Tag: AWS IAM

前言 企业在 AWS 上构建自己的应用系统时，常常需要授权应用系统的最终用户直接访问 AWS 资源（例如：允许最终用户访问非公开权限的 Amazon S3 存储桶）。AWS 通过 Identity and Access Management (IAM)服务授权用户访问 AWS 资源。在面对最终用户时，企业可以选择 Amazon Cognito 结合 IAM从应用程序端控制 AWS 资源访问。这需要企业将 Amazon Cognito 与管理最终用户的身份提供商（IDP, Identity Provider）进行集成，以实现 AWS 资源访问控制[1]。 本文将会介绍一种基于 x.509 证书的认证方式，并结合 AWS Identity and Access Management (IAM) 服务完成对相关资源的授权。从实现角度上看，该方式具有如下特点： 无需与第三方 IDP 即成，实现简单； 无需预付费用，适合对成本敏感的企业； 基于 509 的认证方式，安全可靠   关于 AWS IoT 在 AWS 上，用户可以通过 AWS […]

如何基于 SAML 2.0 集成第三方身份提供商，使用 AWS 联合身份认证通过单点登录 (SSO) 方式登录 AWS 控制台，如何配置 AWS IAM 身份提供商，角色以及相互之间的信任关系，实现基于角色切换的多账户多用户管理。

