IAM là gì 

AWS Identity and Access Management (IAM) cho phép bạn quản lý quyền truy cập vào các dịch vụ và tài nguyên AWS một cách an toàn. Sử dụng IAM, bạn có thể tạo và quản lý người dùng, nhóm người dùng trong AWS, đồng thời sử dụng các quyền để cho phép hoặc từ chối quyền truy cập của họ vào tài nguyên AWS.

IAM là một tính năng của tài khoản AWS được cung cấp miễn phí. Chỉ bị tính phí khi người dùng của bạn sử dụng các dịch vụ AWS khác.

Các tính năng của IAM

IAM cung cấp cho bạn các tính năng sau:

• Quyền truy cập được chia sẻ vào tài khoản AWS 

Bạn có thể cấp cho người khác quyền quản lý và sử dụng tài nguyên trong tài khoản AWS của mình mà không cần phải chia sẻ mật khẩu hoặc khóa truy cập.

• Quyền chi tiết

Bạn có thể cấp các quyền khác nhau cho những người dùng khác nhau đối với các tài nguyên khác nhau. Ví dụ: bạn có thể cho phép một số người dùng truy cập đầy đủ vào Amazon Elastic Compute Cloud (Amazon EC2), Amazon S3 và các dịch vụ AWS khác. Đối với những người dùng khác, bạn có thể chỉ cho phép quyền truy cập chỉ đọc vào một số Group S3, hoặc quyền chỉ quản lý một số phiên bản EC2 hoặc truy cập thông tin thanh toán của bạn.

• Quyền truy cập an toàn vào tài nguyên AWS cho các ứng dụng chạy trên Amazon EC2

Bạn có thể sử dụng các tính năng IAM để cung cấp thông tin đăng nhập một cách an toàn cho các ứng dụng chạy trên các phiên bản EC2. Các thông tin xác thực này cung cấp quyền cho ứng dụng của bạn để truy cập các tài nguyên AWS khác. Ví dụ bao gồm nhóm S3 và bảng DynamoDB.

• Xác thực đa yếu tố (MFA)

Bạn có thể thêm xác thực hai yếu tố vào tài khoản của mình và cho từng người dùng để tăng cường bảo mật. Với MFA, bạn hoặc người dùng của bạn không chỉ phải cung cấp mật khẩu hoặc khóa truy cập để hoạt động mà còn phải cung cấp mã từ thiết bị đã được định cấu hình.

• Liên kết danh tính

Bạn có thể cho phép những người dùng đã có mật khẩu ở nơi khác  ví dụ: trong mạng công ty của bạn hoặc với nhà cung cấp danh tính internet có quyền truy cập tạm thời vào tài khoản AWS của bạn.

• Thông tin nhận dạng để đảm bảo

Nếu bạn sử dụng AWS CloudTrail, bạn nhận được bản ghi nhật ký bao gồm thông tin về những người đã yêu cầu tài nguyên trong tài khoản của bạn. Thông tin đó dựa trên danh tính IAM.

• Tuân thủ PCI DSS

IAM hỗ trợ việc xử lý, lưu trữ và truyền dữ liệu thẻ tín dụng của người bán hoặc nhà cung cấp dịch vụ và đã được xác nhận là tuân thủ theo tiêu chuẩn Bảo mật Dữ liệu của Thẻ Thanh Toán (PCI DSS).

• Tích hợp với nhiều dịch vụ AWS

Để biết danh sách các dịch vụ AWS hoạt động với IAM, xem thêm tại link.

• Tính nhất quán

IAM đạt được tính khả dụng cao bằng cách sao chép dữ liệu trên nhiều máy chủ trong các trung tâm dữ liệu của Amazon trên toàn thế giới. Nếu yêu cầu thay đổi một số dữ liệu thành công, thay đổi được cam kết và lưu trữ an toàn. Tuy nhiên, thay đổi phải được nhân rộng trên IAM, có thể mất một chút thời gian. Những thay đổi đó bao gồm việc tạo hoặc cập nhật người dùng, nhóm, vai trò hoặc chính sách.

