2.Создание IAM группы

 

Для рабо­ты с вашим обла­ком луч­ше все­го создать спе­ци­аль­ную учёт­ную запись в сер­ви­се Identity and Access Management.
В первую оче­редь, выбе­ри­те в кон­со­ли AWS необ­хо­ди­мый сер­вис: IAM. Про­ще все­го про­сто вве­сти “iam” в стро­ке поиска:

Сер­вис IAM поз­во­ля­ет не толь­ко управ­лять поль­зо­ва­те­ля­ми, груп­па­ми, поли­ти­ка­ми и роля­ми, но и исполь­зо­вать внеш­них постав­щи­ков аутен­ти­фи­ка­ции, таких как SAML или OpenID Connect, а так же ана­ли­зи­ро­вать выдан­ные досту­пы и созда­вать отчёты.

Это очень гиб­кая и мощ­ная систе­ма, но сей­час нас инте­ре­су­ет самый про­стой слу­чай - необ­хо­ди­мо создать учет­ную запись поль­зо­ва­те­ля, кото­рая предо­ста­ви­ла бы нам зна­чи­тель­ные пол­но­мо­чия, но при этом была огра­ни­че­на в правах.

В первую оче­редь, ско­пи­руй­те и сохра­ни­те ссыл­ку на стра­ни­цу вхо­да вашей запи­си - она при­го­дит­ся, когда вы буде­те вхо­дить в систе­му как IAM поль­зо­ва­тель, ведь тогда потре­бу­ет­ся не толь­ко логин и пароль, но и иден­ти­фи­ка­тор аккаунта.

Ваша ссыл­ка будет немно­го отли­чать­ся из-за дру­го­го номе­ра акка­ун­та. Обра­ти­те вни­ма­ние, что эту ссыл­ку мож­но изме­нить, нажав на “Customize” - это поз­во­лит вве­сти соб­ствен­ный иден­ти­фи­ка­тор (али­ас) акка­ун­та, если такой ещё сво­бо­ден, конечно.

Теперь перей­ди­те на вклад­ку Users:

И нажми­те на кноп­ку “Add User”.

Вве­ди­те жела­е­мое имя пользователя:

Отметь­те необ­хо­ди­мый вам тип досту­па. Для про­хож­де­ния кур­са потре­бу­ют­ся оба типа, и “programmatic access” (доступ к API), и “AWS Console access” (доступ к веб-интер­фей­су). В даль­ней­шем, неис­поль­зу­е­мый тип досту­па будет луч­ше отключить.

Посколь­ку мы запро­си­ли доступ к AWS Console, необ­хо­ди­мо создать пароль: сге­не­ри­ро­вать его или вве­сти соб­ствен­ный. Если вы созда­ё­те учёт­ную запись не для себя, може­те потре­бо­вать сме­нить пароль при пер­вом вхо­де. В этом слу­чае созда­ва­е­мо­му поль­зо­ва­те­лю будет авто­ма­ти­че­ски назна­че­на поли­ти­ка без­опас­но­сти IAMUserChangePassword, что­бы раз­ре­шить сме­ну пароля.

Сле­ду­ю­щим шагом ново­му поль­зо­ва­те­лю нуж­но настро­ить доступ:

Сде­лать это мож­но тре­мя способами:

• доба­вить поль­зо­ва­те­ля в группу
• ско­пи­ро­вать раз­ре­ше­ния суще­ству­ю­ще­го пользователя
• напря­мую назна­чить поли­ти­ки безопасности

Посколь­ку ни групп, ни дру­гих поль­зо­ва­те­лей IAM у нас ещё нет (root-акка­унт не счи­та­ет­ся), при­дёт­ся назна­чить поли­ти­ки напря­мую, сме­ло выби­рай­те этот пункт.

На сего­дняш­ний день AWS IAM пред­ла­га­ет око­ло 640 (коли­че­ство посто­ян­но меня­ет­ся) пред­уста­нов­лен­ную поли­ти­ку без­опас­но­сти, и если это­го вам мало, мож­но создать соб­ствен­ную! В рам­ках это­го зада­ния мы оста­но­вим­ся на уже существующих.

