Hoe zorg je ervoor dat het ontwikkelingsteam toegang…

We passen het principe van minimale privileges toe. We maken aparte IAM-gebruikers of rollen voor elk teamlid of groep, en geven alleen de permissies die nodig zijn om hun taken uit te voeren.

Voor geautomatiseerde processen (CI/CD) gebruiken we IAM-rollen met beperkte rechten, toegewezen aan services (bijvoorbeeld EC2, Lambda) of entiteiten (bijvoorbeeld GitHub Actions OIDC).

We slaan inloggegevens (of het nu toegangssleutels of tijdelijke tokens zijn) veilig op. Voor handmatig gebruikte inloggegevens moedigen we het gebruik van de providerconsole aan via Federated Access of Azure AD / Google Identity Platform. Voor geautomatiseerde processen integreren we geheimenbeheersystemen (zoals HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) met CI/CD-pijplijnen.

We passen multi-factor authenticatie (MFA) toe voor alle interactieve gebruikers.

We configureren audits van gebruikersactiviteiten (logging, bijvoorbeeld AWS CloudTrail, Azure Activity Logs, GCP Audit Logs) en analyseren deze om verdachte activiteiten te detecteren.

We gebruiken beveiligingsgroepen (Security Groups in AWS, Network Security Groups in Azure, Firewall Rules in GCP) om netwerktoegang tot resources te controleren.

Indien nodig gebruiken we VPN's of Privileged Access Management (PAM) systemen om toegang te krijgen tot gevoelige resources.

We herzien en passen periodiek de toegangsrechten aan.

# Voorbeeld IAM-beleid in AWS voor een ontwikkelaarsgebruiker
Version: "2012-10-17"
Statement:
  - Effect: Allow # Toestaan van toegang
    Action: # Lijst van toegestane acties
      - ec2:Describe* # Bekijken van EC2-informatie
      - s3:ListBucket # Bekijken van inhoud van S3-bucket
      - s3:GetObject # Lezen van objecten uit S3
    Resource: "*" # Van toepassing op alle resources van dit type
  - Effect: Deny # Verbieden van toegang
    Action: # Lijst van verboden acties
      - ec2:TerminateInstances # Verbod op het beëindigen van EC2
      - s3:DeleteObject # Verbod op het verwijderen van S3-objecten
    Resource: "*"

# Voorbeeld AWS CLI-commando voor het maken van een gebruiker en het toewijzen van een beleid
aws iam create-user --user-name developer-user
aws iam attach-user-policy --user-name developer-user --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess # Voorbeeld van ingebouwd beleid

Hoe zorg je ervoor dat het ontwikkelingsteam toegang heeft tot cloudproviders?