Berechtigungen für Amazon DynamoDB verwalten
Wer als Admin mehrere Amazon-DynamoDB-Tabellen für verschiedene Geschäftsbereiche verwaltet, kennt das Problem: Mit steigender Anzahl von Entwicklungsteams gestaltet sich das Setzen der Zugriffsberechtigungen immer komplexer. Für jede neue Tabelle oder jeden neuen Mitarbeiter müssen individuelle Richtlinien für das Identity-and-Access-Management erstellt und gepflegt werden. Gewusst wie, lässt sich die Zugriffsverwaltung aber deutlich vereinfachen.
Die Verwaltung von Zugriffsrechten für DynamoDB-Tabellen stellt in wachsenden IT-Umgebungen eine echte Herausforderung dar. Hier bietet AWS mit der "Attribute-Based Access Control" (ABAC) ein skalierbares Hilfsmittel. Statt mühsam für jeden Benutzer oder jede Tabelle separate IAM-Richtlinien zu pflegen, lassen sich einfach Tags als Grundlage für Berechtigungen nutzen. Administratoren können Tags flexibel an IAM-Rollen und DynamoDB-Tabellen anheften.
Die Zugriffskontrolle funktioniert dann über smarte Richtlinien mit tagbasierten Bedingungen, die automatisch prüfen, ob das Tagging mit dem entsprechenden Ressourcen-Tag übereinstimmt. Mit ABAC in DynamoDB sinkt der Verwaltungsaufwand für Zugriffsrichtlinien somit deutlich. Sobald die IAM-Identität von neuen Teammitgliedern mit Tags versehen ist, erhalten sie automatisch die entsprechenden Berechtigungen – ohne Richtlinien anpassen zu müssen.
Auch bei neuen Tabellen genügen die richtigen Tags und die Zugriffsrechte greifen sofort. Administratoren können die Tags direkt mit den Attributen aus dem jeweiligen Unternehmensverzeichnis in Einklang bringen, wodurch sich AWS-Richtlinien nahtlos in die Organisationsstruktur einfügen lassen. Das Vorgehen für die Nutzung von Tags sieht wie folgt aus:
- Legen Sie fest, welche Tags für Ihre IAM-Rollen und DynamoDB-Ressourcen Verwendung finden sollen.
- Weisen Sie allen IAM-Rollen die definierten Tags zu. Dies erfolgt über die IAM-Konsole im Bereich "Tags" einer Rolle.
- Versehen Sie Ihre DynamoDB-Tabellenmit den für sie bestimmten Tags. Sie werden automatisch an die Indizes der Tabellen vererbt.
- Erstellen Sie eine Richtlinie, die den Zugriff basierend auf den übereinstimmenden Tags zwischen IAM-Principals und Ressourcen steuert.
- Wenden Sie die Richtlinie auf die DynamoDB-Tabellen an. Die Richtlinie erlaubt dann beispielsweise allen Benutzern mit dem Tag "environment=Lightning" bestimmte Aktionen auf Tabellen mit demselben Tag.
- Überprüfen Sie die Zugriffssteuerung durch Tests mit verschiedenen IAM-Rollen und deren Zugriff auf einzelne Tabellen.
- Nutzen Sie AWS CloudTrail, um alle Aktionen zu überwachen und nachzuverfolgen, welche Identitäten welche Aktionen durchgeführt haben.
Mit ABAC wird die Zugriffskontrolle in dynamischen Cloudumgebungen wie Amazon DynamoDB deutlich effizienter und skalierbarer. Statt komplexer Einzelrichtlinien genügt künftig eine saubere Tag-Struktur – das spart Zeit, minimiert Fehlerquellen und fügt sich flexibel in bestehende Unternehmensprozesse ein.