Здесь вы може­те пой­ти дву­мя путями:

Най­ти и выбрать PowerUserAccess - эта поли­ти­ка даст вам доступ ко всем сер­ви­сам AWS, за исклю­че­ни­ем досту­па к управ­ле­нию акка­ун­та­ми. Это доста­точ­но хоро­ший баланс меж­ду воз­мож­но­стя­ми учёт­ной запи­си и без­опас­но­стью - вам при­дёт­ся пере­клю­чать­ся в root-акка­унт толь­ко для созда­ния новых поль­зо­ва­те­лей или сбро­са паролей

Если же вы пред­по­чи­та­е­те более стро­гие стан­дар­ты без­опас­но­сти, мож­но оста­но­вить­ся на AmazonEC2FullAccess - эта поли­ти­ка предо­ста­вит пол­ный доступ к сер­ви­су Elastic Cloud Computing, с кото­рым мы начи­на­ем рабо­тать уже совсем ско­ро. Обра­ти­те вни­ма­ние, что  AmazonEC2FullAccess будет недо­ста­точ­но для выпол­не­ния прак­ти­че­ской части сле­ду­ю­щих моду­лей, посколь­ку мы нач­нём рабо­тать с дру­ги­ми сер­ви­са­ми, но вы все­гда може­те зай­ти в IAM, исполь­зуя root акка­унт и доба­вить ваше­му поль­зо­ва­те­лю новые политики.

Заметь­те, что поли­ти­ки мож­но ком­би­ни­ро­вать, и, если к AmazonEC2FullAccess доба­вить ReadOnlyAccess, то ваш поль­зо­ва­тель будет иметь пра­во на про­смотр любых ресур­сов, но созда­ние, изме­не­ние и уда­ле­ние толь­ко ресур­сов EC2.

Прак­ти­че­ские шаги в после­ду­ю­щих уро­ках исхо­дят из исполь­зо­ва­ния вами PowerUserAccess.

В сле­ду­ю­щем шаге мож­но назна­чить тэги на поль­зо­ва­те­ля: в дан­ном слу­чае это не так важ­но, но когда вы нач­нё­те управ­лять команд­ным про­ек­том, мы сове­ту­ем назна­чать каж­до­му поль­зо­ва­те­лю как мини­мум такие тэги, как Name, Email, Department.

На сле­ду­ю­щей стра­ни­це вам пред­ло­жат про­ве­рить вве­дён­ные дан­ные и убе­дить­ся, что вас всё устраивает.

Жми­те на кноп­ку “Create User”,

Толь­ко что IAM сер­вис создал для нас поль­зо­ва­те­ля, назна­чил ему поли­ти­ку без­опас­но­сти, создал клю­чи, необ­хо­ди­мые для рабо­ты через API (они нам ско­ро пона­до­бят­ся) и уста­но­вил задан­ный нами пароль для входа.

Не забудь­те сохра­нить эти дан­ные в без­опас­ном месте: мож­но про­сто ска­чать csv-файл нажав на кноп­ку “Download .csv” - там будет всё необ­хо­ди­мое для рабо­ты под этой учёт­ной запи­сью: ссыл­ка для вхо­да, пароль, коды досту­па. Разу­ме­ет­ся, вы може­те сохра­нить необ­хо­ди­мые дан­ные любым дру­гим удоб­ным вам спо­со­бом, но помни­те о безопасности.

Гото­во! Оста­лось лишь зай­ти в систе­му, исполь­зуя новую учет­ную запись: прой­ди­те по пред­ло­жен­ной ссыл­ке, это авто­ма­ти­че­ски выве­дет вас из систе­мы как root-поль­зо­ва­те­ля. Теперь необ­хо­ди­мо вве­сти дан­ные создан­но­го IAM акка­ун­та: имя и пароль.

Если что-то пошло не так, вы може­те повтор­но зай­ти как root, исполь­зуя ссыл­ку “Sign in using root user email” и повто­рить шаги, уда­лив поль­зо­ва­те­ля и создав ещё одно­го. Ну а если всё про­шло бла­го­по­луч­но  вы уви­ди­те AWS Management Console

 

=============================================================

Создание IAM группы

Управ­лять поль­зо­ва­те­ля­ми неслож­но, пока их немно­го. В этом заня­тии мы научим­ся созда­вать груп­пы IAM, назна­чать груп­по­вые раз­ре­ше­ния и добав­лять поль­зо­ва­те­лей, что­бы упро­стить рабо­ту с мно­го­чис­лен­ны­ми кол­ле­га­ми из раз­ных отделов.

