Bij AWS is de IAM-service een van de eerste diensten die je leert kennen. Het systeem controleert wie je bent en verleent toegang tot AWS-diensten. Authenticatie en autorisatie zijn gescheiden, maar om IAM volledig te benutten, gebruik je vaak een derde laag: het aannemen van een rol.
Authenticatie bepaalt of je bent wie je beweert te zijn. Dit kan via een gebruikersnaam en wachtwoord, API-aanroepen met access keys, of externe identiteitsproviders zoals SSO. Two-factor-authenticatie en andere checks versterken dit proces. Authenticatie bewijst je identiteit, maar verleent nog geen toegang tot resources.
Naast authenticatie en autorisatie speelt rolaanname een sleutelrol in AWS. Na authenticatie kun je een specifieke rol aannemen, wat je toegang geeft tot de benodigde resources.
Stel, je werkt met meerdere AWS-accounts. Via een centrale identiteitsprovider log je in en neem je een rol aan die specifiek rechten verleent binnen een account. Dit scheidt authenticatie van autorisatie en biedt flexibiliteit. Binnen één account kun je ook meerdere rollen gebruiken, afhankelijk van je taak.
Een voorbeeld: een SRE of Ops-engineer heeft vaak een read-only rol nodig voor inspectie in de console, terwijl geautomatiseerde processen een rol met read-write rechten vereisen. Zo blijft het beheer efficiënt én veilig. Rolaanname werkt ook over meerdere accounts heen, wat het beheer van complexe omgevingen vereenvoudigt.
Met een actieve rol bepaalt AWS wat je mag doen via policies. Deze specificeren toegestane acties en resources.
Policies en rollen worden als volgt geconfigureerd in AWS:
Bij rol-aannames moeten policies altijd aan rollen worden gekoppeld, niet aan gebruikers of groepen. Dit bevordert consistentie en veiligheid.
Een duidelijk voorbeeld van rolaanname komt naar voren in de manier waarop verschillende rollen binnen één account worden gebruikt:
Deze voorbeelden illustreren hoe rollen specifiek kunnen worden afgestemd op taken, wat zorgt voor een veilig en doelgericht toegangsbeheer.
Rolaanname is niet alleen voor gebruikers. Het vormt ook de basis voor diensten zoals Pod Identity in EKS en rechtenbeheer voor Lambda-functies. Hier nemen applicaties tijdelijke rollen aan, waardoor beveiliging en flexibiliteit worden gewaarborgd zonder vaste inloggegevens.
Bij Krane Labs passen we niet alleen IAM best practices toe, maar helpen we klanten ook om hun AWS IAM gebruik te optimaliseren door:
Belangrijk om te vermelden is dat wij bij Krane Labs via rollen toegang krijgen van onze eigen AWS-account naar de accounts van klanten die we beheren. Dit stelt ons in staat om efficiënt en veilig te werken in de omgevingen van onze klanten, zonder dat we directe toegang tot hun credentials nodig hebben, of zonder dat er extra gebruikers aangemaakt worden in het account van onze klanten. Deze aanpak is een voorbeeld van de IAM best practices die we hanteren.
Dubbele authenticatie biedt meer beveiliging, schaalbaarheid, flexibiliteit en traceerbaarheid. Het laat organisaties meerdere AWS-accounts beheren en maakt de scheiding tussen authenticatie en autorisatie duidelijk.
IAM is de kern van authenticatie en autorisatie in AWS. Door gebruik te maken van rolaanname en dubbele authenticatie kunnen organisaties hun beveiliging en flexibiliteit drastisch verbeteren. Bij Krane Labs hebben we uitgebreide ervaring met het opzetten en optimaliseren van IAM in AWS. Bij Krane Labs maken we dagelijks gebruik van rolaanname om efficiënt en veilig verschillende klanten te bedienen. Dit systeem geeft ons de flexibiliteit om probleemloos in complexe multi-accountomgevingen te werken. We ondersteunen onze klanten ook actief in het verbeteren van hun gebruik van AWS-accounts en rolwisselingen. We staan klaar om je te helpen je AWS-omgeving veilig en schaalbaar te maken.