Ordne den Anrufer der richtigen Tür zu

Du bist Platform Engineer für eine API mit vier Aufrufern, und eine Entscheidung wartet auf dich: die API auf REST belassen oder auf HTTP umstellen. Niemand hat notiert, welcher Aufrufer wovon abhängt.

Was jeder Aufrufer an der Tür vorzeigt:

Der Web‑App‑User, mit einem Cognito‑Token.
Die Partner‑App, mit einem undurchsichtigen Sitzungsschlüssel, den dein eigener Code auflösen muss.
Der Analytics‑Batch‑Job, ohne jegliches Token, heute zugelassen aufgrund des Kontos, von dem er aufruft.
Der Inventory‑Service, der seine Anfragen mit AWS‑Zugangsdaten signiert.

Eine REST API bietet IAM‑Auth, einen Cognito‑Authorizer, einen Lambda‑Authorizer und eine Resource Policy. Eine HTTP API bietet IAM‑Auth, einen JWT‑Authorizer und einen Lambda‑Authorizer und hat überhaupt keine Resource Policies.

Welche dieser Aufrufer kann von einer REST API bedient werden, aber nicht von einer HTTP API?

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Interaktive praktische Übung

Verwandle Theorie mit einer unserer interaktiven Übungen in die Praxis

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Mittlere SchwierigkeitSchwierigkeitsgrad

4.7+

Kurs kostenlos starten

In diesem Kapitel baust du das mentale Modell auf, das echte AWS-Workloads schützt: die Trennung zwischen dem Akteur und dem Principal, den AWS tatsächlich bewertet. Danach lernst du, eine IAM-Richtlinie so zu lesen wie AWS es tut, um herauszufinden, ob ein Aufruf erlaubt, verweigert oder stillschweigend durch nichts blockiert wird. Abschließend ersetzt du langlebige Zugriffsschlüssel durch Rollenübernahme, temporäre Anmeldedaten und vorab signierte URLs – das Muster, das Schlüssel dauerhaft aus Repositories verbannt.

Exercise 1: Einführung in AWS-Sicherheit Exercise 2: Überprivilegierte Zugriffspfade erkennen Exercise 3: Gib der Funktion eine eng gefasste Rolle Exercise 4: Fast nichts läuft als du selbst Exercise 5: IAM-Richtlinienauswertung und explizites Deny Exercise 6: Ordne Policy-Bestandteile ihrem Zweck zu Exercise 7: Implizites Deny in Aktion sehen Exercise 8: Bewerte das Ergebnis der Auswertung Exercise 9: Rollen, temporäre Anmeldeinformationen und SigV4 Exercise 10: Entscheide, wer die Rolle annehmen darf Exercise 11: Gültigkeitsbereich einer vorab signierten URL festlegen Exercise 12: Ersetze einen gespeicherten Schlüssel durch eine Rolle

In diesem Kapitel ziehst du eine klare Linie zwischen Cognito User Pools für den Login und Identity Pools für AWS-Anmeldedaten und prüfst die Signatur eines Tokens, bevor du seinem Inhalt vertraust. Dann kartierst du, wo eine Berechtigung wirklich herkommt – zwischen Identitätsrichtlinien, Ressourcenrichtlinien und den Grenzen, die sie deckeln – und nutzt diese Karte, um zwischen IAM-, Cognito- und Lambda-Authorizern für einen API-Gateway-Endpunkt zu wählen. Zum Schluss hältst du Secrets aus Code und Logs heraus und triffst die Wahl für Store, Maskierung und Rotationsgewohnheiten, die eine Incident-Review überstehen.

Exercise 1: User Pools, Identity Pools und JWTs Exercise 2: Überprüfe ein Token, bevor du ihm vertraust Exercise 3: Zugriff aus den Claims ableiten Exercise 4: Den richtigen Teil von Cognito wählen Exercise 5: Identity, Resource und Boundary Exercise 6: Wähle den Ort der Richtlinie Exercise 7: Benenne die Schicht, die abgelehnt hat Exercise 8: Einen Tenant isolieren Exercise 9: Den passenden API Gateway Authorizer wählen Exercise 10: Ordne den Anrufer der richtigen Tür zu

Aktuelle Übung

Exercise 11: Das veraltete Fenster schließen Exercise 12: Den verwirrten Stellvertreter stoppen Exercise 13: Geheimnisse aus Code und Logs heraushalten Exercise 14: Wo der Wert liegt Exercise 15: Sanitizen, ohne blind zu werden Exercise 16: Die Rotation überstehen

In diesem Kapitel ordnest du den Verschlüsselungsmodus der Anforderung zu: die vier Möglichkeiten, ein S3-Objekt zu verschlüsseln, und die eine Richtlinienzeile, die Transport erzwingt. Danach klärst du, wer einen KMS-Schlüssel wirklich kontrolliert, wenn sowohl eine Key Policy als auch eine IAM-Richtlinie etwas zu sagen haben, und liest CloudTrail genau genug, um zu erkennen, wann sein Schweigen bedeutet, dass niemand geloggt hat – nicht, dass nichts passiert ist. Abschließend wendest du die Checkliste des gesamten Kurses auf einen Dienst an, den du gleich auslieferst, und siehst, wo dieselben Entscheidungen zu Identität, Secrets und Verschlüsselung in Pipelines und KI-Agenten übergehen, die in deinem Namen AWS aufrufen.

Exercise 1: Verschlüsselungsmodi und erzwungener Transit Exercise 2: Verschlüsselt – und trotzdem falsch Exercise 3: Ordne den Modus der Anforderung zu Exercise 4: Ordne die Private Keys danach, wer eine Kopie hält Exercise 5: Wer kontrolliert den Schlüssel Exercise 6: Welches Tor hat sich geschlossen?Exercise 7: Lies die Ablehnung, benenne das Tor Exercise 8: Wähle den Schlüssel – und lebe damit Exercise 9: AWS-Belege lesen Exercise 10: Unter wessen Autorität Exercise 11: Was die Trail hält – und was nicht Exercise 12: Rolle anhand ihrer eigenen Aktivität passend zuschneiden Exercise 13: Sicher ausliefern Exercise 14: Abgehakt – und doch offen Exercise 15: Der Auslöser, der schon ausgelöst hat Exercise 16: Stell dieselben drei Fragen an einen nicht-menschlichen Aufrufer Exercise 17: Glückwunsch