Cloud Security & IAM — Bức Tường Bảo Vệ Mà Bạn Không Thể Bỏ Qua

IAM Components:
┌─────────────────────────────────────────────────────────────┐
│                         AWS IAM                              │
│                                                              │
│  Principal (ai gửi request?)                                 │
│  ├── IAM User     → Long-lived identity (dùng cho human)     │
│  ├── IAM Role     → Assumed identity (dùng cho services)     │
│  ├── IAM Group    → Container cho Users (ko dùng cho Role)   │
│  └── AWS Service  → e.g. EC2, Lambda tự xác thực bằng Role  │
│                                                              │
│  Policy (được phép làm gì?)                                  │
│  ├── Identity-based Policy  → Gắn vào User/Role/Group        │
│  ├── Resource-based Policy  → Gắn vào resource (S3, SQS...) │
│  ├── Permission Boundary    → Ceiling của quyền             │
│  └── SCP (Org level)        → Guardrail cho toàn bộ account  │
└─────────────────────────────────────────────────────────────┘

1. Explicit DENY  → Luôn thắng, không bàn cãi
2. SCP (Org)      → Nếu SCP deny, role/policy không cứu được
3. Resource Policy → S3 bucket policy, SQS policy...
4. Identity Policy → Policy gắn vào role/user
5. Permission Boundary → Ceiling không thể vượt qua
6. Session Policy → Khi assume role với giới hạn thêm
7. Implicit DENY  → Mặc định deny tất cả nếu không có Allow

Lỗi: "User is not authorized to perform: s3:GetObject"
Nhưng policy của user đã có s3:GetObject Allow?

Nguyên nhân có thể:
1. S3 bucket policy có Deny statement explicit
2. SCP tại Organization level block action này
3. Bucket ở account khác và resource policy không allow cross-account
4. KMS key policy block decrypt (nếu bucket encrypted)

// Trust Policy trên Role ở Account B (target)
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::ACCOUNT_A:role/DeploymentRole"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "unique-external-id-12345"
        }
      }
    }
  ]
}

{
  "Effect": "Allow",
  "Action": "s3:*",       // Wildcard là dấu hiệu lười
  "Resource": "*"          // Double wildcard = disaster
}

{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject"
  ],
  "Resource": "arn:aws:s3:::my-specific-bucket/*"
}

# Generate policy từ CloudTrail — policy minimum cần thiết
aws iam generate-service-last-accessed-details \
  --arn arn:aws:iam::123456789:role/MyLambdaRole

# Access Analyzer findings
aws accessanalyzer list-findings \
  --analyzer-arn arn:aws:accessanalyzer:us-east-1:123456789:analyzer/my-analyzer

☐ Không có policy nào dùng Action: "*" mà không có Deny explicit
☐ Mọi role đều scoped xuống resource ARN cụ thể (không phải "*")
☐ Lambda/EC2 role chỉ có quyền cần cho function đó, không share role
☐ S3 bucket không có Public Access (Block Public Access = ON ở account level)
☐ RDS không có public endpoint (trừ dev environment)
☐ Không có Access Key nào cho service identity (dùng Role)
☐ Access Key của human rotate < 90 ngày (tốt nhất là dùng SSO)
☐ Root account không có Access Key, có MFA
☐ CloudTrail enabled ở tất cả regions (kể cả region bạn không dùng)

# Sai: Secret trong code
DATABASE_PASSWORD = "super_secret_123"  # Đã bị ai đó commit lên GitHub

# Đúng: Fetch từ Secrets Manager lúc runtime
import boto3
import json

def get_secret(secret_name):
    client = boto3.client("secretsmanager", region_name="ap-southeast-1")
    response = client.get_secret_value(SecretId=secret_name)
    return json.loads(response["SecretString"])

# Lambda/EC2 role có quyền secretsmanager:GetSecretValue
# trên resource ARN cụ thể — không cần access key
db_config = get_secret("prod/myapp/database")

