Heroína.
Y bienvenidos de nuevo.
En el vídeo de hoy hablaremos del ID externo.
Ahora, el ID externo es un dato que se puede pasar a la API de rol asumido del servicio de token de seguridad.
Ahora, el propósito general de la identificación externa se puede explicar con esta animación que tenemos ahora.
En la parte izquierda, tiene una cuenta llamada cuenta de ejemplo.
Así que básicamente hay tres cuentas aquí que pertenecen a tres entidades diferentes en total.
Ahora, dentro de la cuenta de ejemplo, tiene un rollo de cuenta cruzado a través del cual los usuarios IAM de la cuenta Corp
de servicio podrán iniciar sesión.
Así que esta es la regla de cuentas cruzadas que está presente y también tiene una cuenta de atacante.
Así que esta cuenta de Service Corp está proporcionando el servicio tanto a la cuenta ejemplo como a la cuenta atacante.
Ahora, una vez creada la regla de cuenta cruzada, el administrador de la cuenta de ejemplo proporcionará
básicamente la URL del rol, así como el admin, principalmente porque para asumir el rol, se necesita
una URL o el n.
Así, una vez que los administradores de la cuenta de ejemplo proporcionen estos detalles, los usuarios de la cuenta
de Service Corp o la aplicación que se ejecuta en la cuenta de Service Corp podrán asumir el rol y también
acceder a los recursos dependiendo del permiso que se haya asignado al rol.
Ahora, el desafío que puede ocurrir en tal escenario es que este Service Corp está proporcionando una aplicación como
un servicio tanto a la cuenta de ejemplo como a la cuenta del atacante, y si la cuenta del atacante
proporciona la URL del rol y el final de la del rol de la cuenta de ejemplo, entonces lo que sucederá es que la aplicación o un servicio
que se está ejecutando en la cuenta de Service Corp utilizará esta URL o entonces para asumir el rol y acceder
al servicio.
Así que esencialmente lo que sucederá es la cuenta del atacante.
Si es capaz de adivinar el fin de este rol específico, puede especificarlo a la aplicación que ha sido proporcionada
por la cuenta Service Corp para acceder al recurso de la cuenta de ejemplo.
Este es el reto general al que se enfrentan muchas organizaciones.
Y para superar esto, hacemos uso de un ID externo, Así que el ID externo es una pieza adicional de datos que usted proporciona
además de la función en la que se encuentran con el fin de asumir el papel.
Este es el panorama general de la necesidad de identificación externa.
Así que hagamos una cosa.
Hagamos rápidamente una demostración para que esto se entienda mejor.
Así que dentro de la cuenta de servicio ocho, hay dos funciones que se está creando.
Uno es un rol normal y el segundo es el rol que utiliza ID externo.
Ahora ambos son un rol de cuenta cruzada y si miras en la entidad de confianza, este es el número de cuenta de
una entidad de confianza.
Así que primero, hagamos una cosa.
Vamos al papel normal por aquí.
Y si nos fijamos en la relación de confianza, si lo edito rápidamente, es básicamente permitir que un principal
de este número de cuenta específica.
Ahora desde otro navegador, ya estoy logueado a través de un usuario demo a esa cuenta que ha sido de confianza.
Así que vamos a probar y asumir el papel para ambos donde se requiere ID externo y ID externo no es necesario.
Y esta cosa será asumir el papel basado tanto en la URL, así como el administrador.
Así que primero, hagamos una cosa.
Hagámoslo.
Nosotros la URL.
Así que voy a copiar la URL y desde el navegador tan pronto como lo pongo dentro de la barra de URL.
Hagamos clic en Cambiar rol y, como era de esperar, habremos iniciado sesión con éxito en la cuenta.
Así que volvamos rápidamente atrás.
Estupendo.
Así que esa es la URL.
Ahora vamos a intentarlo rápidamente a través de la CLI también.
Así que desde el CLA, ya tengo un comando listo.
Así que lo que estamos haciendo, estamos haciendo un e star es un papel de zoom.
Estamos proporcionando el rol que no requiere el ID externo y usted tiene un nombre de sesión de rol.
Así que básicamente para esta ClA, tengo el acceso y la clave secreta asociada al usuario demo que ya
configuré.
