Bonjour, tout le monde, et bienvenue à nouveau.
Dans la vidéo d'aujourd'hui, nous allons aborder les stratégies d'utilisation des politiques de contrôle des services.
D'un point de vue général, il existe deux stratégies principales que vous pouvez utiliser pour configurer
les étapes de votre compte.
La première est la stratégie basée sur la liste des refus, et la seconde est la stratégie basée sur la liste des autorisations.
Dans la vidéo d'aujourd'hui, nous allons donc aborder ces deux sujets en détail.
La première approche primaire est la liste de refus, et dans la liste de refus, les actions sont autorisées par défaut
au niveau de l'IP.
Et ensuite vous spécifiez quels sont les services et les actions que vous voulez refuser.
Lorsque nous parlons d'organisations et de politiques de contrôle des services, nous constatons
que, par défaut, elles utilisent cette stratégie basée sur une liste de refus, et ce, en utilisant la politique de CB d'accès intégral qui est attachée
à la racine.
Si nous examinons rapidement à quoi ressemble cette politique d'accès complet, il s'agit de la déclaration de politique
où tout est autorisé par défaut.
Maintenant, notez que cela peut être un peu confus parce que la stratégie du déni est en fait a permis.
C'est donc un peu confus pour commencer.
Maintenant, examinons aussi rapidement cette question.
Actuellement, je suis dans une organisation qui n'a pas l'IPS activé.
Donc, si vous regardez dans l'un des comptes ici, si vous regardez dans les politiques, il n'y a pas de politiques
qui sont associées maintenant à ce stade.
Lorsque nous activons les politiques de contrôle des services, à ce stade, nous voyons qu'il y a une politique
primaire qui est créée qui est l'accès complet.
Le genre est une politique gérée.
Et si vous regardez cela, les cibles des politiques, il est associé à la racine et à tous les comptes qui font partie
maintenant de cette approche de base.
Si vous regardez la déclaration de politique générale, elle autorise tout.
Ainsi, par défaut, tout sera autorisé au niveau de la PS, puis vous refuserez explicitement tout service que vous souhaitez
interdire.
Par exemple, si vous voulez que personne ne se connecte au service, vous ajoutez explicitement une déclaration de refus.
Notez que, comme il s'agit d'une politique gérée, il existe certaines restrictions. Vous pouvez donc créer un nouvel
ensemble de politiques.
Vous ne serez pas en mesure d'effectuer diverses opérations.
Par exemple, si vous voulez le supprimer, essayons-le en tant qu'accès complet.
Et si vous voyez dans la description, il est indiqué que vous ne pouvez pas modifier et gérer la politique.
Ils sont excellents en lecture.
Une fois cette base comprise, examinons certains des avantages que procure ce type de stratégie.
Comme nous savons déjà qu'en utilisant la stratégie de refus, l'administrateur du compte peut déléguer tous les services et
actions jusqu'à ce que vous créiez un CFP attaché qui refuse un service spécifique.
Ainsi, par défaut, tout sera autorisé.
Ensuite, vous ajoutez la politique de refus explicite pour refuser un service ou une action spécifique.
Il faut donc noter que les déclarations de refus nécessitent moins de maintenance car il n'est pas nécessaire de mettre
à jour la politique lorsqu'elle ajoute de nouveaux services.
Ainsi, une entreprise a des centaines de services, mais comme vous avez explicitement autorisé tous les services au niveau de l'ACP,
vous ne devez pas vraiment vous inquiéter car même si un nouveau service est lancé, les utilisateurs y auront
accès.
En considérant qu'ils ont les permissions appropriées.
En outre, l'un des autres avantages est que les instructions de refus utilisent généralement moins d'espace, ce qui permet de
respecter plus facilement la taille maximale des politiques de contrôle des services.
Maintenant, si vous regardez l'exemple de politique basée sur une liste de refus, cela pourrait ressembler à quelque chose
comme ceci où vous avez une déclaration forte et ensuite vous avez une déclaration de refus explicite sur l'action et le service.
Donc ici, l'action est Dynamo DB star avec cette base, regardons aussi la stratégie numéro deux, qui est la liste
d'autorisation.
Maintenant, afin d'utiliser la liste d'autorisation, ce que vous pouvez faire, vous devez remplacer l'ACP d'accès complet
géré par un nouvel ACP qui autorise explicitement seulement les services et les actions que vous voulez autoriser.
Vous devez maintenant vous rappeler qu'en supprimant l'ACP par défaut à accès complet, toutes les actions pour tous les services
sont maintenant implicitement refusées.
