Consoleme:AWS权限和访问的中央控制平面

2021-03-11 23:50:35

在AWS RE:发明2020中,我们开设了一种用于管理多个帐户AWS权限和访问的新工具。我们非常兴奋地带给你合作(发音:Kuhn-Soul-Mee)及其Cli效用,哭泣(双关语)!

云中的成长已爆炸,现在比以往任何时候都更容易创建基础设施。超越软件工程团队的团体正站立自己的系统和自动化。这是一个惊人的运动,为产品创新提供了许多机会,但管理这一增长引入了确保适当的安全认证和amp的支持负担;授权,云卫生和可扩展过程。

在许多公司,管理云卫生和安全通常属于基础设施或安全团队。它们是云许可和访问的一站式商店。随着公司的规模,这种集中式和手动管理方法跌倒,对操作团队及其用户来说变得不切实际。

这发生在Netflix上。我们的云基础架构安全团队是AWS权限的仲裁器,处理Netflix员工的许多请求,用于云权限和访问。我们帮助Netflix内部云用户的历史方法看起来像这样:

我们澄清用户需求,为什么。对风险进行了分析,我们提出了更好的方法,如果适用。

我们使用适用的IAM角色登录AWS帐户并操纵该政策

如果请求涉及跨帐户资源,我们会退出AWS帐户,以资源登录帐户,并操作资源策略

在我们解析所有用户的问题之前,我们扮演一个权限的游戏(步骤3-7)

在Netflix,我们是坚定的信徒在赋予员工,并提供低摩擦系统,让用户以安全的方式获得工作。通过将诸如最低权限的最佳实践集成到IAM管道中,我们将安全团队从云的网守转换为云开发加速器。

Consoleme是AWS的自助式工具,可提供跨多个帐户管理权限和访问的更简单的方法,同时鼓励最少权限权限。用户可以使用以下功能:

在我们的文档中查看演示,通过登录我们的演示网站(需要Google帐户)来提供Consoleme测试骑行,然后使用自己的帐户在本地尝试。

Consoleme允许用户通过使用临时IAM角色凭据访问AWS控制台。在用户身份验证之后,Consoleme确定其授权根据其标识和组成员资格访问哪种角色。

Consoleme生成授权映射,用于确定允许哪些用户/组访问给定的IAM角色。可以通过角色标签生成此映射,该角色标签指示允许哪些用户/组检索角色的凭据,Consoleme的动态配置或通过组织的自定义逻辑。 (文件)。

用户有许多方法可以登录AWS控制台。最简单的方法是通过浏览到Consoleme并通过Web界面单击所需的角色。它们还可以使用URL参数登录特定角色,访问特定区域,AWS服务或AWS资源,而无需在Consoleme的Web界面周围导航。

在Netflix,我们已经看到了用户将Consoleme与Alfred,Chat Bots和自定义浏览器搜索引擎等生产力工具集成。

哭泣是Consoleme的CLI实用程序。它从Consoleme检索临时(1小时)AWS凭据,并提供了许多不同的方式来在本地服务。 Weev可以自动刷新凭据。这可确保长期寿命的AWS操作成功(如S3:GetObject Action,需要超过一个小时)。 Weev还可以透明地执行嵌套的假设呼叫,并为本地用户提供假定的角色凭据。 AWS CLI和AWS SDKS通过默认凭据提供程序链可发现凭据。

用户不再需要担心IAM JSON权限语法。他们可以简单地搜索其角色并选择所需的权限。 Consoleme将生成IAM策略,如果需要,如果需要,适用于请求的跨帐户资源策略。如果他们希望,用户可以修改生成的策略,然后提交批准。

自动批准低风险许可要求,由Consoleme配置和由Zelkova提供支持

Consoleme的自助服务向导减少了我们在维修访问请求中的响应时间,在我们的IAM策略中提供了更一致性,并为用户简化了AWS权限。

Consoleme为流行的资源类型提供了本机策略编辑器。管理员使用它来管理常用资源类型的权限和标记。最终用户可以操纵资源并提交策略更改请求。

今天,Consoleme支持少量流行的资源类型。我们希望您的帮助添加对新资源类型的支持。尚未与我们联系,或者更好地联系,创建一个问题或在Github上提交拉动请求。