Но сна­ча­ла давай­те настро­им кое-что под себя. AWS пред­ла­га­ет более 250 сер­ви­сов, и со вре­ме­нем это чис­ло будет толь­ко рас­ти. Будет гораз­до удоб­нее, если мы доба­вим самые часто исполь­зу­е­мые сер­ви­сы в избран­ное. Для это­го открой­те выпа­да­ю­щее меню Services сле­ва вверху

В Recently Visited будет наш люби­мый IAM сер­вис, а если наве­сти - появит­ся звёздочка.

Гото­во! Добав­ляй­те часто исполь­зу­е­мые сер­ви­сы в избран­ное, что­бы упро­стить рабо­ту с AWS, они появят­ся в верх­ней части спис­ка сер­ви­сов в Favorites.

Ну а теперь зай­мём­ся группами.

Нас попро­си­ли выдать доступ к AWS EC2 трём сотруд­ни­кам из отде­ла раз­ра­бот­ки. Созда­вать три акка­ун­та под­ряд и назна­чать им лич­ные пра­ва будет неэф­фек­тив­но: зав­тра их ока­жет­ся не трое, а десять, а после­зав­тра пона­до­бят­ся пра­ва не толь­ко на EC2, но и на какой-нибудь дру­гой сер­вис, и при­дёт­ся добав­лять поли­ти­ку каждому.

Перей­дём в IAM и откро­ем вклад­ку Groups.

Нажми­те на кноп­ку Create New Group

В пер­вом шаге необ­хо­ди­мо задать имя груп­пы. Имя долж­но быть “маши­но­чи­та­е­мым” - без про­бе­лов и кириллицы

При­со­еди­ни­те необ­хо­ди­мые поли­ти­ки, в нашем слу­чае - AmazonEC2ReadOnlyAccess. Мож­но под­клю­чить сра­зу несколь­ко поли­тик, если это необ­хо­ди­мо. Пока что я под­клю­чу толь­ко read-only доступ, так без­опас­нее. Если потре­бу­ет­ся, full access мож­но будет выдать инди­ви­ду­аль­но тим­ли­ду (если будет себя хоро­шо вести).

На сле­ду­ю­щей стра­ни­це нуж­но про­ве­рить настрой­ки, и под­твер­дить созда­ние группы.

Гото­во, груп­па созда­на! Оста­лось доба­вить в неё пользователей

Перей­дём во вклад­ку Users и доба­вим новых пользователей

В этот раз добавь­те стра­зу трёх поль­зо­ва­те­лей. Доступ к API (Programmatic Access) им будет ни к чему, а вот AWS Console (веб-интер­фейс) может понадобиться.

Име­на могут быть любые, а вот доступ пока мож­но раз­ре­шить толь­ко к веб-интер­фей­су - Programmatic Access мож­но доба­вить и позд­нее, а луч­шая поли­ти­ка без­опас­но­сти: Least Privilege - выда­вай­те настоль­ко мало при­ви­ле­гий, насколь­ко это возможно.

 

Груп­па уже созда­на, а зна­чит - мы про­сто доба­вим поль­зо­ва­те­лей в неё. Выбе­ри­те нашу груп­пу и поставь­те галоч­ку воз­ле её имени.

Доба­вим тэги!

Про­ве­рим, что систе­ма соби­ра­ет­ся сделать: 

Обра­ти­те вни­ма­ние, что паро­ли для этих учёт­ных запи­сей созда­ны, а access keys - нет. Дело в том, что паро­ли нуж­ны для веб-интер­фей­са (AWS Console), а клю­чи досту­па - для под­клю­че­ния через API (Programmatic Access). Мы не ста­ви­ли гал­ку “Programmatic Access”, поэто­му клю­чи и не созданы. 

Груп­пы IAM поль­зо­ва­те­лей отоб­ра­жа­ют­ся в общем списке:

гото­во
Груп­па созда­на, поль­зо­ва­те­ли добавлены