Bezpieczeństwo 
w chmurze z AWS 

Każda firma funkcjonuje w oparciu o wyraźnie wyodrębnione działy, takie jak IT, marketing, HR czy finanse. Ich zadania i odpowiedzialności znacząco się różnią, dlatego nie powinny korzystać z tych samych zasobów, ani posiadać identycznych uprawnień. Podobny podział należy zachować również w środowisku chmurowym. Brak jasnego rozgraniczenia na role może prowadzić do niekontrolowanego dostępu i zagrożeń bezpieczeństwa. 

Pozwala to na logiczne grupowanie kont i zasobów zgodnie z organizacyjnym układem firmy. Jednak samo pogrupowanie nie rozwiązuje problemu właściwego ograniczenia kompetencji — przypisanie odpowiednich uprawnień wymaga zastosowania dodatkowych mechanizmów. Jednym z nich są Service Control Policies (SCP), które pozwalają na precyzyjne definiowanie ograniczeń dostępu na poziomie całej organizacji lub wybranych jednostek.

SCP są jednym z typów polityk dostępnych w AWS Organizations, które działają jak niewidzialna warstwa bezpieczeństwa dla infrastruktury chmurowej. W przeciwieństwie do znanych polityk IAM, które nadają uprawnienia użytkownikom oraz rolom w obrębie wybranego konta AWS, Service Control Policies ograniczają uprawnienia na wyższym poziomie. Określają one maksymalny zakres dostępu dla kont, poszczególnych jednostek organizacyjnych (OU), lub całej organizacji AWS. Ponadto, SCP mają wyższy priorytet niż polityki IAM, co oznacza, że mogą (i będą) one blokować operacje, nawet jeśli IAM na nie zezwala. 

Wyobraźmy sobie, że nasz zespół deweloperski posiada rolę IAM, która zezwala na przeglądanie, uruchamianie, zatrzymywanie i usuwanie instancji EC2. To typowy scenariusz, gdy programiści potrzebują swobody w zarządzaniu swoim środowiskiem developerskim. 

Jednak w naszej organizacji AWS obowiązuje polityka SCP, która stanowi absolutny zakaz usuwania jakichkolwiek instancji EC2, aby zapobiec utracie potencjalnie krytycznych zasobów. 

Gdy deweloper zaloguje się do konsoli AWS i spróbuje usunąć instancję, mimo że jego rola IAM wyraźnie na to zezwala, system zablokuje tę operację i zwróci komunikat informujący o braku uprawnień. To właśnie potęga SCP - są one ostatecznym filtrem bezpieczeństwa, który nadpisuje nawet najbardziej liberalne uprawnienia użytkowników. 

Service Control Policies to nie tylko narzędzie do ograniczania uprawnień, lecz potężny mechanizm umożliwiający świadome i bezpieczne zarządzanie środowiskiem chmurowym w całej organizacji AWS. Odpowiednio napisane i umieszczone polityki przynoszą szereg korzyści – od poprawy bezpieczeństwa, przez kontrolę kosztów, aż po zapewnienie zgodności z wymaganiami regulacyjnymi. SCP pomagają wdrażać dobre praktyki w sposób spójny i przewidywalny, a co za tym idzie – stanowią fundament dobrze zarządzanej przestrzeni chmurowej, niezależnie od skali czy złożoności środowiska. 

Aby móc korzystać z Service Control Policies, należy najpierw spełnić kilka podstawowych wymagań: 

1. Aktywna organizacja AWS utworzona w ramach AWS Organizations, 
2. Organizacja musi działać w trybie pełnej funkcjonalności,
3. Funkcja Service Control Policies musi być włączona w ustawieniach organizacji. 

^{Fig 1. Widok ustawień organizacji w konsoli AWS Organizations} 

Po spełnieniu tych warunków można zacząć projektować i przypisywać polityki SCP do jednostek organizacyjnych (OU) lub kont członkowskich. 

Choć Service Control Policies zapewniają dużą elastyczność w definiowaniu dostępu w ramach AWS Organizations, ich możliwości są ograniczone przez kilka sztywnych limitów. Warto uwzględnić je już na etapie projektowania struktury organizacyjnej oraz planowania polityk, ponieważ mogą bezpośrednio wpłynąć na skalowalność środowiska i sposób zarządzania uprawnieniami.

Ograniczenia te nie powinny stanowić problemu, o ile struktura organizacji i polityki są starannie zaplanowane od samego początku. Dobre przygotowanie pozwala efektywnie zarządzać dostępem i utrzymać elastyczność nawet w rozbudowanych środowiskach. 

 Mechanizm dziedziczenia SCP 

Service Control Policies działają w oparciu o mechanizm dziedziczenia. W praktyce oznacza to, że polityki przypisane do wyższych poziomów w hierarchii organizacji mają wpływ na wszystkie podrzędne jednostki i konta. Ostateczny zestaw uprawnień na koncie to wynik zsumowania wszystkich polityk przypisanych na ścieżce od organizacji głównej, przez jednostki organizacyjne, aż do konkretnego konta. Oznacza to, że nawet jeśli polityka na poziomie konta coś zezwala, ale wyższy poziom tego nie dopuszcza, operacja i tak zostanie zablokowana. Skuteczne wykorzystanie dziedziczenia pozwala unikać powielania tych samych polityk na różnych poziomach organizacji, co zwiększa efektywność zarządzania i sprawia, że wymienione wcześniej ograniczenia są mniej uciążliwe, nawet w rozbudowanych środowiskach. 

Projektując SCP, można przyjąć jedno z dwóch głównych podejść – każde z nich opiera się na innej strategii i pociąga za sobą inne konsekwencje:

^{Tab 1: porównanie wdrażania SCP w organizacji według wybranych kryteriów}

Podejście z pełnym dostępem i stopniowym ograniczaniem jest prostsze do wdrożenia i zmniejsza ryzyko przerw w działaniu, natomiast model z brakiem dostępu i stopniowym nadawaniem uprawnień zapewnia większą kontrolę i bezpieczeństwo, choć wymaga dokładniejszego planowania i lepszego zrozumienia potrzeb organizacji.  

Ostateczny wybór zależy od doświadczenia zespołu oraz tego, czy ważniejsza jest elastyczność, czy ścisłe przestrzeganie zasad bezpieczeństwa.

Service Control Policies to fundament bezpieczeństwa i zarządzania dostępem w AWS. Bez nich brak kontroli na poziomie całej organizacji prowadzi do incydentów bezpieczeństwa, wzrostu kosztów oraz ryzyka niespełnienia wymogów compliance. Centralne zarządzanie politykami za pomocą SCP pozwala zachować pełną kontrolę nad środowiskiem i minimalizuje ryzyko nieautoryzowanych działań. To kluczowe narzędzie do ochrony organizacji przed konsekwencjami niekontrolowanego dostępu oraz do utrzymania porządku i bezpieczeństwa.