Hola a todos y bienvenidos de nuevo.
En el vídeo de hoy vamos a hablar del control de acceso basado en atributos, también
conocido como IBAC.
Ahora bien, antes de empezar con nuestro ABC del aprendizaje, es importante que entendamos primero los fundamentos del arte.
En la actualidad, árabe significa control de acceso basado en roles.
Y en este tipo de enfoque, la restricción de acceso se basa en el papel de la persona dentro de la organización.
Ahora, cuando hablamos de IAM en un lugar, implementamos nuestra espalda mediante la creación de diferentes conjuntos de políticas para diferentes
conjuntos de funciones.
Por ejemplo, se ve que hay dos usuarios ahora cada usuario está asociado a una política diferente.
Así que en primer lugar tenemos la política DevOps y en segundo lugar tenemos la política de seguridad.
Y en función de las restricciones o permisos que añadas como parte de la política, el usuario podrá realizar determinadas
funciones.
Así que este es el enfoque basado en la espalda.
Ahora bien, este enfoque puede plantearle algunos problemas.
Así que vamos a investigarlo.
Así que vamos a suponer que usted tiene esta cuenta y dentro de esta cuenta tiene dos entornos diferentes.
Tienes un entorno rojo y tienes el entorno verde.
Y consideremos que ambos son entornos de producción.
Ahora, vamos a suponer que usted está usando un modelo típico basado en Outback y tiene una llamada política central como una
política DevOps de acceso de administrador que está asociada con esta cuenta.
Y tienes un equipo DevOps al que está asociada esta política.
Ahora en esta etapa podemos identificar fácilmente que el equipo DevOps será capaz de realizar todas las funciones
tanto en entornos rojos como verdes.
Ahora bien, por lo general, en las grandes organizaciones verás que incluso dentro del equipo de DevOps, determinados miembros del
equipo son responsables de cierta parte de la infraestructura.
Supongamos que este equipo DevOps tiene diez miembros.
Cinco miembros son responsables del entorno rojo, cinco miembros son responsables del entorno verde.
Ahora, en un enfoque en el que tienes una política central como esta, todos los diez miembros podrán
realizar operaciones en todos los entornos y esto es algo que no siempre querrás.
Así, basándose en esta arquitectura, el equipo DevOps tiene acceso tanto al entorno rojo como al verde.
Ahora bien, ¿qué harán las organizaciones para segregar las cosas?
Seguirán adelante y crearán dos conjuntos diferentes de políticas.
Supongamos que tienes una política número uno para el entorno rojo, una política número dos para el entorno
verde, y los cinco miembros del equipo DevOps responsables del entorno rojo tendrán esta política DevOps
roja y los otros cinco miembros tendrán esta política DevOps verde.
Y en esta política DevOps roja, sólo permites permisos en rojo en verde, sólo permites permisos en
verde.
Por tanto, este tipo de arquitectura es mucho mejor que la anterior.
Sin embargo, en organizaciones más grandes, digamos en las organizaciones donde hay 20 o 30 equipos diferentes de DevOps o tal vez
administradores de sistemas de desarrolladores, etc. lo que tendrás que hacer, es seguir adelante
y crear más y más conjuntos de políticas asociadas a cada grupo de miembros responsables de un entorno específico.
Y para evitar esto, puede hacer uso del control de acceso basado en atributos, que puede resultar
un enfoque mucho mejor.
Ahora, antes de seguir adelante y hablar de APAC, repasemos los fundamentos de los atributos.
Así que, a grandes rasgos, los atributos no son más que un par clave-valor que se asocia a una entidad
específica.
Puede ser un usuario, puede ser fácil de instancia, etc. Así que en un sitio estos atributos se denominan etiquetas.
Así que esto es sencillo de entender.
Ahora, cuando hablamos de la política basada en atributos, lo que harás es tener un único conjunto de políticas.
Una vez más, no hay necesidad de un conjunto múltiple de políticas, y dentro de esta política específica
habrá un permiso principal, que es permitir, por ejemplo, star.
Así que permitir todo el acceso al entorno basado en el atributo de usuario.
Ahora, en esta etapa sabemos que tienes un entorno rojo, tienes un entorno verde,
y asocias el atributo a cada uno de los miembros.
Así que el miembro DevOps uno tiene un atributo de DevOps rojo.
El miembro dos tiene el atributo verde.
Así que en este tipo de política, el miembro DevOps uno tendrá acceso completo al entorno rojo y el miembro
DevOps dos tendrá acceso completo al entorno verde, principalmente debido a los atributos que
añades a nivel de usuario y también a los atributos que añades como parte del nivel de entorno.
De este modo, dispondrá de un menor número de políticas, que son mucho más fáciles de mantener.
Sin embargo, uno de los aspectos más importantes y críticos son las etiquetas.
Así que los usuarios, el entorno que creas, todo ello debe estar etiquetado.
Ahora hablando de los atributos para un usuario IAM en esta captura de pantalla se puede ver que tenemos uno.
Usuario universitario usuario 101 y asociado a este usuario hay una etiqueta.
Esa etiqueta es equipo como verde.
Así que esto significaría típicamente considerando que todas las etiquetas están correctamente configuradas y las políticas
son correctas, este miembro sería considerado como el miembro de DevOps también, ya que hay un equipo de Green y
será capaz de acceder y realizar todas las operaciones en el entorno verde.