# Terraform: RDS với Secrets Manager rotation tự động
resource "aws_secretsmanager_secret_rotation" "db_rotation" {
  secret_id           = aws_secretsmanager_secret.db_password.id
  rotation_lambda_arn = aws_lambda_function.rotation_lambda.arn

  rotation_rules {
    automatically_after_days = 30  # Rotate mỗi 30 ngày
  }
}

# Git history scan — chạy trước khi push
pip install git-secrets detect-secrets

# Pre-commit hook
detect-secrets scan > .secrets.baseline
detect-secrets audit .secrets.baseline

# Hoặc dùng GitHub/GitLab secret scanning (built-in)
# AWS cũng có: Amazon Macie để scan S3 buckets

VPC (10.0.0.0/16)
│
├── NACL (Subnet level — stateless)
│   ├── Rule 100: Allow HTTPS inbound from 0.0.0.0/0
│   ├── Rule 200: Allow HTTP inbound from 0.0.0.0/0
│   ├── Rule 32766: Deny ALL (implicit)
│   └── Phải define BOTH inbound AND outbound (stateless!)
│
└── Security Group (Instance/ENI level — stateful)
    ├── Inbound: Allow 443 from ALB Security Group
    ├── Outbound: Allow ALL (mặc định)
    └── Stateful: return traffic tự động allowed

# Sai: Allow từ 0.0.0.0/0 vào port 22/3389
resource "aws_security_group_rule" "bad_ssh" {
  type        = "ingress"
  from_port   = 22
  to_port     = 22
  protocol    = "tcp"
  cidr_blocks = ["0.0.0.0/0"]  # SSH mở ra internet = disaster
}

# Đúng: Dùng AWS Systems Manager Session Manager thay cho SSH
# Không cần mở port 22, không cần bastion host
# SSM Session Manager = SSH qua AWS API (encrypted, audited)

# Nếu vẫn cần SSH: chỉ từ VPN/bastion IP
resource "aws_security_group_rule" "restricted_ssh" {
  type        = "ingress"
  from_port   = 22
  to_port     = 22
  protocol    = "tcp"
  cidr_blocks = ["10.0.0.0/8"]  # Internal VPN only
}

Internet → CloudFront (WAF rules) → ALB → ECS/EKS

Perimeter Security (cũ):
  ┌─────────────────────────────────────┐
  │ "Trusted" Internal Network          │
  │  ┌────┐  ┌────┐  ┌────┐           │
  │  │ DB │  │ API│  │App │  ← Trust  │
  │  └────┘  └────┘  └────┘   everyone│
  └────────────────┬────────────────────┘
                   │ Firewall
                 Internet (Untrusted)

Zero Trust:
  Mọi request đều phải authenticate + authorize
  Dù xuất phát từ internal network hay external
  
  Service A → [mTLS + JWT] → Service B
  Developer  → [SSO + MFA + Just-In-Time access] → Database
  CI/CD      → [OIDC token, không phải static key] → AWS

# Kubernetes: Istio sidecar inject mTLS tự động
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: production
spec:
  mtls:
    mode: STRICT  # Tất cả traffic phải có mTLS

# .github/workflows/deploy.yml
permissions:
  id-token: write   # Cho phép OIDC token

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789:role/GitHubActionsRole
          aws-region: ap-southeast-1
          # Không cần AWS_ACCESS_KEY_ID hay AWS_SECRET_ACCESS_KEY!

# Terraform: IAM Role cho GitHub Actions
resource "aws_iam_role" "github_actions" {
  name = "GitHubActionsRole"
  
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect = "Allow"
      Principal = {
        Federated = aws_iam_openid_connect_provider.github.arn
      }
      Action = "sts:AssumeRoleWithWebIdentity"
      Condition = {
        StringEquals = {
          "token.actions.githubusercontent.com:aud" = "sts.amazonaws.com"
        }
        StringLike = {
          # Chỉ repo cụ thể, không phải toàn bộ org
          "token.actions.githubusercontent.com:sub" = "repo:my-org/my-repo:*"
        }
      }
    }]
  })
}

// Đây là policy của một startup sau incident
{
  "Effect": "Allow",
  "Action": "dynamodb:*",
  "Resource": "*"   // Lambda bị compromise → toàn bộ DynamoDB bị xóa
}

