Identity and Access Management (IAM)
Dies ist eine kompakte Einführung in das Identity and Access Management (IAM), das als zentrales Kontrollzentrum für die Sicherheit in der Cloud fungiert.
Identity and Access Management (IAM) und Zugriffssicherheit[Bearbeiten]
Das Identity and Access Management (IAM) ist das Fundament der Cloud-Sicherheit. Es stellt sicher, dass die richtigen Personen und Systeme zur richtigen Zeit Zugriff auf die richtigen Ressourcen haben – und das aus den richtigen Gründen.
1. Die Kernkomponenten von IAM[Bearbeiten]
Ein modernes IAM-System basiert auf vier Säulen:
- Identitäten (Principals): Dies können menschliche Nutzer (Entwickler, Admins) oder maschinelle Identitäten (Applikationen, Server-Instanzen) sein.
- Gruppen: Logische Sammlungen von Nutzern, um Rechte effizienter zu verwalten (z. B. Gruppe "Marketing" erhält Zugriff auf den Image-Speicher).
- Rollen: Temporäre Identitäten, die von Services oder Nutzern angenommen werden können, um bestimmte Aufgaben auszuführen, ohne dauerhafte Zugangsdaten zu nutzen.
- Policies (Richtlinien): JSON-Dokumente, die präzise definieren, welche Aktionen (Read, Write, Delete) auf welche Ressourcen erlaubt oder verboten sind.
2. Das Prinzip der geringsten Berechtigung (Least Privilege)[Bearbeiten]
Dies ist die wichtigste Sicherheitsregel: Ein Nutzer oder Dienst darf nur die minimal notwendigen Rechte erhalten, die er zur Ausführung seiner Aufgabe benötigt. Dies minimiert den "Explosionsradius" im Falle eines kompromittierten Kontos.
3. Passwortrichtlinien[Bearbeiten]
Trotz moderner Verfahren bleiben Passwörter eine Schwachstelle. Effektive Richtlinien fordern heute:
- Komplexität: Kombination aus Groß-/Kleinschreibung, Zahlen und Sonderzeichen.
- Länge: Mindestens 12-14 Zeichen werden empfohlen.
- Kein regelmäßiger Zwangswechsel: Moderne Sicherheitsstandards (wie NIST) raten von einem Wechsel alle 90 Tage ab, da Nutzer sonst nur einfache Muster wählen. Ein Wechsel sollte nur bei Verdacht auf Kompromittierung erfolgen.
4. Multi-Faktor-Authentifizierung (MFA)[Bearbeiten]
MFA ist die effektivste Maßnahme gegen Identitätsdiebstahl. Sie kombiniert mindestens zwei Faktoren aus verschiedenen Kategorien:
- Wissen: Etwas, das man weiß (Passwort/PIN).
- Besitz: Etwas, das man hat (Hardware-Token wie YubiKey, Smartphone-App wie Google Authenticator).
- Inhärenz: Etwas, das man ist (Biometrie wie Fingerabdruck oder FaceID).
5. Vergleich der Zugriffstypen[Bearbeiten]
| Merkmal | Root / Global Admin | Standard Nutzer | Service Account |
|---|---|---|---|
| Zweck | Vollzugriff (nur für Setup) | Tägliche Arbeit | Maschinen-Kommunikation |
| Sicherheit | MFA zwingend erforderlich | Passwort + MFA | Zertifikate / IAM Rollen |
| Risiko | Extrem hoch | Mittel | Gering (bei engen Rechten) |
6. Zusammenfassung[Bearbeiten]
Ein starkes IAM-Konzept ersetzt das alte "Burgmauer-Prinzip" (Perimetersicherheit) durch eine identitätsbasierte Sicherheit. In der Cloud ist die Identität der neue Perimeter.
Zusammenfassend: Ohne striktes IAM, starke Passwortrichtlinien und flächendeckendes MFA ist selbst die beste Verschlüsselung wirkungslos, da Angreifer einfach "durch die Vordertür" spazieren könnten.
