IAM Politikasında En Az Yetki Prensibi: Adım Adım Uygulama

En az yetki prensibi (Principle of Least Privilege - PoLP), bir kullanıcı veya uygulamaya sadece işini yapması için gerekli minimum izinleri vermeyi anlamına gelir. Fazla yetki vermek, güvenlik açığı yaratır. Bir hesap ele geçirilirse saldırgan tüm sisteme erişim bulur.

Önce görevin ne olduğunu tanımla. Örneğin: "Bir web uygulaması S3'ten dosya okumalı, ancak silmemeli."

Bu görev için minimum yetkileri listele:

• s3:GetObject (dosya okuma)
• s3:ListBucket (klasör görme)

AWS Console'da veya CLI ile rol oluştur:

1aws iam create-role --role-name WebAppS3Reader --assume-role-policy-document file://trust-policy.json

trust-policy.json dosyası:

1{
2"Version": "2012-10-17",
3"Statement": [
4{
5"Effect": "Allow",
6"Principal": {
7"Service": "ec2.amazonaws.com"
8},
9"Action": "sts:AssumeRole"
10}
11]
12}

Rola minimum izinleri veren bir politika ekle:

1aws iam put-role-policy --role-name WebAppS3Reader --policy-name S3ReadOnly --policy-document file://policy.json

policy.json dosyası:

1{
2"Version": "2012-10-17",
3"Statement": [
4{
5"Effect": "Allow",
6"Action": [
7"s3:GetObject",
8"s3:ListBucket"
9],
10"Resource": [
11"arn:aws:s3:::my-app-bucket",
12"arn:aws:s3:::my-app-bucket/*"
13]
14}
15]
16}
17[/cod]
18
19## Adım 4: Kontrol Et
20
21Politika doğru mı? Test et:
22
23[kod]
24aws iam simulate-principal-policy --policy-source-arn arn:aws:iam::123456789012:role/WebAppS3Reader --action-names s3:DeleteObject s3:GetObject --resource-arns arn:aws:s3:::my-app-bucket/file.txt

Çıktı:

• s3:GetObject: Allowed
• s3:DeleteObject: Denied

Eğer bu uygulama hacklense, saldırgan sadece S3'ten okuyabilir. Silme, değiştirme veya başka hizmetlere erişim yapamaz. Hasar sınırlı kalır.

Politika yazarken * (yıldız) kullanmaktan kaçın. Her zaman spesifik kaynakları belirt. Örneğin tüm S3 yerine sadece my-app-bucket gibi.