理解最小权限原则（Understanding Principle of Least Privilage）

关注公众号：AWS爱好者（iloveaws）
文 | 沉默恶魔（禁止转载，转载请先经过作者同意）
网站：www.iloveaws.cn

【 Domain 2-新解决方案设计】——-理解最小权限原则（Understanding Principle of Least Privilage）

Hello大家好，欢迎回来，我们今天的课程内容是 最小权限原则，对于解决方案架构师或者安全工程师来讲，在分配访问权限时这是需要遵循的一个非常重要的原则。

让我们来看下什么是最小权限原则。

根据定义，最小权限是指每个程序和系统用户都应该具有完成任务所必需的最小权限集合。因此，对于系统管理员而言，一个用户应该只能访问履行他的相关职责所需 访问的数据和硬件。

所以，假设一个开发人员如果希望访问特定的日志文件，那么他的权限就应该只具有访问这个特定日志文件的权限，他不应该能够做其他的操作，去获得未经授权的额外信息。

赋予每一个合法动作最小的权限，就是为了保护数据以及功能，避免受到错误或者恶意行为的破坏。

然而，在大部分组织实际的工作中，真正的普遍情况是，当一个开发人员或者其他相关人员请求开通访问权限时，系统管理员或者解决方案架构师都是盲目的提供了访问权限且没有限制，这样就导致了在组织内部有很多的漏洞，极有可能会造成重大安全风险。

接下来我们看一个简单的案例。

您的组织来了一个新的实习生，名为张三，岗位是实习系统管理员。组织的基础设置托管在AWS，您需要让这个实习生通过访问查看AWS管理控制台尽快熟悉岗位工作内容，要问的问题是，您会给他分配哪种类型的访问权限？有三个选项，

第一个是你和他共享AWS的ROOT凭证，这种方式可以肯定能满足需求；
第二个选项，给他建立一个新的张三用户，并分配完全访问权限，如果比较第二个选项和第一个选项，你会发现第二个选项好一些，因为我们在设计用户权限的时候，尽量不要共享凭证，也就是说不要和其他用户使用一套用户登陆凭证，因为这样当需要的时候很难对具体使用者的操作和行为进行追踪，因为大家用户公用嘛。
第三个选项，建立一个新的张三用户，并分配只读访问权限，对于这个案例，很显然这个选项就足够了满足需求了。
所以您要了解，每当有人像您请求访问权限时，您只需要提供给他匹配他需求的权限。

我在给大家举个例子，我之前就职过的一个组织，这个组织对于系统安全方面要求非常高。当研发人员有访问指定服务器上的文件需求时， 首先必须写明原因并经过经理的审批，经理会评估研发人员的访问请求是否有必要，并询问想要访问文件具体的服务器、路径、文件名等信息，以及需要运行的命令等。

比如，开发人员需要说明他需要访问哪台服务器上的哪个日志文件，比如某一个IP的服务器上abc.log文件进行排查问题，需要使用tail、less两个命令，然后审批通过后，系统管理员只会分配给他们访问那台特定服务器的特定文件，以及只分配使用tail、less这两个命令的权限，这就是分配最小权限的一个案例。

好的，以上就是我们的今天的视频课程内容，今天介绍了最小权限原则，我们在后面用户策略等课程中会更详细的讨论这部分内容。

希望此系列教程能为您通过 AWS解决方案架构师认证 Professional 认证考试带来帮助，如您有任何疑问

关注公众号：AWS爱好者（iloveaws）
文 | 沉默恶魔（禁止转载，转载请先经过作者同意）
网站：www.iloveaws.cn