Procedure consigliate

Esiste un limite sul numero totale di politiche consentite in un account. Puoi utilizzare alcune strategie per assicurarti di non raggiungere il limite e per ridurre la quantità di tempo che passi a gestire l'accesso per le identità nel tuo account (utenti, ID servizio o profili attendibili):

• Utilizzare il principio del privilegio minimo e assegnare solo l'accesso necessario. Questo può aiutarti a garantire che le identità nel tuo account siano limitate solo alle azioni che vuoi consentire. Ad esempio, piuttosto che il proprietario dell'account che condivide le proprie credenziali, che per impostazione predefinita fornisce loro l'accesso Amministratore e Gestore su tutte le risorse del loro account, crea nuove politiche per gli utenti che hanno bisogno di accedere all'account e a ogni istanza del servizio (e le relative chiavi associate).
• Aggiungere le risorse a un gruppo di risorse per ridurre ulteriormente il numero di politiche necessarie. Ad esempio, potresti avere un team che lavora su un progetto che utilizza risorse specifiche nel tuo account. Aggiungere i membri del team a un gruppo di accesso o a un profilo attendibile con una politica che assegna l'accesso solo alle risorse che si trovano in un gruppo di risorse specifico. In questo modo, non è necessario assegnare una politica a ciascuna risorsa per ciascun membro del team. Per ulteriori informazioni sull'assegnazione dell'accesso dettagliato, consulta assign fine-grained access to a single key.
• Utilizzare i gruppi di accesso per semplificare la gestione dell'accesso per le identità che necessitano dello stesso livello di accesso. Puoi configurare un gruppo di accesso con una politica specifica definita e quindi aggiungere tali identità al gruppo. Se i membri del gruppo hanno bisogno di un ulteriore accesso in un secondo momento, è sufficiente definire una nuova politica per il gruppo di accesso.
• Utilizza le tag di gestione dell'accesso per controllare l'accesso alle risorse nel tuo account in scala. Assegnando l'accesso solo alle risorse che hanno tag specifiche ad esse collegate, è possibile evitare più aggiornamenti alle politiche definite. Per ulteriori informazioni, vedi Controllo dell'accesso alle risorse utilizzando le tag.
• Utilizza profili attendibili per concedere automaticamente agli utenti federati e alle risorse di calcolo l'accesso al tuo account. In questo modo, gli utenti federati possono essere mappati su uno o più profili affidabili durante il login, valutando gli attributi basati su SAML per determinare quali profili possono applicare. L'uso di profili attendibili per le risorse di elaborazione consente di evitare di archiviare le credenziali per eseguire le applicazioni e la gestione e la rotazione delle credenziali. È anche possibile aggiungere profili attendibili ai gruppi di accesso per sfruttare la serie di criteri già creati.
• Verificare regolarmente chi è autorizzato a gestire il controllo degli accessi e a cancellare le risorse chiave. Poiché gli errori e l'uso improprio da parte di utenti con autorizzazioni elevate possono causare danni all'account, alle istanze del servizio e ai dati protetti dalle chiavi nella tua istanza del servizio, assicurati che venga gestito un accesso appropriato controllando gli utenti con tali ruoli. Ricorda che tutte le nuove chiavi, i keyring o le istanze del servizio create sono soggette per impostazione predefinita a definizioni di ruolo esistenti. Se una nuova chiave non deve essere acceduta o modificata da un nuovo utente assegnato come Gestore dell'istanza, tale limitazione deve essere specificatamente assegnata, poiché i gestori dell'istanza hanno accesso a tutte le chiavi in un'istanza per impostazione predefinita, inclusa la capacità di eliminare una chiave.

Quali sono gli elementi che caratterizzano una buona strategia relativa ai gruppi di accesso?

Un gruppo di accesso è un'organizzazione di utenti, ID servizio e profili attendibili in un raggruppamento a cui puoi concedere lo stesso accesso IAM. Tutte le identità in un singolo gruppo di accesso ereditano lo stesso accesso.

Un modo logico per assegnare l'accesso ai tuoi gruppi di risorse e alle risorse incluse è creando un gruppo di accesso per ogni livello di accesso richiesto. Quindi, puoi associare ogni gruppo di accesso ai gruppi di risorse creati precedentemente. Ad esempio, per controllare l'accesso al progetto CustApp, puoi creare i seguenti gruppi di accesso:

• Auditor-Group
• Developer-Group
• Admin-Group

Per il gruppo "Auditor", assegnare due criteri di accesso che concedano l'accesso in sola lettura alle risorse e ai gruppi di risorse CustApp-Test e CustApp-Prod. Per il gruppo "Developer-Group", assegnare due criteri di accesso che concedano i diritti di modifica alle risorse e ai gruppi di risorse CustApp-Dev e CustApp-Test. Per il gruppo Admin, assegnare tre criteri di accesso che concedano i diritti di amministratore a tutti e tre i gruppi di risorse CustApp e alle relative risorse.