使用AWS CD 加速 EKS 集群部署。

信息安全现状 时钟进入到2017年，物联网安全，DDoS攻击和勒索软件被越来越多的国内外信息安全预测机构列为年度最大信息安全威胁。上周爆发的勒索软件WannaCry （又称作永恒之蓝）已席卷全球99个国家，让各类技术宅男们和信息安全的童鞋们又错过了一个美好的周末。尽管目前该病毒已被安全人员找到了阻止其传播的方法，但是类似的安全事件依然给我们敲响了云端安全运维的警钟。 WannaCry事件回顾，5月12日晚， WannaCry 蠕虫病毒在全球大肆爆发。据外媒报道，攻击在99个国家实施了超过75000次攻击。该攻击利用漏洞MS17-010中的某些版本的SMB服务器协议进行传播，利用Windows 445 端口的安全漏洞潜入电脑并对多种文件类型加密并使用户无法打开，攻击者称需支付比特币解锁，补丁程序已于2017年3月14日发布，但未打补丁的用户有可能遭受此次攻击。通过这个事件我们发现只要是购买正版操作系统并及时更新补丁的用户，都不会受到影响。永久解决办法有2个，1.开启windows的自动更新功能，将最新补丁打上； 2.对于部分比较老的windows系统可以手动下载更新包并安装。 这样的安全事件不是第一次也不会是最后一次，要确保我们的信息安全，需要做的事情有太多，比如完善的信息安全应对机制，一系列自动化运维工具或服务，坚决的执行能力以及定期的审核机制。如果你恰好开始关心信息安全，而我们又专业，不妨看看AWS是如何看待信息安全的。 AWS信息安全理念 数据属于谁？ 虽然是一个老生常谈的问题，但确实一个非常重要的问题，而且答案永远只有一个，数据属于客户。当你上云之后，如何确保你的数据真的属于你是很多客户评估是否上云时最纠结的问题！在AWS，你可以非常清晰的从上图中看到这个界限。所有操作系统以上（包括操作系统本身）的内容都是客户自己自主可控，AWS没有任何权限访问，同时如果你使用的是AWS提供的Windows或者Linux镜像，该镜像 的补丁机制是全球一致管理的，我们会从各个合作厂商那得到补丁，并第一时间更新到镜像里。如果是开篇提到的流氓攻击，在AWS上的客户可以不需要担心了，因为该补丁在镜像中自动更新了。 如何确保我在云上是安全的？ 如何数据安全可能是一个说上三天三夜都没法说完的话题，今天我们从AWS信息安全最佳实践出发，给大家从几个层面来分析信息安全的层级，并重点介绍如何帮助客户在理解理念之后的安全落地问题。首先我们可以看到在云上我们需要这么几个维度的安全，底层基础架构的安全，网络的安全，权限及审计的安全，服务本身的安全，事先预防等等。总之，信息安全从来都不是靠说的，而是靠做的，所以接下来我们给大家做一些简单示范，让你在使用AWS时更加得心应手。 底层基础架构的安全 熟悉AWS的同学可能知道，AWS底层的虚拟化平台使用的是Xen，套用一句官话，不管我们的工程师是多么的小心，我们依然需要时刻告知我们的客户对于AWS服务底层安全的疑虑，所以大家可以在以下链接找到关于Xen的信息安全公告，同时大家也可以从AWS信息安全白皮书中看到AWS如何对于底层基础架构的安全设计，限于篇幅的原因本文不作展开。 Xen Security Advisiories https://aws.amazon.com/cn/security/security-bulletins/ AWS Security Best Practices https://d0.awsstatic.com/whitepapers/aws-security-whitepaper.pdf 网络安全 上云的安全 当你的数据需要上云时，你有三种非常安全的方式来传输您的数据，通过TLS加密的HTTPS协议将数据直接通过互联网传输到S3， 建立专用VPN进行数据传输以及通过专线将AWS与您的数据中心打通，并将AWS纳入您现有的全球专线网络中，让你全球任何一个办公室或者数据中心都通过内网的方式随时的安全访问云端的数据或者系统，如同您多了一个拥有无限扩展能力的远端数据中心。 云上的安全 当您的数据或者系统已经部署在AWS上时，你可以通过上图的简单示意图来对您的系统进行网络隔离及控制。比如，你可以按照不同的应用划分不同的VPC，不同的VPC之间网络隔离，同时在同一个VPC内设置不同安全级别网络区域，如公有访问区，DMZ区，私有网络区。利用VPC内的免费防火墙工具安全组，网络ACL来对云端的机器及网段进行精细化控制。如图上的例子，你可以通过图形界面在安全组上关闭该机器137,139,445 端口就能轻松的规避本文开篇提到的流氓攻击。如果您确实需要开启这些端口，也可以在安全组内指定对具体的源IP开放端口，或者将这些机器放置在私有网段，当这些私有网段的机器需要访问互联网的某些站点进行补丁升级等操作时，通过NAT的方式允许VPC的出向流量。 如果您还需要对VPC内不同私有网段的机器访问进行更精细化控制，还可以通过另外一个免费的防火墙网络ACL来实现。 当您的网络与AWS云端VPC通过VPN或者专线联通时，你还可以通过路由表来控制您哪些数据中心的网段可以访问云端的哪些网段。 权限及审计安全 当你的业务上云后，你可能面临不同人员需要管理你云端资源，这些人可能包括，您公司的开发人员，运维人员，财务部，人事部以及您外部形形色色的服务供应商或者运维外包供应商，如何给予这些人员适当权限去访问他们需要访问的AWS资源以及事后审核这些人员的访问情况，是很多企业客户迫切需要解决问题。 AWS IAM不但可以轻松解决上述所有访问权限问题，还可以帮您打通绝大部分企业遇到的SSO问题，让你数据中心的AD或者第三方机构与AWS建立授权机制，当您的用户在本地AD通过验证后，直接访问AWS上的数据，无需重复创建用户。同时可以给所有IAM用户开启复杂密码功能，并强制用户每隔一段时间修改密码。 内审或者外审通常是一个企业每年必做的事情，在AWS只需开启CloudTrail服务就可以自动记录所有AWS资源的使用情况，下图是一个CloudTrail的简单示例，我们可以看到什么时间哪个用户对什么资源做了什么事情。 同时还可以进一步查看某个事件的详细信息，便于审核，如下图所示： 服务本身的安全机制 由于AWS服务众多，限于篇幅的原因，本文重点讲解AWS虚拟机(EC2)的安全，如您对其他服务也很感兴趣，欢迎阅读AWS安全白皮书。 AWS Security Best Practices https://d0.awsstatic.com/whitepapers/aws-security-whitepaper.pdf      Amazon EC2多层安全模型 Amazon EC2多层安全模型包含底层物理服务器的操作系统，虚拟操作系统或者客户操作系统，防火墙和签名的API调用。目标是防止EC2内的数据被未授权的系统或者用户访问，在不牺牲客户配置灵活性的时，尽最大限度保证EC2本身的安全。 Amazon EC2当前利用了一个AWS高度定制化的Xen […]

