IAM

IAM User คือบัญชีที่สร้างขึ้นสำหรับ คนหรือ service ที่ต้องการเข้าถึง AWS — ส่วน IAM Group คือกลุ่มของ Users ที่รวมกันเพื่อกำหนด permission ได้ทีเดียว

• •1 User ต่อ 1 คน (ไม่ควร share)
• •User สามารถเข้าถึง AWS ได้ 2 วิธี: Management Console (password) และ CLI / SDK (Access Key)
• •User ที่สร้างใหม่จะไม่มี permission ใดๆ เลยโดย default
• •Root user มีสิทธิ์ทุกอย่าง — ควรเปิดใช้แค่เมื่อจำเป็น และ enable MFA ทันที
• •Group มีได้แค่ Users — ไม่สามารถใส่ Group ซ้อน Group ได้ (no nested groups)
• •User 1 คน สามารถอยู่ได้หลาย Group หรือไม่อยู่ Group เลยก็ได้
• •ตัวอย่าง: กลุ่ม Developers, กลุ่ม Admins, กลุ่ม Finance

Group: Developers → Alice, Bob
Group: Admins → Carol
User: Dave → ไม่อยู่ group ไหน (ได้ permission เฉพาะที่ assign โดยตรง)

IAM Role คือชุด permission ที่ ไม่ได้ผูกกับคน แต่ผูกกับ entity ที่ต้องการใช้งาน เหมือน "บทบาท" ที่ใครก็ได้มาสวมชั่วคราว

• •ใช้สำหรับ AWS Services เช่น EC2 ที่ต้องการ access S3
• •ใช้สำหรับ Cross-account access — ให้บัญชี AWS อื่นเข้าถึงได้
• •ใช้สำหรับ Federated users เช่น login ด้วย Google / Active Directory
• •Role ใช้ไม่มี long-term credentials — ได้ temporary security credentials แทน

Policy คือ JSON document ที่กำหนดว่า อนุญาตหรือห้าม ทำอะไรกับ resource ใดบ้าง — attach กับ User, Group หรือ Role ได้

โครงสร้าง Policy JSON ประกอบด้วย: Version (เวอร์ชั่น policy language), Id (ระบุ policy — optional), และ Statement (1 หรือหลาย statement)

{
  "Version": "2012-10-17",
  "Id": "S3-Account-Permissions",
  "Statement": [
    {
      "Sid": "AllowReadObjects",
      "Effect": "Allow",
      "Principal": {
        "AWS": ["arn:aws:iam::123456789012:root"]
      },
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

MFA = Password ที่คุณรู้ + Security Device ที่คุณมี — ถึงแม้ password ถูกขโมยบัญชีก็ยังปลอดภัย เพราะต้องมี device ด้วย

Password ที่แข็งแรง = บัญชีปลอดภัยมากขึ้น — IAM ให้ตั้ง Password Policy ระดับ account ได้

• •ตั้ง minimum password length (ความยาวขั้นต่ำ)
• •บังคับประเภทตัวอักษร: uppercase, lowercase, number, non-alphanumeric (special character)
• •อนุญาตหรือบังคับให้ผู้ใช้เปลี่ยน password ของตัวเองได้ (allow users to change own password)
• •ตั้ง password expiration — บังคับเปลี่ยน password ทุกๆ กี่วัน
• •ห้ามใช้ password ซ้ำของเก่า (prevent password re-use)

มี 3 วิธีในการเข้าถึง AWS:

IAM มีเครื่องมือสำหรับตรวจสอบความปลอดภัย 2 ตัวหลัก:

• •อย่าใช้ root account ยกเว้นตอน setup บัญชี AWS ครั้งแรกเท่านั้น
• •ห้าม share root account — สร้าง IAM user แยกต่างหาก 1 คนต่อบัญชีจริง
• •เปิด MFA สำหรับ root account และ user ทุกคนที่สำคัญ
• •Assign permission ผ่าน Group แทนการ assign ให้ User โดยตรง
• •ใช้ Role สำหรับ AWS services แทนการเก็บ Access Key ใน code
• •ตั้ง strong password policy และบังคับการเปลี่ยน password ตามรอบ (rotation)
• •Review permission เป็นประจำด้วย Credentials Report & Access Advisor
• •ห้าม embed Access Key ลงใน application code โดยเด็ดขาด
• •Rotate Access Keys อย่างสม่ำเสมอ

AWS ใช้โมเดล Shared Responsibility — AWS รับผิดชอบส่วนหนึ่ง ลูกค้ารับผิดชอบอีกส่วนหนึ่ง

• •AWS: infrastructure, IAM service availability, global compliance
• •You: manage Users / Groups / Roles / Policies
• •You: enable MFA บนทุก account
• •You: assign permission ตาม Least Privilege
• •You: monitor user activity (CloudTrail) และ review credentials ประจำ
• •You: rotate access keys และตั้ง password policy