Amazon Verified Permissions Nuevo2022年〜
Servicio de autorización detallada para aplicaciones personalizadas usando el lenguaje de políticas Cedar
Qué hace
Amazon Verified Permissions permite definir la lógica de autorización de aplicaciones (quién puede hacer qué) en el lenguaje de políticas Cedar, separándola del código de la aplicación. Las reglas de acceso se centralizan en un almacén de políticas, y las decisiones de autorización se toman mediante API. Se integra con Cognito para autorización basada en atributos de usuario.
Casos de uso
Se utiliza para autorización en aplicaciones SaaS multi-inquilino, implementación de control de acceso basado en roles (RBAC) y control de acceso basado en atributos (ABAC), y separación de la lógica de autorización del código de la aplicación.
Analogía cotidiana
Se puede comparar con un sistema de control de acceso de un edificio. Los derechos de acceso a cada sala (recurso) se centralizan en el sistema de gestión (Verified Permissions), con reglas (políticas) como "Los empleados del departamento de ventas pueden entrar a la Sala de Reuniones A" y "Los administradores pueden entrar a todas las salas" gestionadas en un solo lugar.
¿Qué es Verified Permissions?
Amazon Verified Permissions es un servicio de externalización de autorización. Tradicionalmente, las decisiones de "¿Puede este usuario acceder a este recurso?" se implementaban como sentencias if en el código de la aplicación. Verified Permissions define reglas en el lenguaje de políticas Cedar y ejecuta decisiones de autorización mediante la API IsAuthorized. Los cambios de políticas surten efecto sin redesplegar la aplicación.
Políticas Cedar y esquema
Cedar es un lenguaje de políticas de código abierto desarrollado por AWS. Describe declarativamente "quién (principal) puede hacer qué (acción) sobre qué (recurso)." Los esquemas definen tipos de entidades (Usuario, Documento, Carpeta) y acciones (Leer, Escribir, Eliminar), permitiendo la validación de consistencia de políticas. La integración con grupos de usuarios de Cognito permite usar atributos de tokens JWT (grupos, atributos personalizados) en las decisiones de políticas. Para profundizar en la comprensión de políticas Cedar y esquema, los libros relacionados (Amazon) son un recurso útil.
Cómo empezar
Cree un almacén de políticas en la consola de Verified Permissions y defina un esquema. Escriba políticas Cedar para describir las reglas de acceso. Llame a la API IsAuthorized desde su aplicación y controle el acceso según el resultado (Allow / Deny).
Aspectos a tener en cuenta
- Pago por uso basado en el número de solicitudes de autorización. Tenga cuidado con los costos para decisiones de autorización de alta frecuencia
- Cedar es de código abierto, lo que permite pruebas y simulación de políticas locales
