Chúng tôi có tài khoản AWS cho nhà phát triển, dàn dựng, và sản xuất. Chúng tôi sử dụng AWS SSO qua Okta và xác định các nhóm như "Nhà phát triển" và "Hỗ trợ" trong Okta.
Nhóm nhà phát triển phải có quyền truy cập rộng rãi vào AWS của chúng tôi nhà phát triển tài khoản, nhưng quyền truy cập hạn chế trong dàn dựng và sản xuất. Nhóm hỗ trợ cũng phải có quyền truy cập AWS, nhưng cũng có các quyền khác nhau theo tài khoản.
Làm cách nào tôi có thể cho phép các thành viên nhóm đăng nhập, sau đó có các quyền phù hợp tùy thuộc vào tài khoản họ truy cập?
Chi tiết:
AWS SSO Bộ quyền được liên kết với Trang bắt đầu AWS. Điều này liệt kê các tài khoản mà người dùng có bất kỳ quyền truy cập nào và hiển thị một hoặc nhiều nhóm quyền mà họ có thể sử dụng. Bộ quyền dường như được định hướng xung quanh việc cấp cho người dùng khả năng đăng nhập vào một số tài khoản có cùng quyền truy cập -- tất cả quản trị viên có thể có AWSAdministratorAccess và những người khác có thể có ReadOnlyAccess chẳng hạn.
Tuy nhiên, trường hợp sử dụng của tôi thì khác: Tôi muốn tạo các quyền truy cập khác nhau tùy thuộc vào tài khoản mà một người dùng nhất định đăng nhập.
tôi nghĩ nó là khả thi để làm điều này với các bộ quyền - ví dụ: nhà phát triển-dev, lập trình viên, nhà phát triển-prod. Nhưng nó có vẻ lộn xộn với tôi. Ngoài ra, trên thực tế, chúng tôi sẽ có một số nhóm (nhóm nhà phát triển A, B, C), tất cả đều cần quyền truy cập khác nhau, do đó, có một sự bùng nổ về nhóm quyền và tài khoản.
Tôi muốn nhà phát triển đăng nhập với tư cách là "Nhà phát triển" và tùy thuộc vào tài khoản mà họ đăng nhập để có quyền phù hợp. tôi có thể làm phần lớn của điều này bằng cách sử dụng Vai trò IAM tiêu chuẩn. Vai trò "nhà phát triển" trong sản xuất có thể là ReadOnlyTruy cập, trong Staging nó có thể có một số quyền bổ sung và trong dev có thể có Quyền truy cập người dùng. Chúng tôi đã quản lý những thứ này bằng cách sử dụng Terraform.
Tôi thích trang đăng nhập nhiều tài khoản SSO. Tôi cũng thích khả năng chuyển đổi vai trò (và tài khoản) từ Bảng điều khiển AWS. Có cách tiếp cận đơn giản nào mà tôi đang hiểu nhầm sẽ cho phép tôi làm cả hai không?
