Praktik terbaik kontrol akses

Halaman ini menjelaskan praktik terbaik dalam menggunakan Identity and Access Management (IAM) dan Daftar Kontrol Akses (ACL) untuk mengelola akses ke data Anda.

Kebijakan IAM dan ACL memerlukan pengelolaan aktif agar efektif. Sebelum membuat bucket, objek, atau folder terkelola dapat diakses oleh pengguna lain, pastikan Anda tahu dengan siapa Anda ingin membagikan resource tersebut dan peran apa yang dimiliki orang tersebut. Seiring waktu, perubahan pada pengelolaan project, pola penggunaan, dan kepemilikan organisasi mungkin mengharuskan Anda mengubah setelan IAM atau ACL di bucket dan project, terutama jika Anda mengelola Cloud Storage di organisasi atau untuk sekelompok besar pengguna. Saat mengevaluasi dan merencanakan setelan kontrol akses, ingatlah praktik terbaik berikut:

  • Gunakan prinsip hak istimewa terendah saat memberikan akses ke bucket, objek, atau folder terkelola Anda.

    Prinsip hak istimewa terendah adalah panduan keamanan dalam memberikan akses ke resource Anda. Saat memberikan akses berdasarkan prinsip hak istimewa terendah, Anda memberikan izin minimum yang diperlukan pengguna untuk menyelesaikan tugas yang diberikan. Misalnya, jika Anda ingin membagikan file ke seseorang, Anda harus memberi orang tersebut peran storage.objectViewer IAM atau izin READER ACL, dan bukan peran storage.admin IAM atau izin OWNER ACL.

  • Hindari memberikan peran IAM dengan izin setIamPolicy atau memberikan izin OWNER ACL pada orang yang tidak Anda kenal.

    Dengan memberikan izin setIamPolicy IAM atau izin OWNER ACL, pengguna dapat mengubah izin dan mengontrol data. Sebaiknya gunakan peran dengan izin ini hanya jika Anda ingin mendelegasikan kontrol administratif atas objek, bucket, dan folder terkelola.

  • Perhatikan cara Anda memberikan izin untuk pengguna anonim.

    Jenis akun utama allUsers dan allAuthenticatedUsers hanya boleh digunakan jika siapa saja di Internet boleh membaca dan menganalisis data Anda. Meskipun cakupan ini berguna untuk beberapa aplikasi dan skenario, sebaiknya jangan berikan izin tertentu kepada semua pengguna, seperti izin setIamPolicy, update, create, atau delete IAM, atau izin OWNER ACL.

  • Pastikan Anda mendelegasikan kontrol administratif bucket.

    Anda harus yakin bahwa resource masih dapat dikelola anggota tim lain jika seseorang dengan akses administratif keluar dari grup.

    Agar resource tetap dapat diakses, Anda dapat melakukan salah satu hal berikut:

    • Memberikan peran IAM Storage Admin untuk project Anda ke grup, bukan perorangan

    • Memberikan peran IAM Storage Admin untuk project Anda kepada setidaknya dua orang

    • Berikan izin OWNER ACL untuk bucket Anda kepada setidaknya dua orang

  • Perhatikan perilaku interoperabilitas Cloud Storage.

    Saat menggunakan XML API untuk akses interoperabilitas dengan layanan penyimpanan lain, seperti Amazon S3, ID tanda tangan akan menentukan sintaksis ACL. Misalnya, jika alat atau library yang Anda gunakan membuat permintaan ke Cloud Storage untuk mengambil ACL dan permintaan tersebut menggunakan ID tanda tangan penyedia penyimpanan lain, Cloud Storage akan menampilkan dokumen XML yang menggunakan sintaks ACL penyedia penyimpanan yang sesuai. Jika alat atau library yang Anda gunakan membuat permintaan ke Cloud Storage untuk menerapkan ACL dan permintaan tersebut menggunakan ID tanda tangan penyedia penyimpanan lain, Cloud Storage mengharapkan dokumen XML yang menggunakan sintaks ACL penyedia penyimpanan yang sesuai.

    Untuk informasi selengkapnya tentang penggunaan XML API untuk interoperabilitas dengan Amazon S3, lihat Migrasi mudah dari Amazon S3 ke Cloud Storage.

Langkah selanjutnya