser Richtlinie die Administratorrolle zugeordnet ist, bedeutet dies, dass jede user/service id/access group , die diese Richtlinie auf sie angewendet hat, eine Richtlinie erstellen kann, die für eine Unterressource des zu gewährenden Benutzers gilt. Mit anderen Worten, alle Sub-Admin-Benutzer können nur Zugriff haben, der dem des übergeordneten Admins entspricht (genau dieselben Attribute, die in ihrer Richtlinie angegeben sind) oder weniger als der des übergeordneten Administrators (genau dieselben Attribute, die in ihrer Richtlinie angegeben sind, und zusätzlich angegebene Attribute).