È possibile assegnare i diritti di amministratore su tutte le risorse di un account creando un gruppo di accesso e assegnandogli due criteri. Per creare la prima politica, seleziona Tutti i servizi abilitati all'accesso e all'identità in Account con il ruolo della piattaforma Amministratore e il ruolo del servizio Gestore. Per creare la seconda politica, selezionare Tutti i servizi di gestione account con il ruolo di amministratore assegnato.

Ruoli della piattaforma

• Amministratore: dispone dell'intera gamma di diritti su un particolare oggetto e sui suoi oggetti "child" (ad esempio, le chiavi sono oggetti child delle istanze), incluso il diritto di invitare nuovi utenti e assegnare ruoli sull'oggetto (solo gli amministratori possono assegnare ruoli). Tenere presente che gli amministratori non hanno ruoli di servizio per impostazione predefinita. Tuttavia, possono assegnare ruoli a se stessi.
• Editor: può visualizzare, creare ed eliminare istanze a livello di account, ma non può invitare nuovi utenti. Ha un utilizzo limitato per gli oggetti all'interno di un'istanza del servizio, come le chiavi, oltre alla possibilità di visualizzarli.
• Operatore: può visualizzare le istanze a livello di account, ma non può modificarle. Ha un utilizzo limitato per gli oggetti all'interno di un'istanza del servizio, come le chiavi, oltre alla possibilità di visualizzarli.
• Viewer: può visualizzare le istanze a livello di account, ma non può modificarle. Ha un utilizzo limitato per gli oggetti all'interno di un'istanza del servizio, come le chiavi, oltre alla possibilità di visualizzarli.

I ruoli della piattaforma vengono assegnati a un intero account, a specifiche istanze del servizio o all'interno di oggetti all'interno di un'istanza del servizio.

Elenca i ruoli di gestione della piattaforma che si applicano a Key Protect

Azione	Visualizzatore	Editor	Operatore	Amministratore
Visualizza le istanze Key Protect
Crea istanze Key Protect
Elimina istanze Key Protect
Invita nuovi utenti e gestisci le politiche di accesso

Mentre un ruolo a livello di account fornisce a un utente autorizzazioni particolari sulle istanze del servizio per impostazione predefinita, i ruoli possono essere assegnati anche su una specifica istanza del servizio. Ad esempio, un Editor dell'account (che ha la possibilità di visualizzare, creare ed eliminare istanze, ma non la possibilità di assegnare ruoli) può essere reso un Amministratore di una specifica istanza del servizio, consentendo loro di assegnare ruoli all'interno di tale istanza del servizio.

I ruoli del servizio possono essere applicati ai tre oggetti di prima classe all'interno di un'istanza del servizio: l'istanza nel suo insieme, particolari chiavi e file di chiavi. Proprio come i ruoli account hanno le autorizzazioni sulle istanze per impostazione predefinita, così anche i gestori istanze hanno le autorizzazioni sulle chiavi e sui keyring per impostazione predefinita. Tuttavia, queste autorizzazioni possono essere assegnate in modo più dettagliato laddove necessario, ad esempio fornendo a un utente il ruolo di Gestore solo su una particolare chiave o key ring e un livello inferiore di autorizzazione sull'istanza nel suo insieme.

I ruoli del servizio possono essere assegnati per istanza o per tutte le istanze in un account.

Ruoli delle istanze di servizio

Si noti che le autorizzazioni incluse nei ruoli sono additive. Un Gestore, ad esempio, dispone di tutte le autorizzazioni di cui dispone un Lettore . Fa eccezione il ruolo KeyPurge che include l'azione kms.secrets.purge, che non fa parte di nessun altro ruolo e deve quindi essere impostata esplicitamente.

• Gestore: ha l'intera gamma di diritti su un particolare oggetto (ad esempio, il gestore di una chiave ha la capacità di impacchettare, spacchettare ed eliminare la chiave, nonché il diritto esclusivo di leggere e aggiornare le politiche Key Protect come dualAuthDelete, allowedNetwork, allowedIP, tra le altre).
• Programma di scrittura: ha la maggior parte degli stessi diritti che un gestore fa quando si tratta di utilizzare un oggetto (inclusa la capacità di richiamare una chiave e i relativi metadati), ma di solito non può eliminare o disabilitare l'oggetto.
• Lettore: può utilizzare l'oggetto (ad esempio, i lettori di chiavi possono impacchettare e spacchettare una chiave), ma non creare, eliminare o modificare l'oggetto.
• ReaderPlus: ha gli stessi diritti di un lettore, con in più la possibilità di recuperare il payload di una chiave standard.
• KeyPurge: consente di eliminare le chiavi dopo quattro ore.
• KmipAdapterManager: Ha tutti i diritti necessari per gestire l'accesso alle risorse governate tramite il protocollo KMIP

La seguente tabella mostra la modalità di mappatura dei ruoli di accesso al servizio alle autorizzazioni Key Protect.

