AWS IAM politika değerlendirme mantığı, bir kullanıcı veya servis bir kaynağa erişmek istediğinde AWS’nin “evet” ya da “hayır” kararını hangi kurallara göre verdiğini tanımlar. Her istek geldiğinde AWS, o isteğe uygulanabilecek tüm politikaları toplar ve bunları belirli bir öncelik düzeni içinde değerlendirir. Sonuç ikili değildir; asıl önemli olan varsayılan durumun ret olması ve tek bir açık reddin diğer tüm izinleri geçersiz kılmasıdır.

AWS’de bir isteğin varsayılan cevabı hayırdır; izin ancak açık bir onayla gelir, açık bir ret ise onu her koşulda bozar.

Karar Hangi Sırayla Verilir?

Değerlendirme örtük ret ile başlar: hiçbir politika izin vermiyorsa istek reddedilir. Ardından uygulanabilir tüm ifadeler taranır. Herhangi bir yerde açık bir Deny varsa karar anında rettir ve başka hiçbir izin bunu değiştiremez. Açık ret yoksa, en az bir açık Allow’un bulunması ve onu kısıtlayan bir sınırın olmaması durumunda istek onaylanır. Bu “açık ret her zaman kazanır” ilkesi, En az yetki ilkesi uygulamalarının teknik dayanağıdır.

Değerlendirmeye giren politika türleri de bu sırayı biçimlendirir. Kimliğe bağlı politikalar, kaynağa bağlı politikalar, izin sınırları (permission boundaries), organizasyon düzeyindeki kontroller ve oturum politikaları aynı anda hesaba katılır. Bir kullanıcıya geniş izin verilse bile, üzerindeki bir izin sınırı ya da organizasyon politikası bu izni fiilen daraltabilir; nihai yetki, tüm bu katmanların kesişimidir.

Neden Bu Kadar Önemli?

Yanlış anlaşılan bir değerlendirme sırası, bulut ortamlarındaki en yaygın yetki hatalarının kaynağıdır. Bir yönetici, geniş bir Allow yazdığı için erişimin açık olduğunu sanırken, farkında olmadığı bir kaynak politikası ya da SCP nedeniyle isteğin reddedilmesiyle karşılaşabilir; ya da tam tersine, unutulmuş bir izin yüzünden beklenenden çok daha fazla yetki dağıtabilir. Bu yüzden değerlendirme mantığını doğru kurgulamak, Kimlik ve erişim yönetimi tasarımının temel taşıdır.

Mantık, rollerin devri sırasında ayrıca kritikleşir. Bir servis başka bir rolü üstlendiğinde, yeni oturumun izinleri hem rolün kendi politikasıyla hem de oturum sırasında iletilen kısıtlarla sınırlanır. Bu yaklaşım, geniş kapsamlı bir rolün belirli bir görev için geçici olarak daraltılmasını sağlayarak Rol tabanlı erişim kontrolü modelinin bulutta esnek biçimde uygulanmasını mümkün kılar.

Uygulamada Doğru Kurgulamak

Politika değerlendirmesini güvenle yönetmenin yolu, izinleri geniş verip sonra kısmak yerine dar başlayıp gerektikçe genişletmekten geçer. AWS’nin sağladığı politika benzetim araçları, bir isteğin gerçekte onaylanıp onaylanmayacağını üretim ortamına dokunmadan gösterir. Bu tür yapılandırmaların bir bütün olarak gözden geçirilmesi, Bulut güvenlik duruşu yönetimi araçlarıyla sürekli izlenmesini gerektirir. Karmaşık hesap yapılarında yetki katmanlarının doğru kurulduğunu bağımsız bir gözle doğrulamak için altyapı ve mimari gözden geçirme çalışması güçlü bir güvence sağlar.