Clés d'accès multiples pour le même utilisateur

Question

J'ai découvert qu'un utilisateur particulier est activé pour l'accès par programme dans le compte AWS de ma société. J'ai été chargé de recréer une clé d'accès et un jeton de sécurité pour un de mes collègues, bien qu'il en ait déjà un. Je veux désactiver l'original. Je pense que du point de vue de la sécurité, il est préférable d'avoir une seule clé d'accès/jeton plutôt que des multiples.

Quelqu'un peut-il me dire si c'est un bon choix à avoir? Un de mes collègues m'a demandé pourquoi je voulais faire cela et quand je lui ai dit mon raisonnement, je ne pense pas qu'il était un 100% convaincu que mon raisonnement était bon. Pouvez-vous s'il vous plaît me dire s'il y a des avantages à avoir plusieurs clés d'accès/clés secrètes pour le même utilisateur? Parce que je ne peux pas penser à tout. Aussi, pouvez-vous s'il vous plaît fournir n'importe quel type d'articles de soutien qui couvriraient cela?

Answer 1

Sous AWS IAM Access Keys best practices Je crois que ces sections appliquent:

• Utilisez les touches d'accès différentes pour différentes applications. Pour ce faire, vous pouvez isoler les autorisations et révoquer les clés d'accès pour des applications individuelles si une clé d'accès est exposée. Disposer de clés d'accès distinctes pour différentes applications génère également des entrées distinctes dans les fichiers journaux AWS CloudTrail, ce qui vous permet de déterminer plus facilement quelle application a effectué des actions spécifiques.
• Tournez les touches d'accès périodiquement. Modifiez les clés d'accès régulièrement. Pour plus de détails, voir Rotation des clés d'accès (AWS CLI, Outils pour Windows PowerShell et API AWS) dans le Guide de l'utilisateur IAM et Rotation des clés d'accès pour les utilisateurs IAM sur le blogue de sécurité AWS.

Le premier élément donne clairement une raison d'utiliser plusieurs clés d'accès avec un seul compte IAM. Je pense que l'utilisation de plusieurs clés rendrait également le second élément, la rotation des clés plus facile. Vous pouvez créer un deuxième ensemble de clés d'accès, basculer vos applications, vérifier que l'ensemble précédent n'est plus utilisé pour accéder à l'API AWS, puis supprimer l'ancien ensemble.

Answer 2

Je n'ai pas de document recommandant une seule clé d'accès par utilisateur, mais AWS recommande de faire pivoter les clés d'accès régulièrement. Voir Managing Access Keys for IAM Users, la section intitulée "Rotation des touches d'accès".

Alors vous devriez, comme la meilleure pratique, procédez comme suit à intervalles réguliers (tous les 30, 60, 90 jours, etc.)

1. Créer une deuxième clé d'accès pour l'utilisateur
2. Où que vous utilisez la première clé d'accès, remplacez-la par la seconde
3. Patientez quelques instants et confirmez que la première touche d'accès n'est pas utilisée.
4. Après confirmation, désactiver ou supprimer la première clé d'accès

Le système clé deux accès est de permettre cette rotation de se produire tout en gardant le temps où une clé d'accès est désactivé/supprimé, mais toujours utilisé pour un minimum. J'ai été un peu dans d'autres outils où vous devez désactiver l'ancienne clé lorsque vous générez une nouvelle clé. Parce que parfois, il faut du temps pour utiliser les nouvelles clés après leur génération.

Si un utilisateur a besoin de plus d'une clé d'accès, il doit alors y avoir une question sur la raison pour laquelle il doit être plutôt que multiple.Il y a des avantages à l'utilisation de plusieurs utilisateurs:

1. Les autorisations peuvent être plus granulaire
2. Si une clé se fuite, il y a moins d'endroits où il doit être remplacé
3. Vous avez une meilleure piste de vérification de ce les outils agissent sur votre compte, et quand

Pour cette raison, je recommande de n'avoir qu'une seule clé d'accès "sur le terrain".

Je pense, vraiment, si quelqu'un veut vraiment utiliser 2 clés pour un seul utilisateur, ils sont juste paresseux.

Je crée des utilisateurs et des rôles IAM individuels pour chaque outil à accéder. Je ne les réutilise jamais.

Mise à jour

AWS recommande la rotation des clés d'accès à un horaire régulier.

Source: http://docs.aws.amazon.com/general/latest/gr/aws-access-keys-best-practices.html

De plus, leur "howto" sur le processus de rotation de la clé utilise les touches d'accès attribués à un utilisateur IAM:

Source: https://aws.amazon.com/blogs/security/how-to-rotate-access-keys-for-iam-users/

Ergo, cible pour une clé d'accès "en cours d'utilisation" par utilisateur IAM à un moment donné.