• Sử dụng miễn phí

AWS Identity and Access Management (IAM) và AWS Security Token Service (AWS STS) là các tính năng của tài khoản AWS của bạn được cung cấp miễn phí. Bạn chỉ bị tính phí khi truy cập các dịch vụ AWS khác bằng người dùng IAM

AWS IAM cho phép bạn:

• Quản lý người dùng IAM và quyền truy cập của họ: Bạn có thể tạo người dùng trong IAM, chỉ định cho họ bằng chứng xác thực bảo mật cá nhân (nói cách khác, khóa truy cập, mật khẩu và thiết bị xác thực đa yếu tố ) hoặc yêu cầu thông tin xác thực bảo mật tạm thời để cung cấp cho người dùng quyền truy cập vào các dịch vụ và tài nguyên trên AWS. Bạn có thể quản lý các quyền để kiểm soát các hoạt động mà người dùng có thể thực hiện.
• Quản lý các role IAM và các quyền của chúng: Bạn có thể tạo các role trong IAM và quản lý các quyền để kiểm soát các hoạt động nào có thể được thực hiện bởi thực thể hoặc dịch vụ AWS. Bạn cũng có thể xác định thực thể nào được phép đảm nhận role. Ngoài ra, bạn có thể sử dụng các role được liên kết với dịch vụ để ủy quyền cho các dịch vụ AWS tạo và quản lý các tài nguyên AWS thay mặt bạn.
• Quản lý người dùng được liên kết và quyền của họ: Bạn có thể bật liên kết danh tính để cho phép các danh tính hiện có (người dùng, nhóm và vai trò) trong doanh nghiệp của bạn truy cập Bảng điều khiển quản lý AWS, gọi API AWS và truy cập tài nguyên mà không cần tạo người dùng IAM cho mỗi danh tính. Sử dụng bất kỳ giải pháp quản lý danh tính nào hỗ trợ SAML 2.0 hoặc sử dụng một trong các mẫu liên kết của chúng tôi ( AWS Console SSO hoặc liên kết API ).

Các trường hợp sử dụng

• Kiểm soát truy cập chi tiết vào tài nguyên AWS

IAM cho phép người dùng của bạn để kiểm soát truy cập đến các API dịch vụ AWS và các service cụ thể. IAM cũng cho phép bạn thêm các điều kiện cụ thể như thời gian trong ngày để kiểm soát cách người dùng có thể sử dụng AWS, địa chỉ IP gốc của họ, liệu họ có đang sử dụng SSL hay họ đã xác thực bằng thiết bị xác thực đa yếu tố .

• Xác thực đa yếu tố cho người dùng có đặc quyền cao

Bảo vệ môi trường AWS của bạn bằng cách sử dụng AWS MFA , một tính năng bảo mật xác thực 2 lớp có sẵn miễn phí giúp tăng thông tin đăng nhập tên người dùng và mật khẩu. MFA yêu cầu người dùng chứng minh quyền sở hữu vật lý mã thông báo MFA phần cứng hoặc thiết bị di động hỗ trợ MFA bằng cách cung cấp mã MFA hợp lệ.

• Phân tích quyền truy cập

IAM giúp bạn phân tích quyền truy cập trên môi trường AWS của bạn. Các nhóm bảo mật và quản trị viên của bạn có thể nhanh chóng xác nhận rằng các chính sách của bạn chỉ cung cấp quyền truy cập công khai và nhiều tài khoản dự kiến ​​vào tài nguyên của bạn. Bạn cũng có thể dễ dàng xác định và tinh chỉnh các chính sách của mình để chỉ cho phép truy cập vào các dịch vụ đang được sử dụng. Điều này giúp bạn tuân thủ tốt hơn nguyên tắc đặc quyền ít nhất.

• Tích hợp với các dịch vụ của công ty bạn

IAM có thể được sử dụng để cấp cho nhân viên và ứng dụng của bạn quyền truy cập  vào bảng điều khiển quản lý AWS và API dịch vụ AWS, sử dụng các hệ thống nhận dạng hiện có của bạn, chẳng hạn như Microsoft Active Directory. Bạn có thể sử dụng bất kỳ giải pháp quản lý danh tính nào hỗ trợ SAML 2.0 hoặc sử dụng một trong các mẫu liên kết của chúng tôi ( AWS Console SSO hoặc liên kết API ).