Elenca i ruoli di accesso ai servizi che si applicano alle risorse chiave di Key Protect

Azione	Lettore	ReaderPlus	Scrittore	Gestore	KeyPurge	KmipAdapterManager
Crea una chiave
Importa una chiave
Richiama una chiave
Richiama metadati chiave
Richiama totale chiavi
Elenca chiavi
Elenca versioni chiave
Impacchetta una chiave
Spacchetta una chiave
Reimpacchetta una chiave
Ruota una chiave
Disabilita una chiave
Abilita una chiave
Pianificazione della cancellazione di una chiave
Annulla l'eliminazione di una chiave
Elimina una chiave
Ripristina una chiave
Applica patch a una chiave
Sincronizza chiavi
Elimina chiavi dopo quattro ore

Elenca i ruoli di accesso ai servizi che si applicano alle risorse del Key Ring di Key Protect

Azione	Lettore	ReaderPlus	Scrittore	Gestore	KeyPurge	KmipAdapterManager
Crea un keyring
Elenca keyring
Elimina un file di chiavi

Elenca i ruoli di accesso ai servizi che si applicano alle risorse dei criteri di Key Protect

Azione	Lettore	ReaderPlus	Scrittore	Gestore	KeyPurge	KmipAdapterManager
Imposta politiche delle chiavi
Elenca politiche delle chiavi
Imposta politiche delle istanze
Elenca politiche delle istanze

Elenca i ruoli di accesso ai servizi che si applicano alle risorse dei token di importazione

Azione	Lettore	ReaderPlus	Scrittore	Gestore	KeyPurge	KmipAdapterManager
Crea un token di importazione
Richiama un token di importazione

Elenca i ruoli di accesso ai servizi che si applicano alle risorse di registrazione di Key Protect

Azione	Lettore	ReaderPlus	Scrittore	Gestore	KeyPurge	KmipAdapterManager
Crea una registrazione[^services-1]
Elenca le registrazioni per una chiave
Elenca le registrazioni per qualsiasi chiave
Aggiornare una registrazione[^services-2]
Sostituire una registrazione[^services-3]
Elimina una registrazione[^services-4]

Il ruolo KeyPurge conferisce solo la capacità di eliminare le chiavi e deve essere considerato aggiuntivo rispetto ad altri ruoli di accesso ai servizi, come quello di Manager.

Elenca i ruoli di accesso ai servizi che si applicano alle risorse chiave di Key Protect

Azione	Lettore	ReaderPlus	Scrittore	Gestore	KeyPurge	KmipAdapterManager
Elenco degli adattatori KMIP
Creare un adattatore KMIP
Recuperare un adattatore KMIP
Eliminare un adattatore KMIP
Elenco degli oggetti KMIP di un adattatore KMIP
Recuperare un oggetto KMIP da un adattatore KMIP
Eliminare un oggetto KMIP da un adattatore KMIP
Elenco dei certificati client di un adattatore KMIP
Aggiungere un certificato client a un adattatore KMIP
Recuperare un certificato client da un adattatore KMIP
Eliminare un certificato client da un adattatore KMIP

I ruoli Writer, Reader e ReaderPlus non hanno accesso al protocollo KMIP.

Ruoli e politiche Cloud Identity and Access Management

Mentre la console Key Protect consente agli utenti il controllo dell'accesso dettagliato utilizzando questi ruoli, può essere utile ricordare che questi ruoli sono collegati alle politiche Cloud Identity and Access Management:

• nome servizio (per Key Protect, sempre kms)
• ID istanza del servizio
• ID keyring
• tipo di risorsa (è supportato solo key )
• ID risorsa
• id account (deve essere sempre specificato nella politica)

Ecco un esempio di politica restituita dall'API IAM:

"resources": [
    {
        "attributes": [
            {
                "name": "accountId",
                "value": "$ACCOUNT_ID",
            },
            {
                "name": "serviceName",
                "value": "kms",
            },
            {
                "name": "resourceType",
                "value": "key",
            },
            {
                "name": "resource",
                "value": "$KEY_ID",
            },
            {
                "name": "keyRing",
                "value": "$KEY_RING_ID",
            }
        ]
    }
]

Qualsiasi combinazione di questi attributi può essere applicata in una politica. Se a tale politica è collegato il ruolo di amministratore, ciò significa che qualsiasi user/service id/access group a cui è applicata questa politica può creare una politica che si applica a una risorsa secondaria di quella che è stata concessa. In altre parole, tutti gli utenti sub - admin possono avere accesso solo uguale (esattamente gli stessi attributi specificati nella loro politica) o inferiore (esattamente gli stessi attributi specificati nella loro politica e gli attributi aggiuntivi specificati) a quello dell'amministratore parent.