Así que con este conjunto de base, vamos a seguir adelante y revisar el control de acceso basado en atributos en una visión general
de alto nivel.
E back es una estrategia de autorización que define el permiso basado en atributos, y hemos aprendido
que los atributos son etiquetas en nosotros.
Ahora, si te fijas en este diagrama en concreto, lo he sacado directamente de la documentación para que en caso
de que lo estés repasando también sea más fácil de revisar.
Como ves, hay tres entornos diferentes.
Tienes rojo, amarillo y azul y hay diferentes conjuntos de usuarios y clientes y asociado a cada usuario
y cliente, hay un atributo específico.
Así que el usuario con el atributo rojo será capaz de acceder a los recursos que tiene el atributo rojo de nuevo, por lo que puede considerar que el entorno
rojo, amarillo medio ambiente, el medio ambiente azul y así sucesivamente.
Con esta base, hagamos una demostración rápida para entender cómo funcionan las cosas.
Ahora para el video de hoy, tengo dos EC, dos instancias.
Una es como parte del entorno rojo.
En segundo lugar, como parte del entorno verde para la instancia CE dos, que está asociada al entorno
rojo.
Si te fijas en las etiquetas, el tema aquí es el rojo.
Esta es la etiqueta importante.
Y para el medio ambiente, aquí el equipo es verde.
Del mismo modo, como parte de los usuarios IAM, tiene dos usuarios usuario cero uno asociado con un equipo verde, usuario
cero dos asociado con el equipo rojo.
Si abrimos el usuario cero uno si nos fijamos en las etiquetas de nuevo, hay un mismo equipo de etiquetas de color
verde y para el usuario dos, usted tiene un equipo de rojo.
Así que la idea básica es que si la etiqueta asociada con el usuario coincide con la etiqueta asociada con el recurso como EC
dos instancia, entonces el usuario será capaz de realizar las operaciones que se define
en la política de IAM.
Ahora, en esta etapa tengo un grupo común llamado DevOps grupo, y en este grupo tiene tanto
los usuarios que se agregan y si nos fijamos en el permiso, sólo hay una política que se asocia.
Si te fijas en esta política, de hecho, déjame editarla ahora.
Si nos fijamos en esta política, usted tiene una instancia de inicio y parada de la instancia basada en la acción que se
permite y tiene una condición específica basada en la etiqueta.
Aquí la clave es el equipo.
Así que eso significa básicamente que si el equipo asociado al entorno rojo EC dos coincide con el del equipo asociado
al usuario IAM, entonces el usuario podrá realizar este conjunto de operaciones.
Así que vamos a seguir adelante y rápidamente probarlo ahora desde una ventana del navegador diferente.
Permítanme que me conecte rápidamente al usuario que forma parte del equipo verde.
Ahora si vas a la consola EC dos, vamos a cambiar a la región apropiada.
Vamos a las instancias.
Ahora, de nuevo, el usuario cero uno está asociado a un equipo verde.
Ahora, si el usuario intenta detener inmediatamente la instancia asociada al equipo rojo, verá que obtiene
un error de forma similar.
Si el usuario intenta detener la instancia asociada a un entorno verde, verá que funciona perfectamente.
De acuerdo.
Así que espero que con esto hayas entendido que una visión general de alto nivel sobre cómo una sola política de IAM basada en los atributos
puede ser mucho más escalable en un entorno más grande, teniendo en cuenta que los recursos están debidamente etiquetados.
Ahora, antes de concluir, vamos a eliminar manualmente la etiqueta asociada a un tema verde en
el entorno verde.
Fácil de.
Así que voy a quitar esta etiqueta específica.
La instancia está en fase de parada, así que esperemos un momento.
Así que si refrescamos las instancias actualmente detenidas ahora del usuario cero uno que tenía tanto el permiso de detener
instancia como de iniciar instancia, Si este usuario ahora intenta iniciar la instancia inmediatamente, se ve que
el error se ha producido principalmente porque las etiquetas no coinciden.
Ahora sólo para simplificar, también he adjuntado la captura de pantalla asociada con la política de IAM.
Por lo tanto, si está revisando las diapositivas, le resultará mucho más fácil comprender
cómo se configuran las políticas de fondo.
Antes de terminar, hablemos de las ventajas del airbag.
La primera es que el airbag requiere menos políticas, sobre todo porque no hay que crear políticas
diferentes para cada función.
Puede crear una política central y, en función de las etiquetas, gestionar automáticamente los permisos.
En segundo lugar aquí es que los permisos pueden ser fácilmente concedidos y revocados sobre la base de las etiquetas de los usuarios
similar a como hemos visto cuando quitamos la etiqueta asociada a la CE dos instancia el permiso para entrar en ella.
Del mismo modo, supongamos que un usuario del entorno verde ya no trabaja en el entorno verde.
Se le ha asignado alguna responsabilidad diferente.
Entonces lo único que tendrás que hacer es quitar la etiqueta verde de entorno del usuario de mensajería instantánea y todos
los permisos desaparecerán.
Y la tercera principal es que la política de acceso basada en atributos también resulta ser muy útil cuando se tienen los
usuarios del directorio corporativo como Active Directory, y desea permitir o denegar
permisos a los recursos de EE.UU..
Este es el panorama general.
Y con esto concluirá el vídeo de hoy.