C'est une partie très importante à retenir.
Puis, puisque toutes les actions et tous les services sont implicitement refusés, vous ajoutez un ACP personnalisé qui remplace ce refus
implicite par une autorisation explicite pour les seules actions que vous souhaitez autoriser.
Si vous regardez cet exemple de politique basée sur la liste des autorisations, voici à quoi il ressemble.
On suppose donc ici que cet ACP à accès complet n'est pas associé aux comptes.
Et puis vous ajoutez cette politique spécifique qui autorise certains services comme EC two star cloud watch star.
Ainsi, en dehors de cet ensemble de services, les utilisateurs ne pourront effectuer d'opérations sur aucun d'entre eux.
Maintenant, avant de continuer, faisons une rapide démonstration associée à cela.
Maintenant, laissez-moi aussi vous montrer rapidement une démo.
À ce stade, notez que nous ne faisons qu'examiner la question du point de vue de la démo pour nous assurer que nos concepts
sont mieux compris.
Pour la démonstration d'aujourd'hui, j'ai encore une politique de liste d'autorisation pour les collèges.
Donc si vous regardez la politique de la liste d'autorisation, elle est associée à la racine et elle est également associée
à un compte sandbox.
À ce stade, pour que cette politique de liste d'autorisation prenne effet, vous devez vous assurer que votre accès
complet n'est pas associé aux comptes.
Donc si vous regardez dans les cibles, il est juste associé au compte de gestion ici.
Il n'est associé à aucun autre compte.
Donc si je dois te montrer.
Donc à la racine, nous avons le compte de gestion et le compte sandbox.
Ainsi, cette politique spécifique que nous avons, la politique de liste d'autorisation, est associée si vous regardez dans le
compte sandbox et il n'y a pas de politique d'accès complet ici.
Alors allons-y et essayons rapidement.
Si vous regardez le contenu, vous verrez qu'il permet à la CE deux étoiles et à l'étoile de surveillance des nuages de tester certaines choses.
Je suis connecté en tant qu'utilisateur root à l'un des comptes membres.
Maintenant, dans la mesure où nous savons que seuls EC deux et cloud watcher autorisés, essayons d'explorer d'autres
services comme SES immédiatement.
Vous voyez, nous avons eu une erreur indiquant qu'il y a un refus dans l'ACP.
Essayons également un autre service.
Je vais répéter la passerelle API, nous avons une erreur.
De même, essayons e c to cette fois et ec two fonctionne parfaitement bien.
Vous pourrez lancer des instances, etc.
Très bien.
J'espère qu'avec ceci vous avez compris les bases des listes d'autorisation et de refus.
Encore une fois, une chose que je voulais vous montrer, regardons rapidement ici.
Si vous regardez dans cette politique de compte sandbox qui est seulement une politique de liste d'autorisation.
Il n'y a pas de politique d'accès total ici.
Et c'est la raison pour laquelle les choses se mettent en place.
Avant de conclure, il convient de noter certains points importants.
La première est que chaque compte root ou you and doit avoir au moins une politique de contrôle de service attachée.
Et c'est la raison pour laquelle, si vous voulez remplacer la politique d'accès intégral par défaut par une ACP qui limite l'autorisation,
vous devez attacher le SFP de remplacement avant de supprimer la politique par défaut.
Ainsi, par exemple, à ce stade, vous verrez que le compte sandbox a une politique de liste d'autorisation.
Ainsi, au moment opportun, une police doit être attachée.
Ainsi, si vous voulez passer d'une liste à une liste de refus, vous devez associer une politique de liste
de refus et ensuite supprimer la liste d'autorisation.
Super.
C'est donc un aperçu général des stratégies que vous pouvez utiliser.
Encore une fois, d'après ce que j'ai vu dans les organisations, la plupart d'entre elles utilisent leur stratégie par défaut basée sur une liste
de refus.
Ils n'optent pas pour une liste d'autorisation si vous utilisez une liste basse, bien que cela paraisse bien,
mais cela demande aussi beaucoup d'efforts.
Et dans la plupart des organisations, l'équipe de sécurité ou l'équipe qui gère tous les ssps est assez petite
et ne dispose pas du temps et des ressources nécessaires pour gérer la politique de liste d'autorisation, en dehors
des autres configurations liées à la sécurité sur lesquelles elle doit travailler dans le cadre de l'infrastructure
globale.
C'est ainsi que se termine la vidéo d'aujourd'hui.