导读

身份验证和授权是保护应用程序API和数据访问的基础。亚马逊云科技从客户反馈中了解到，开发和运营一个集成解决方案的过程可以进一步简化。Amazon Cognito和Amazon Verified Permissions为应用程序开发人员提供了全托管服务，用于存储和验证用户凭证以及以Cedar策略表达的授权规则。本次会议介绍了FIS（一家在受监管金融服务行业领先的全球技术解决方案提供商）和Grosvenor Engineering Group（一家值得信赖的建筑服务提供商）如何使用亚马逊云科技构建集成解决方案。会议深入探讨了策略设计和集成架构的主题。

演讲精华

以下是小编为您整理的本次演讲的精华。

在不断演进的企业软件领域中，应用程序跨越多个领域，服务于众多用户，实现健壮且可扩展的授权机制一直是一项艰巨的任务。组织经常面临着管理跨多个应用程序的权限的复杂性，每个应用程序都有自己独特的一套规则和访问控制。这种分散的方法不仅增加了安全漏洞的风险，而且还阻碍了跨企业审计和维护用户访问权限的综合视图的能力。当数百甚至数千个应用程序授予客户、员工和合作伙伴访问企业资源(如数据、功能甚至物理空间)的权限时，每个应用程序管理自己的权限并做出自己的授权决策的传统方法会产生重大挑战。

从审计的角度来看，这种分散的方法会产生成本问题，因为跨组织解释谁有权访问哪些资源变得越来越昂贵，尤其是在受监管的环境中，如金融服务。此外，存在固有的风险因素，因为每个开发团队在实现各自应用程序中的用户权限时本质上都在重新发明轮子。此外，这种方法会产生阻力，因为每个新应用程序都需要重新实现权限系统，从而阻碍了敏捷性和可扩展性。

认识到这一长期存在的挑战，亚马逊云科技推出了一种强大的解决方案:Amazon Verified Permissions服务，结合Cedar策略语言。这种创新性的产品旨在集中授权过程，使组织能够轻松高效地跨应用程序定义和实施细粒度访问策略。

这种解决方案的核心是一个中央策略和决策引擎，通常被称为授权服务。该服务充当策略存储库，描述用户在各种应用程序中被允许执行的特定操作。每当用户尝试执行某个操作时，应用程序会调用授权服务，该服务会评估相关策略并确定是允许还是拒绝所请求的操作。这些应用程序还需要能够自行管理权限，因为随着用户与应用程序的交互，权限会动态变化，创建新角色、分配权限和授予访问权限。为此，应用程序需要一个策略管理API来动态更改用户使用应用程序时的权限。

由亚马逊云科技发明并开源的Cedar策略语言在阐述这些授权规则中发挥着关键作用。Cedar策略语言以可读性为设计目标，即使是非开发人员也能理解和解释定义的权限。这些策略无缝地结合了基于角色的访问控制(RBAC)和基于属性的访问控制(ABAC)，允许根据角色、属性和上下文条件对用户访问进行细粒度控制。亚马逊云科技不仅开源了语言规范，还开源了一个可以评估策略并做出决策的决策引擎，进一步赋予组织利用Cedar策略语言的强大功能。

Fidelity Information Services (FIS)是一家领先的金融软件解决方案提供商，面临着在其精算建模平台FIS Profit中确保符合萨班斯-奥克斯利法案(SOX)规定的挑战。SOX要求可审计的财务报告流程和严格的职责分离，需要一个健壮的身份验证框架。FIS Profit是一个非常成功的平台，全球前50家保险公司中有80%在某种程度上使用它。该平台拥有令人印象深刻的覆盖面，在70个不同国家拥有10，000名用户，运行了35年，证明了其灵活性和高效计算规模的能力。

通过将Amazon Verified Permissions集成到Profit中，FIS能够为工作空间(平台中的基本单元)添加国家等属性，并相应地为用户分配角色。这种方法使他们能够实施一个全面的身份验证系统，符合SOX要求，确保只有经过授权的用户才能根据他们的角色和访问工作空间相关联的属性执行特定操作。例如，根据SOX，财务流程的每一部分都必须可审计，这意味着能够跟踪谁访问了什么、何时访问以及何时创建了数据。此外，由于大型精算团队在组织的不同部分创建财务报告的各个部分，因此中央身份验证位置变得至关重要。此外，SOX要求严格的职责分离，其中只有模型构建者才被允许运行模型，模型审批者可以审查但不能运行模型，审计员可以审查结果但不能接触模型。