// Developer có quyền này:
{ "Action": "ec2:RunInstances", "Resource": "*" }

// Nhưng EC2 gắn role cần:
{ "Action": "iam:PassRole", "Resource": "arn:aws:iam::*:role/*" }

// Nếu iam:PassRole quá rộng → có thể attach AdminRole vào EC2 → privilege escalation

# CloudWatch Alarm khi có IAM policy thay đổi
resource "aws_cloudwatch_metric_alarm" "iam_changes" {
  alarm_name  = "iam-policy-changes"
  metric_name = "IAMPolicyChanges"
  namespace   = "CloudTrailMetrics"
  
  # Alert ngay khi có thay đổi IAM
  comparison_operator = "GreaterThanOrEqualToThreshold"
  threshold           = 1
  evaluation_periods  = 1
  period              = 300
}

// SCP: Bắt buộc encrypt S3 bucket, cấm tắt CloudTrail
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyCloudTrailDisable",
      "Effect": "Deny",
      "Action": [
        "cloudtrail:StopLogging",
        "cloudtrail:DeleteTrail",
        "cloudtrail:UpdateTrail"
      ],
      "Resource": "*"
    },
    {
      "Sid": "DenyPublicS3",
      "Effect": "Deny",
      "Action": "s3:PutBucketPublicAccessBlock",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "s3:publicAccessBlockConfiguration/RestrictPublicBuckets": "false"
        }
      }
    },
    {
      "Sid": "RequireRegion",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": ["ap-southeast-1", "us-east-1"]
        }
      }
    }
  ]
}

# Terraform: GCP Organization Policy — không cho phép public IP trên VM
resource "google_org_policy_policy" "no_public_ip" {
  name   = "organizations/123456789/policies/compute.vmExternalIpAccess"
  parent = "organizations/123456789"

  spec {
    rules {
      deny_all = "TRUE"
    }
  }
}

☐ Multi-region Trail enabled (không chỉ region chính)
☐ S3 data events enabled (ai access file gì trong S3)
☐ Lambda data events enabled (ai invoke Lambda nào)
☐ Log file integrity validation ON
☐ CloudTrail logs → S3 bucket với:
    ☐ Bucket Policy: deny delete (kể cả account admin)
    ☐ Object Lock: Compliance mode, 1 năm retention
    ☐ Access logging enabled
    ☐ Replication sang account khác (security account riêng)
☐ CloudWatch Logs integration (để query và alert)
☐ Athena table cho long-term analysis

Tier 1 — Always ON (free hoặc rất rẻ):
  - CloudTrail Management Events
  - VPC Flow Logs (subnet level)
  - ALB Access Logs
  - GuardDuty

Tier 2 — Enable khi cần compliance:
  - CloudTrail Data Events (S3, Lambda) — tốn tiền với volume lớn
  - RDS/Aurora DB Activity Streams
  - CloudFront access logs

Tier 3 — Enable khi có incident / advanced threat hunting:
  - AWS Config all resources
  - Route53 DNS query logs
  - Security Group change logs

IDENTITY:
  ☐ Service dùng IAM Role (không phải Access Key)?
  ☐ Role có least privilege (không wildcard)?
  ☐ Trust relationship scoped đúng?

NETWORK:
  ☐ Service ở private subnet (không có public IP)?
  ☐ Security group chỉ allow traffic từ specific source?
  ☐ Port 22/3389 không mở ra internet?

DATA:
  ☐ Data at rest encrypted (KMS)?
  ☐ Data in transit encrypted (TLS 1.2+)?
  ☐ Backup enabled và tested?

SECRETS:
  ☐ Không có hardcoded credential trong code?
  ☐ Secret được lưu trong Secrets Manager / Parameter Store?
  ☐ Rotation được configure?

LOGGING:
  ☐ Application logs → CloudWatch Logs?
  ☐ Access logs enabled?
  ☐ Alerts cho anomaly (GuardDuty, CloudWatch Alarm)?

COMPLIANCE:
  ☐ Resource tagging đúng convention?
  ☐ Trong allowed region (SCP)?
  ☐ Security Hub finding = 0 Critical, 0 High?