Компания развертывает веб-приложение с фронтенд-частью на Amazon EC2 и чувствительными данными в Amazon S3. По политике безопасности весь доступ к этим данным должен быть аутентифицирован и авторизован через централизованную систему управления доступом, которую операирует отдельная команда безопасности. Кроме того, команда разработки веб-приложения на EC2 не должна иметь возможности прямого доступа к данным в S3, чтобы гарантировать, что весь доступ к данным идет через централизованную систему управления. Какой подход конфигурации удовлетворяет этим требованиям?

Архитектура аутентификации и авторизации

Решение реализует централизованную систему управления доступом, которая контролирует весь доступ к конфиденциальным данным. Команда веб-приложения, работающая с EC2-инстансами, не может напрямую обращаться к данным в S3, что обеспечивает соответствие политикам безопасности.

Ключевые компоненты конфигурации

• Аутентификация пользователя: веб-приложение проверяет личность пользователя через централизованную систему управления доступом
• Временные учётные данные: после успешной аутентификации система выдаёт временные токены STS (Security Token Service) авторизованным пользователям
• Прямой доступ к S3: пользователи получают токены, которые позволяют напрямую скачивать разрешённые данные из Amazon S3, минуя слой приложения

Преимущества безопасности

Эта архитектура обеспечивает несколько уровней защиты:

• Команда веб-приложения не имеет прямого доступа к S3 или конфиденциальным данным
• Все запросы на доступ проходят через централизованную систему управления, которой управляет команда безопасности
• Временные учётные данные снижают риски за счёт автоматического истечения срока действия
• Контроль доступа остаётся независимым от администрирования приложения

Детали реализации

Процесс работает по следующей схеме:

1. Пользователь входит в веб-приложение со своими учётными данными
2. Приложение проверяет их в централизованной системе управления доступом
3. Система команды безопасности определяет уровень авторизации
4. При успешной проверке система генерирует временные STS-токены с конкретными разрешениями для S3
5. Пользователь получает токены, дающие прямой доступ к S3 только для разрешённых объектов
6. Токены автоматически истекают, требуя повторной аутентификации для продолжения работы

Результат соответствия требованиям

Эта конфигурация гарантирует, что команда веб-приложения не сможет обойти централизованный контроль доступа, при этом обеспечивая удобство для пользователей за счёт прямого доступа к разрешённым данным с использованием временных учётных данных.