Así que tan pronto como pulse enter aquí, usted debe ver que usted tiene una clave de acceso secreta, el token de sesión,
así como el ID de acceso que he generado.
Así que para este papel específico, tanto la IG como el acceso CLA están funcionando como se esperaba.
Así que volvamos a los papeles y bajemos un poco esta vez.
Abramos la llamada de rol ID externo.
Ahora bien, si nos fijamos en la relación de confianza, ahora la relación de confianza general sigue siendo similar
a la del papel anterior.
Sin embargo, hay una condición adicional que se especifica aquí, y la condición
es cuando una cadena es igual a SDS, ID externo, que es 090295.
Así que eso significa básicamente que cualquiera que quiera asumir el rol debe proporcionar este ID externo
específico, sin el cual la asunción del rol no funcionará.
Así que vamos a probarlo.
Ahora, antes de seguir adelante y hacer eso, si nos fijamos en la documentación asociada con el papel
asumido, vamos a ir un poco hacia abajo.
Así que aquí hay una opción específica donde se puede especificar ID externo y esto es algo que vamos a requerir.
Así que, primero, vamos a intentar asumir este papel sin dar ninguna identificación externa.
Así que voy a limpiar la pantalla.
Vamos a reemplazar el admin.
Ahora, tan pronto como usted presiona enter, usted ve, usted inmediatamente consiguió un error aquí.
Ahora, hagamos una cosa.
Intentemos especificar el ID externo.
El dis 090295.
Ahora, en cuanto añadas el ID externo, verás que las cosas funcionan como esperabas.
De acuerdo.
Así que espero que haya entendido por qué es necesaria una identificación externa.
Ahora, en tales casos, incluso si una cuenta atacante entra en su papel dentro de la aplicación que es proporcionada
por la cuenta de Service Corp, la cuenta de Service Corp no será capaz de asumir el papel ya
que no se proporciona el ID externo.
Ahora, una parte muy importante para recordar es que el ID externo sólo funcionará cuando usted está asumiendo
el papel a través de la CLA o SDHC.
No funcionará si lo haces a través del navegador.
Permítanme mostrar rápidamente esto así que voy a copiar esta URL y permítanme entrar rápidamente aquí.
Así que vamos a intentar cambiar el papel.
Y ves que tienes un error diciendo que la información no válida en uno o más campos.
Así que ese es el error que típicamente obtendrá para el rol que requiere ID externo.
Ahora, antes de concluir, déjame mostrarte cómo puedes crear un rol con ID externo.
Así que los pasos generales son muy similares.
Así que hagamos una cosa.
Sigamos adelante y creemos un rol con otra cuenta dentro del ID de cuenta.
Puede especificar la idea de cuenta de una cuenta de destino y todo lo que tiene que hacer es que tiene que seleccionar
la primera opción, que requiere el ID externo o está dentro del paréntesis.
Es una buena práctica que un tercero asuma esta función.
Así que esto es muy similar al diagrama de desafíos que estamos discutiendo, donde la importancia de la
identificación externa entra en escena principalmente cuando se utiliza un servicio de terceros.
Así que una vez que seleccione esta opción, lo que tiene que hacer es especificar el ID externo.
Así que dependiendo de lo que usted tiene la intención de hacer, sólo puede especificar el ID externo por aquí y una vez entonces usted
puede ir a la siguiente.
Evitemos la política por ahora.
Y vamos a llamarlo una C guión temporal.
Así que desde la consola, si usted mira rápidamente en este papel y si nos fijamos en la relación de
confianza o usted debe ver que usted tiene una relación de confianza con una condición específica en la que la cadena es igual al ID
externo que usted ha proporcionado.
Estupendo.
Antes de terminar, repasemos rápidamente dos puntos importantes.
La primera es que una vez establecido el ID externo, cuando alguien utilice la CLI o la API para asumir el rol, deberá proporcionar
un ID externo.
La segunda es que no se puede cambiar de rol en la consola a un rol que es una condición de ID externa dentro de la política de confianza,
por lo que no se puede utilizar la consola.
Tienes que hacer uso de opciones como CLI, SDK, etc.
Este es el resumen de alto nivel sobre el ID externo.
Espero que este vídeo le haya resultado informativo y le espero en el próximo.