简介 AWS IAM（身份和访问管理服务）中的角色使您的应用程序在Amazon EC2上能够使用临时的安全凭证自动实现AWS服务的创建，发布和内容修改。使用这样的临时凭证是IAM的最佳做法，因为您不再需要在实例上维护一个或多个长期密钥。对EC2使用IAM角色也无需再使用必须手动或以编程方式管理的长期AWS访问密钥。 例如，应用程序必须通过AWS证书签署API请求。因此，如果您是应用程序开发人员，您需要一个策略来为EC2实例上运行的应用程序管理证书。您可以安全地将您的AWS证书分配至实例，从而允许这些实例上运行的应用程序使用您的证书签署请求，并保护其免受其他用户的影响。但是，要将凭证安全地分配至每项实例有一定难度，尤其是AWS以您的名义创建的实例，例如竞价型实例或Auto Scaling组中的实例。当您更换AWS证书时，您还必须能够更新每项实例上的证书。IAM角色能够委托授权以发出API请求，而不用创建并分配您的AWS证书。详细解决方案，请查阅文档适用于Amazon EC2的IAM角色。 之前，IAM角色只能在实例创建设置时添加，这导致了过去创建的实例和忘记添加IAM角色的实例无法使用IAM角色操作实例，从而被迫重新部署实例及应用程序。从现在开始，您可以通过将IAM角色附加到现有的尚未被角色附加的EC2实例，来使用AWS提供的临时安全证书操作EC2实例，您还可以随时替换附加到现有EC2实例的IAM角色。 适用范围 文中的操作步骤已于2017年2月23日验证通过，其中AWS CLI版本1.11.48，在AWS全球和AWS中国区均能正常使用。 解决方案 1.   创建IAM角色 2.   将IAM角色附加给现有EC2实例（最初没有IAM角色附加） 3.   更换附加到Amazon EC2的IAM角色 4.   移除附加到Amazon EC2的IAM角色 本文假设您具有创建IAM角色的权限，并具有调用EC2 API的权限。 AWS命令行操作步骤中所有出现的占位符{Some Words}，都应该替换为实际资源名称。 AWS控制台操作步骤 1.  打开EC2控制面板，并选择左侧边栏的“实例”。 2.  选择您的实例，依次点击上方的操作->实例设置->Attach/Replace IAM role 3.  打开IAM role下拉菜单，选择您想要附加给当前EC2的IAM角色，No Role代表不附加角色，选好后点击右侧的Apply按钮。选择并应用的过程实际上包含了：将IAM角色附加给现有EC2实例（最初没有IAM角色附加）；更换附加到Amazon EC2的IAM角色；移除附加到Amazon EC2的IAM角色。 4.  如果您选择了No Rule（即移除EC2上的IAM角色），会显示如下页面： 5.  如果您未作出有效的修改，会显示如下页面： 6.  如果您的修改有效，会显示如下页面： AWS命令行操作步骤 开始操作之前，请确保您的CLI版本大于等于1.11.48。如果您对当前自己的CLI版本有疑问，可以在命令行中执行以下命令进行版本查询： $aws –version 如果您已经有 pip 和支持的 Python 版本，则可以使用以下命令安装 […]

