Zugriff aus den Claims ableiten

Du betreust eine API, die Quartalsberichte bereitstellt. Vier Anfragen treffen gleichzeitig ein, alle mit einem Bearer-Token, und alle fordern dasselbe an: GET /reports/q3-summary, wofür der Scope reports/read erforderlich ist.

Öffne die Token-Claims-Konsole. Starte mit Request log, um zu sehen, was deine API für jede Anfrage protokolliert, wechsle dann zu Decoded claims und lies jedes Token zusammen mit dem Panel, das zeigt, was deine API erwartet.

Jede Signatur hier ist gültig. Verifiziert ist nicht dasselbe wie passend.

Nur eines dieser vier Tokens sollte GET /reports aufrufen dürfen.

Welches?

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Kurs ansehen

Interaktive praktische Übung

Verwandle Theorie mit einer unserer interaktiven Übungen in die Praxis

Übung starten

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Mittlere SchwierigkeitSchwierigkeitsgrad

4.7+

15 reviews

Kurs kostenlos starten

In diesem Kapitel baust du das mentale Modell auf, das echte AWS-Workloads schützt: die Trennung zwischen dem Akteur und dem Principal, den AWS tatsächlich bewertet. Danach lernst du, eine IAM-Richtlinie so zu lesen wie AWS es tut, um herauszufinden, ob ein Aufruf erlaubt, verweigert oder stillschweigend durch nichts blockiert wird. Abschließend ersetzt du langlebige Zugriffsschlüssel durch Rollenübernahme, temporäre Anmeldedaten und vorab signierte URLs – das Muster, das Schlüssel dauerhaft aus Repositories verbannt.

Exercise 1: Einführung in AWS-Sicherheit Exercise 2: Überprivilegierte Zugriffspfade erkennen Exercise 3: Gib der Funktion eine eng gefasste Rolle Exercise 4: Fast nichts läuft als du selbst Exercise 5: IAM-Richtlinienauswertung und explizites Deny Exercise 6: Ordne Policy-Bestandteile ihrem Zweck zu Exercise 7: Implizites Deny in Aktion sehen Exercise 8: Bewerte das Ergebnis der Auswertung Exercise 9: Rollen, temporäre Anmeldeinformationen und SigV4 Exercise 10: Entscheide, wer die Rolle annehmen darf Exercise 11: Gültigkeitsbereich einer vorab signierten URL festlegen Exercise 12: Ersetze einen gespeicherten Schlüssel durch eine Rolle

In diesem Kapitel ziehst du eine klare Linie zwischen Cognito User Pools für den Login und Identity Pools für AWS-Anmeldedaten und prüfst die Signatur eines Tokens, bevor du seinem Inhalt vertraust. Dann kartierst du, wo eine Berechtigung wirklich herkommt – zwischen Identitätsrichtlinien, Ressourcenrichtlinien und den Grenzen, die sie deckeln – und nutzt diese Karte, um zwischen IAM-, Cognito- und Lambda-Authorizern für einen API-Gateway-Endpunkt zu wählen. Zum Schluss hältst du Secrets aus Code und Logs heraus und triffst die Wahl für Store, Maskierung und Rotationsgewohnheiten, die eine Incident-Review überstehen.

Exercise 1: User Pools, Identity Pools und JWTs Exercise 2: Überprüfe ein Token, bevor du ihm vertraust Exercise 3: Zugriff aus den Claims ableiten

Aktuelle Übung

Exercise 4: Den richtigen Teil von Cognito wählen Exercise 5: Identity, Resource und Boundary Exercise 6: Wähle den Ort der Richtlinie Exercise 7: Benenne die Schicht, die abgelehnt hat Exercise 8: Einen Tenant isolieren Exercise 9: Den passenden API Gateway Authorizer wählen Exercise 10: Ordne den Anrufer der richtigen Tür zu Exercise 11: Das veraltete Fenster schließen Exercise 12: Den verwirrten Stellvertreter stoppen Exercise 13: Geheimnisse aus Code und Logs heraushalten Exercise 14: Wo der Wert liegt Exercise 15: Sanitizen, ohne blind zu werden Exercise 16: Die Rotation überstehen

In diesem Kapitel ordnest du den Verschlüsselungsmodus der Anforderung zu: die vier Möglichkeiten, ein S3-Objekt zu verschlüsseln, und die eine Richtlinienzeile, die Transport erzwingt. Danach klärst du, wer einen KMS-Schlüssel wirklich kontrolliert, wenn sowohl eine Key Policy als auch eine IAM-Richtlinie etwas zu sagen haben, und liest CloudTrail genau genug, um zu erkennen, wann sein Schweigen bedeutet, dass niemand geloggt hat – nicht, dass nichts passiert ist. Abschließend wendest du die Checkliste des gesamten Kurses auf einen Dienst an, den du gleich auslieferst, und siehst, wo dieselben Entscheidungen zu Identität, Secrets und Verschlüsselung in Pipelines und KI-Agenten übergehen, die in deinem Namen AWS aufrufen.

Exercise 1: Verschlüsselungsmodi und erzwungener Transit Exercise 2: Verschlüsselt – und trotzdem falsch Exercise 3: Ordne den Modus der Anforderung zu Exercise 4: Ordne die Private Keys danach, wer eine Kopie hält Exercise 5: Wer kontrolliert den Schlüssel Exercise 6: Welches Tor hat sich geschlossen?Exercise 7: Lies die Ablehnung, benenne das Tor Exercise 8: Wähle den Schlüssel – und lebe damit Exercise 9: AWS-Belege lesen Exercise 10: Unter wessen Autorität Exercise 11: Was die Trail hält – und was nicht Exercise 12: Rolle anhand ihrer eigenen Aktivität passend zuschneiden Exercise 13: Sicher ausliefern Exercise 14: Abgehakt – und doch offen Exercise 15: Der Auslöser, der schon ausgelöst hat Exercise 16: Stell dieselben drei Fragen an einen nicht-menschlichen Aufrufer Exercise 17: Glückwunsch