☁️ AWS Identity and Access Management (IAM) – Bảo mật bắt đầu từ quyền truy cập

[ThaoHoa]

☁️ AWS Identity and Access Management (IAM) – Bảo mật bắt đầu từ quyền truy cập
Trong hệ thống AWS, bảo mật không chỉ là tường lửa hay mã hóa dữ liệu – mà bắt đầu từ việc ai được phép làm gì trong tài khoản của bạn.
Đó chính là lý do IAM (Identity and Access Management) được xem là nền tảng quan trọng nhất trong quản trị bảo mật AWS.

---

🔹 1. IAM là gì?
IAM giúp bạn kiểm soát quyền truy cập vào các tài nguyên AWS (như EC2, S3, RDS...).
Nó cho phép bạn:

• Tạo người dùng (User), nhóm (Group), và vai trò (Role).
• Gán chính sách (Policy) xác định rõ quyền được phép hoặc bị cấm.

👉 Ví dụ:

• Một nhân viên Dev chỉ cần quyền truy cập EC2.
• Một nhân viên tài chính chỉ cần quyền xem hóa đơn Billing.
  IAM giúp bạn thực hiện điều đó an toàn và có kiểm soát.

---

🔹 2. Nguyên tắc “Least Privilege” – Chìa khóa an toàn
Đây là nguyên tắc vàng trong quản trị quyền truy cập:
“Chỉ cấp đúng và đủ quyền mà người dùng cần để làm việc.”
Ví dụ:

• Không cấp quyền AdministratorAccess cho tất cả mọi người.
• Nếu nhân viên chỉ cần tải file từ S3, chỉ cấp quyền s3:GetObject.

Nhờ vậy, bạn giảm thiểu rủi ro nội bộ và tấn công từ bên ngoài.

---

🔹 3. Phân biệt IAM User, Group và Role

Thành phần	Mục đích	Ví dụ sử dụng
User	Đại diện cho một cá nhân cụ thể.	Nhân viên DevOps đăng nhập console.
Group	Gom nhóm người dùng có quyền tương tự.	Nhóm “Developers” có quyền deploy code.
Role	Dành cho dịch vụ hoặc user tạm thời.	EC2 role để truy cập S3 mà không cần key.

---

🔹 4. Demo thực tế: Gán Role cho EC2 truy cập S3 an toàn
✅ Thay vì lưu Access Key trong code (rất nguy hiểm), bạn:

1. Tạo một IAM Role với quyền AmazonS3ReadOnlyAccess.
2. Gán Role đó cho EC2 instance.
3. Khi ứng dụng chạy, AWS tự cấp quyền tạm thời để EC2 truy cập S3.

Kết quả:

• Không cần lưu key trong code.
• Tăng bảo mật, dễ quản lý quyền truy cập.

---

🔹 5. Một số lỗi phổ biến khi làm việc với IAM
❌ Cấp quyền “AdministratorAccess” cho toàn bộ team.
❌ Chia sẻ tài khoản root AWS để đăng nhập.
❌ Không bật MFA (Multi-Factor Authentication).
✅ Cách khắc phục:

• Chỉ dùng root account cho billing.
• Tạo user riêng cho từng nhân viên.
• Luôn bật MFA để bảo vệ tài khoản.

---

🔹 6. Kết luận
IAM không chỉ là công cụ kỹ thuật – mà là nền tảng bảo mật cốt lõi của AWS.
Một cấu hình đúng ngay từ đầu sẽ giúp doanh nghiệp an toàn, kiểm soát và mở rộng dễ dàng.
“Hãy xem IAM như cửa khóa đầu tiên của ngôi nhà Cloud – nếu khóa này yếu, mọi lớp bảo mật khác đều vô nghĩa.”