Olá a todos, e bem-vindos de volta.
Agora, no vídeo de hoje, vamos discutir sobre o controle de acesso baseado em atributos, também
conhecido como IBAC.
Agora, antes de começarmos com nosso ABC Learning, é importante que entendamos primeiro o básico da arte.
De volta agora, o árabe significa o controle de acesso baseado no papel.
E, neste tipo de abordagem, a restrição de acesso se baseia no papel da pessoa dentro da organização.
Agora, quando discutimos sobre o IAM em um lugar, implementamos nossas costas criando um conjunto diferente de políticas para diferentes
conjuntos de funções.
Por exemplo, você vê que há dois usuários agora cada usuário está associado a uma política diferente.
Portanto, primeiro temos a política DevOps e, segundo, temos a política de segurança.
E com base nas restrições ou permissões que você acrescentar como parte da política, o usuário será capaz de executar
certas funções.
Por isso, esta é a abordagem baseada na retaguarda.
Agora, há certos desafios que você pode enfrentar em relação a esta abordagem.
Por isso, vamos em frente e analisemos o assunto.
Portanto, vamos assumir que você tem esta conta e dentro desta conta você tem dois ambientes diferentes.
Você tem um ambiente vermelho e você tem o ambiente verde.
E consideremos que ambos são ambientes de produção.
Agora, vamos assumir que você está usando um modelo típico baseado no outback e tem uma chamada de política central como uma
política DevOps de acesso administrativo que está associada a esta conta.
E você tem uma equipe DevOps à qual esta política está associada.
Agora, nesta fase, podemos identificar facilmente que a equipe DevOps será capaz de executar todas as funções tanto em ambientes
vermelhos quanto em ambientes verdes.
Agora, geralmente em organizações maiores, você verá que mesmo dentro da equipe DevOps, certos membros da equipe são
responsáveis por determinada parte da infra-estrutura.
Portanto, vamos assumir que esta equipe DevOps tem dez membros.
Cinco membros são responsáveis pelo ambiente vermelho, cinco membros são responsáveis pelo ambiente verde.
Agora, em uma abordagem onde você tem uma política central como esta, todos os dez membros poderão
realizar operações em todos os ambientes e isto é algo que você talvez nem sempre queira.
Assim, com base nesta arquitetura, a equipe DevOps tem acesso tanto ao ambiente vermelho quanto ao verde.
Agora, o que as organizações vão fazer para segregar as coisas?
Eles irão em frente e criarão dois conjuntos diferentes de políticas.
Vamos supor que você tenha uma política número um para o ambiente vermelho, número dois para o ambiente verde,
e os cinco membros da equipe DevOps responsável pelo ambiente vermelho terão esta política DevOps vermelha
e os outros cinco membros terão esta política DevOps verde.
E nesta política DevOps vermelha, você só permite permissões em vermelho em verde, você só permite permissões em
verde.
Portanto, este tipo de arquitetura é muito melhor quando comparado com a anterior.
Entretanto, em organizações maiores, digamos, nas organizações onde existem 20 ou 30 equipes diferentes de DevOps ou talvez administradores
de sistemas de desenvolvimento, etc. O que você terá que fazer, você terá que ir em
frente e criar mais e mais conjunto de políticas associadas a cada grupo de membros responsáveis por um ambiente específico.
E para evitar isto, você pode fazer uso do controle de acesso baseado em atributos, o que pode ser uma
abordagem muito melhor.
Agora, antes de prosseguirmos e discutirmos sobre a APAC, vamos revisar o básico dos atributos.
Portanto, em um nível elevado, visão geral, os atributos não são nada além de um par de valores chave que você associa a uma
entidade específica.
Pode ser um usuário, pode ser fácil de exemplificar, etc. Portanto, em um lugar, esses atributos são chamados de tags.
Portanto, isto é simples de entender.
Agora, quando discutimos sobre a política baseada em atributos o que você fará, você tem um único conjunto de políticas.
Mais uma vez, não há necessidade de um conjunto múltiplo de políticas, e dentro desta política específica haverá
uma permissão primária, que é permitir, por exemplo, a estrela.
Assim, permitir todo acesso ao ambiente com base no atributo do usuário.
Agora, nesta fase sabemos que você tem um ambiente vermelho, tem um ambiente
verde e associa o atributo a cada um dos membros.
Portanto, o membro DevOps tem um atributo de DevOps vermelho.
O membro dois tem um atributo de verde.
Assim, em tal tipo de política, o membro DevOps um terá pleno acesso ao ambiente vermelho e o membro DevOps
dois terá pleno acesso ao ambiente verde, principalmente por causa dos atributos que você adiciona
no nível do usuário e também os atributos que você adiciona como parte do nível do ambiente.
Portanto, nesta abordagem, você terá menos políticas que são muito mais fáceis de manter.
Entretanto, um dos aspectos importantes e críticos aqui são as etiquetas.
Portanto, os usuários, o ambiente que você cria, tudo isso deve ser etiquetado.
Agora discutindo sobre os atributos para um usuário do IAM nesta captura de tela, você pode ver que temos um.
Usuário universitário 101 e associado a este usuário é uma tag.
Essa etiqueta é a equipe verde.
Portanto, isso normalmente significaria considerar que todas as tags estão devidamente definidas e as políticas estão
corretas, este membro seria considerado como o membro DevOps também, uma vez que há uma equipe de Green e ele
será capaz de acessar e executar todas as operações sobre o ambiente verde.