Consoleme提供了从AWS Config中同步的最关键的云资源的集中式,可译的视图。它允许用户在组织内的所有帐户中快速查找AWS资源。

对于Consoleme没有本机策略编辑器的资源类型,Consoleme提供了将用户登录到AWS控制台的链接并将其重定向到适当的资源。

Consoleme使云管理员可以轻松地在多个AWS帐户中创建或克隆新的IAM角色。我们创建了这个功能,因为我们发现自己在AWS控制台中用手复制和粘贴各种策略。

克隆功能可以将以下一个或多个复制到新角色:

在Netflix,我们使用IAM角色而不是IAM用户,因为角色不允许长期静态凭据。 IAM用户凭据更容易受到意外曝光,难以旋转,并且通常更难确保。

此外,我们更倾向于为我们的IAM角色使用内联策略而不是托管策略,因为它更容易强制执行最少的权限,因为内联策略特定于IAM角色,而托管策略可以附加到多个角色。难以删除共享托管策略的权限,因为某些角色可能是源自策略的权限而不是其他角色。

我们使用Consoleme与Repokid一起删除未使用的权限,然后使其尽可能无痛地请求它们。

Conoleme在GitHub上提供(给我们一个★!)。您可以使用Docker尝试Consoleme。我们的文档中提供了一个快速入门指南。

Consoleme在准备部署时可以引用示例Terraform文件。

Consoleme还有很长的路要走,我们可以使用你的帮助。 Consoleme和Weep在Netflix的美国伟大工作,我们希望他们也为其他人工作。开始的最佳方法是阅读文档和代码,安装Consoleme,并查看我们的开放问题,以查看需要做些什么工作,或者自己提交问题。

不是编码器或IAM专家?没问题。我们有很多文档可以使用校对和澄清,使其更加平衡。

此外,我们正在招聘!如果您对这些问题感兴趣,请查看https://jobs.netflix.com/teams/security,并应用。

在过去的几年里,我们对测试的合作进行了战斗,并增加了在Netflix的需求中扩展的功能。我们现在在公开赛中带来了Consoleme。随着公司通过合作社,我们希望继续越来越多地解决大型云许可管理的独特挑战,我们的许多人面临。

我们有很多计划未来合作。这些目标中的许多目标都是雄心勃勃的,而且没有你的支持,我们不能这样做。如果其中任何一个激励您,请在我们的Discord频道上与我们联系,或在Github上提交功能增强功能。

AWS权限可能难以使用不透明访问拒绝错误调试。我们的目标是简化和自动化调试过程。这可能包括从以下来源中公开和连接信息:

理想情况下,用户将能够询问Consolem IAM角色是否可以对给定资源采取特定操作。如果没有,Consoleme将为有关防止行动的任何政策提供解释和背景。

我们计划添加支持团队角色创建和管理的功能。团队角色是整个团队可以访问的IAM角色。这些角色可以跨多个帐户传播,并且可以对每个帐户具有不同的权限。简化的管理界面将使您可以轻松地创建,请求或修改团队角色。

Consoleme仅支持资源类型子集的跨帐户策略生成。我们希望通过增加许可边界和服务控制策略,将来扩展这一点,并尽可能准确地制定生成的政策。

Cloud Administrators应该可以选择不再管理和查看所有策略请求。如果CONSOLEM对资源所有者有上下文,并且能够确定策略在一组定义的安全限制内,则应将策略请求路由到受策略影响的资源的所有者。

有时,我们需要回滚策略更改,即打破IAM角色或防止新功能工作。 Consoleme应该允许用户恢复旧快照的角色。

我们想特别感谢Srinath Kuruvadi,Jay Dhulia,Netflix的云基础设施安全团队,Netflix的Infosec团队以及我们的AWS合作伙伴。