FIS的软件工程师Anna Koshotic现场演示了Profit SaaS平台，展示了Amazon Verified Permissions的无缝集成。她演示了如何根据工作空间属性和用户角色实施权限，允许标准用户编辑工作空间metadata，但根据属性不匹配限制访问某些工作空间。例如，当尝试编辑标记为“意大利”属性的工作空间的描述时，标记为“西班牙”属性的标准用户被拒绝访问，因为属性不匹配。但是，当管理员将“西班牙”属性添加到工作空间时，用户就可以成功编辑描述，展示了确定访问权限时用户和资源属性的交集。

此外，Anna强调了在Amazon Verified Permissions中管理角色、为用户和工作空间分配属性以及创建Cedar策略的管理功能。她展示了如何定义具有特定允许操作和基于属性条件的角色，如“工作空间编辑器”和“工作空间管理员”，从而实现对用户权限的细粒度控制。Anna解释说，集成Amazon Verified Permissions不仅简化了权限管理，提高了灵活性和安全性，而且还提供了关键功能，如清晰的审计跟踪、多租户支持和简单的单一授权API调用集成过程。

Cedar策略语言和Amazon Verified Permissions的产品经理Julian Lovelock深入探讨了Anna创建的Cedar策略。他解释了这些策略如何结合RBAC(角色)和ABAC(属性条件)来为工作空间编辑器和管理员定义细粒度权限。例如，“工作空间编辑器”策略允许该角色的用户读取、下载和编辑“患者”类型的工作空间，但条件是用户必须是该患者的主治医生。这种方法不仅增强了安全性，而且提供了清晰的审计跟踪，使组织能够跟踪和了解其策略的来源。

Grosvenor Engineering Group是一家专门从事建筑系统管理的澳大利亚公司，着手对其资产资源管理系统(AMS)进行现代化改造。AMS已解决了超过1，700万起意外事件，涉及160万个资产，这证明了其主动维护方法和公司为物业所有者提供可持续成果的使命。随着业务的增长，对多租户和增强用户体验的需求日益迫切，Grosvenor认识到需要重新设计其授权组件。

Grosvenor Engineering Group的首席技术官Kon Sofokleous概述了他们面临的三大挑战:寻找预先构建、面向未来且功能丰富的解决方案;结合ABAC和RBAC;以及实现可扩展性和成本效益。在评估了各种选择(包括开源解决方案和构建定制服务)后，Grosvenor选择了Amazon Verified Permissions，因为它具有高性能、基于线性消耗的模型以及无缝集成功能。

Kon演示了两个架构流程，展示了Grosvenor如何将Verified Permissions与AMS集成。第一个流程涉及使用亚马逊云科技服务(如API网关、Lambda和Cognito)的API调用，其中Verified Permissions用于授权决策。第二个流程展示了如何巧妙地利用Verified Permissions来驱动基于用户权限的UI行为，从而实现动态和个性化的用户体验。

Kon分享了在AMS中使用的Cedar策略示例，包括特定于UI的策略和基于报价金额和项目ID的ABAC策略。通过现场演示，他展示了如何根据用户属性、项目配置和存储在Verified Permissions中的Cedar策略实施权限。例如，当某个技术人员试图提交超过1，800美元(该特定项目配置的报价预算)的报价时，会被拒绝访问。但是，当管理员将该项目的策略更新为允许报价最高3，000美元时，技术人员就可以成功提交报价，展示了授权规则的动态实施。

我们正处在 Agentic AI 爆发前夜。 2025 亚马逊云科技中国峰会提出，企业要从 " 成本优化 " 转向 " 创新驱动 " ，通过完善的数据战略和 AI 云服务，把握全球化机遇。亚马逊将投入 1000 亿美元在 AI 算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在 AI 时代突破。