Portanto, com este conjunto básico, vamos em frente e revisar o controle de acesso baseado em atributos em uma visão geral
de alto nível.
E voltar é uma estratégia de autorização que define a permissão com base em atributos,
e aprendemos que os atributos são tags em nós.
Agora, se você examinar este diagrama específico, eu o tirei diretamente da documentação para que, no caso de você
estar passando por ele, também se torne mais fácil de revisar.
Portanto, você vê que existem três ambientes diferentes.
Você tem vermelho, amarelo e azul e há um conjunto diferente de usuários e clientes e associado a cada usuário
e cliente, há um atributo específico.
Assim, o usuário com o atributo vermelho poderá acessar novamente os recursos que possuem o atributo vermelho, para que possa considerar
como ambiente vermelho, ambiente amarelo, ambiente azul e assim por diante.
Portanto, com este conjunto básico, vamos em frente e fazer uma rápida demonstração para entender como as coisas funcionam.
Agora, para o vídeo de hoje, tenho duas CE, duas instâncias.
Uma delas é como parte do ambiente vermelho.
A segunda é como parte do ambiente verde para a CE duas instâncias, que está associada com o ambiente vermelho.
Se você olhar para as tags, o tema aqui é vermelho.
Portanto, esta é a etiqueta importante.
E para o ambiente verde, a equipe aqui é verde.
Da mesma forma, como parte dos usuários do IAM, você tem dois usuários usuário zero um associado a uma equipe verde, usuário
zero dois associado à equipe vermelha.
Se abrirmos o usuário zero um se você olhar as tags novamente, há uma mesma equipe de tags verdes e para o
usuário dois, você tem uma equipe de tags vermelhas.
Portanto, a idéia básica é que se a tag associada ao usuário corresponder à tag associada ao recurso como EC duas instâncias,
então o usuário será capaz de realizar as operações que estão definidas na política
do IAM.
Agora, nesta fase eu tenho um grupo comum chamado DevOps, e neste grupo você tem os usuários que
são adicionados e se você olhar para a permissão, há apenas uma política que está associada.
Se você analisar esta política, de fato, deixe-me editá-la agora.
Se você analisar esta política, você tem uma instância inicial e uma ação de parada baseada na instância que é permitida
e você tem uma condição específica baseada na etiqueta.
Portanto, aqui a chave é a equipe.
Isso significa basicamente que se a equipe associada ao ambiente vermelho EC dois corresponde ao da equipe associada
ao usuário do IAM, então o usuário será capaz de realizar este conjunto de operações.
Portanto, vamos em frente e experimentemo-lo rapidamente agora a partir de uma janela de navegador diferente.
Deixe-me ir em frente e rapidamente entrar no usuário, um que faz parte da equipe verde.
Agora, se você for para o console EC dois, vamos mudar para a região apropriada.
Vamos às instâncias.
Agora novamente, o usuário zero um está associado a uma equipe verde.
Agora, se o usuário tentar parar imediatamente a instância associada à equipe vermelha, você verá que recebeu
um erro de maneira semelhante.
Se o usuário tenta parar a instância associada a um ambiente verde, você vê que ela está funcionando perfeitamente
bem.
Muito bem.
Portanto, espero que com isto você tenha entendido que uma visão geral de alto nível sobre como uma política única do IAM baseada
nos atributos pode ser muito mais escalável em um ambiente maior, considerando que os recursos estão devidamente etiquetados.
Agora, antes de concluirmos, vamos em frente e remover manualmente a etiqueta associada a um tema de verde
no ambiente verde.
Fácil de.
Portanto, vou apenas remover esta etiqueta específica.
A instância está na fase de parada, então vamos esperar rapidamente por um momento.
Portanto, se atualizarmos as instâncias atualmente paradas agora a partir do usuário zero que tinha tanto a instância
de parada quanto a de início da instância, se este usuário agora tentar iniciar a instância imediatamente, você
verá que o erro ocorreu principalmente porque as tags não estão correspondendo.
Agora só por simplicidade, anexei também a captura de tela associada com a política do IAM.
Assim, caso você esteja revisando através dos slides, torna-se muito mais fácil de entender
como as políticas de fundo são configuradas.
Agora, antes de concluirmos, vamos em frente e discutir os benefícios do airbag.
A primeira é que o airbag requer menos políticas, principalmente porque você não precisa criar políticas diferentes
para funções de trabalho diferentes.
Você pode criar uma política central e com base nas tags, as permissões podem ser gerenciadas automaticamente.
Em segundo lugar, aqui é que as permissões podem ser facilmente concedidas e revogadas com base nas tags dos usuários, de modo
semelhante ao que vimos quando removemos a tag associada às duas instâncias da CE a permissão para entrar nela.
Da mesma forma, digamos que um usuário do ambiente verde não está mais trabalhando no ambiente verde.
A ele foi atribuída uma responsabilidade diferente.
Então tudo o que você terá que fazer é remover a etiqueta de ambiente verde do usuário do IM e todas as permissões
desaparecerão.
E a terceira principal é que a política de acesso baseada em atributos também se mostra bastante útil quando você tem os
usuários do diretório corporativo como o Active Directory, e você quer permitir ou negar
permissões aos recursos dos EUA.
Portanto, esta é a visão geral de alto nível.
E com isto terminará o vídeo de hoje.