背景介绍 广大移动互联网应用和移动游戏开发者在利用AWS服务进行开发过程中，经常需要为移动客户端提供AWS服务访问安全证书，以便让这类移动端应用有权限直接访问AWS服务，比如通过AWS S3服务上传图片文件或者通过AWS SQS服务发送消息。 有些移动开发者可能会考虑为每个移动应用用户分配一个固定的AWS IAM安全证书来实现移动客户端访问AWS服务。但是一款热门的移动互联网应用或者移动游戏往往拥有数百万甚至上千万的用户基数，让系统管理员为每一个用户分配和管理IAM 安全证书工作量将会非常巨大。而且移动客户端相对服务器端具有较低的安全等级，保存在移动设备内部的敏感信息比如用户账号或密码存在泄露的风险，强烈建议移动开发者不要将AWS安全证书长期保存在用户的移动设备中。 利用AWS 安全令牌服务Security Token Service （简称STS）可以动态的为大量移动客户端用户分配临时安全证书 ，并且可以限制这些临时安全证书的AWS服务访问权限和有效时间。使用AWS STS临时安全证书没有用户总数的限制，也不需要主动轮换，证书自动会过期，拥有非常高的安全性。对于这种采用AWS STS和其他相关AWS服务构建的移动客户端访问AWS服务安全证书分配系统，我们把它命名为Token Vending Machine，即令牌售卖机，简称TVM。 下面我们以一个典型的手机图片管理APP演示项目为例来介绍如何利用AWS相关服务设计和开发一套TVM系统。读者可以通过参考演示项目的设计思想和相关源码快速开发出符合自己项目需求的TVM系统。 假设该演示项目的基本需求如下： 1） 用户在使用该APP前要先完成注册 2)   用户成功登录后可以通过APP上传，查看和管理自己的图片 3)   用户不可以访问到其他用户的图片 实现原理 整个演示项目实现可以分为三个主要模块：移动客户端、TVM系统和S3服务。 A. 移动客户端 包括访问TVM系统获取临时安全证书的客户端代码 包括直接访问AWS S3存储桶用户个人目录内容和图片管理相关的代码逻辑实现。 B. TVM系统 使用了一台AWS EC2实例来运行Apache Tomcat Web服务器，用于向移动客户端提供远程访问接口以获取临时安全证书。在Tomcat内部则部署了使用JAVA语言开发的TVM服务器端实现。 使用了AWS 高性能的NoSQL数据库DynamoDB做为后台用户数据库。该数据库用来保存注册用户的账号、密码和会话Key等信息。 开发者自行设计和实现TVM系统的时候，完全可以使用自己熟悉的数据库产品或者集成第三方已有的用户数据库服务，比如基于LDAP的企业内部用户数据库。 TVM系统的JAVA实现通过访问AWS STS服务获取临时安全证书以提供给移动客户端。 在真实的项目中，运行TVM系统的服务器端往往还将直接管理S3中保存的所有用户资源，比如可以限制每个用户允许上传图片的数量和文件合计大小等等。这部分功能在本演示项目中暂时没有实现。 C. S3服务 AWS S3服务为用户上传图片提供了持久化存储能力。 在用户成功完成账号注册后，TVM系统的基本工作流程如下： 1) 用户通过移动客户端输入账号和密码，登录系统。 2) TVM查询用户数据库，校验账号和密码组合的合法性。 3) TVM访问AWS […]

原英文链接：http://blogs.aws.amazon.com/security/post/Tx71TWXXJ3UI14 在我们使用AWS的过程中, AWS IAM 是我们接触的第一个服务, 它具有强大的功能，可使您在AWS IAM中通过管理用户, 用户组, 策略, 角色, 证书, 密钥等来灵活而精确的控制对AWS 服务和资源的访问和权限. 同时在很多企业内部, 一般都已经部署了自己的用户管理及授权系统, 如何将AWS的用户管理及授权纳入现有系统则成为企业的想要解决的一个问题. 本文将介绍如何将企业内部Windows活动目录(Active Directory)和AWS通过ADFS(Active Directory Service) 进行集成, 从而实现在活动目录中管理用户对AWS服务和资源的访问和授权. 在AWS IAM中, 我们提供了对SAML的支持, 这个功能可以让我们可以和支持该标准的身份提供商进行联合从而实现单点登陆. 对于很多使用微软活动目录的企业, 我们可以使用Windows自带的ADFS进行和AWS IAM的集成. 工作原理: 在我们进行详细配置之前, 可以先看一下工作原理: 1.       首先用户访问和AWS做了集成的ADFS站点 (https://ADFS/adfs/ls/IdpInitiatedSignOn.aspx) 2.       用户在登陆页面输入用户名及密码, 提交以后ADFS将联系AD进行用户验证 3.       用户浏览器收到ADFS返回的SAML 断言 4.       用户浏览器将用户断言Post到AWS的Sign-in SAML终结点 (https://signin.amazonaws.cn/saml), Sign-in将调用AssumeRoleWithSAML API接口请求临时安全凭证并使用其构建管理控制台的登陆链接 5.       用户浏览器转向使用构建的登陆链接进行登陆 配置活动目录: 1.       在活动目录中及建立用户adfsuser, 邮件地址设为adfsuser@examplecom 2.       在活动目录中建立两个组AWSBJS-Admin, […]