Verschlüsselt – und trotzdem falsch

Du übernimmst eine ins Stocken geratene Sicherheitsprüfung für drei Ressourcen: zwei S3-Buckets und eine DynamoDB-Tabelle. Die Konsolenübersicht meldet alle drei als verschlüsselt, und eine vorherige Prüfung hat nur auf dieser Grundlage abgenickt.

Öffne das Encryption-Audit-Board. Starte mit Console summary, um zu sehen, was die frühere Prüfung gesehen hat, und wechsle dann zu Full evidence. Lies die Verschlüsselungseinstellungen, die Schlüsselrichtlinie und den Zugriffsweg jeder Ressource.

„Verschlüsselt" hat drei Teile, nicht einen: welcher Modus, wer den Schlüssel kontrolliert und ob die Übertragung erzwungen wird. Wende alle drei auf jede Ressource an.

Alle drei Ressourcen werden als verschlüsselt gemeldet.

Welche ist wirklich exponiert?

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Interaktive praktische Übung

Verwandle Theorie mit einer unserer interaktiven Übungen in die Praxis

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Mittlere SchwierigkeitSchwierigkeitsgrad

4.7+

Kurs kostenlos starten

In diesem Kapitel baust du das mentale Modell auf, das echte AWS-Workloads schützt: die Trennung zwischen dem Akteur und dem Principal, den AWS tatsächlich bewertet. Danach lernst du, eine IAM-Richtlinie so zu lesen wie AWS es tut, um herauszufinden, ob ein Aufruf erlaubt, verweigert oder stillschweigend durch nichts blockiert wird. Abschließend ersetzt du langlebige Zugriffsschlüssel durch Rollenübernahme, temporäre Anmeldedaten und vorab signierte URLs – das Muster, das Schlüssel dauerhaft aus Repositories verbannt.

Exercise 1: Einführung in AWS-Sicherheit Exercise 2: Überprivilegierte Zugriffspfade erkennen Exercise 3: Gib der Funktion eine eng gefasste Rolle Exercise 4: Fast nichts läuft als du selbst Exercise 5: IAM-Richtlinienauswertung und explizites Deny Exercise 6: Ordne Policy-Bestandteile ihrem Zweck zu Exercise 7: Implizites Deny in Aktion sehen Exercise 8: Bewerte das Ergebnis der Auswertung Exercise 9: Rollen, temporäre Anmeldeinformationen und SigV4 Exercise 10: Entscheide, wer die Rolle annehmen darf Exercise 11: Gültigkeitsbereich einer vorab signierten URL festlegen Exercise 12: Ersetze einen gespeicherten Schlüssel durch eine Rolle

In diesem Kapitel ziehst du eine klare Linie zwischen Cognito User Pools für den Login und Identity Pools für AWS-Anmeldedaten und prüfst die Signatur eines Tokens, bevor du seinem Inhalt vertraust. Dann kartierst du, wo eine Berechtigung wirklich herkommt – zwischen Identitätsrichtlinien, Ressourcenrichtlinien und den Grenzen, die sie deckeln – und nutzt diese Karte, um zwischen IAM-, Cognito- und Lambda-Authorizern für einen API-Gateway-Endpunkt zu wählen. Zum Schluss hältst du Secrets aus Code und Logs heraus und triffst die Wahl für Store, Maskierung und Rotationsgewohnheiten, die eine Incident-Review überstehen.

Exercise 1: User Pools, Identity Pools und JWTs Exercise 2: Überprüfe ein Token, bevor du ihm vertraust Exercise 3: Zugriff aus den Claims ableiten Exercise 4: Den richtigen Teil von Cognito wählen Exercise 5: Identity, Resource und Boundary Exercise 6: Wähle den Ort der Richtlinie Exercise 7: Benenne die Schicht, die abgelehnt hat Exercise 8: Einen Tenant isolieren Exercise 9: Den passenden API Gateway Authorizer wählen Exercise 10: Ordne den Anrufer der richtigen Tür zu Exercise 11: Das veraltete Fenster schließen Exercise 12: Den verwirrten Stellvertreter stoppen Exercise 13: Geheimnisse aus Code und Logs heraushalten Exercise 14: Wo der Wert liegt Exercise 15: Sanitizen, ohne blind zu werden Exercise 16: Die Rotation überstehen

In diesem Kapitel ordnest du den Verschlüsselungsmodus der Anforderung zu: die vier Möglichkeiten, ein S3-Objekt zu verschlüsseln, und die eine Richtlinienzeile, die Transport erzwingt. Danach klärst du, wer einen KMS-Schlüssel wirklich kontrolliert, wenn sowohl eine Key Policy als auch eine IAM-Richtlinie etwas zu sagen haben, und liest CloudTrail genau genug, um zu erkennen, wann sein Schweigen bedeutet, dass niemand geloggt hat – nicht, dass nichts passiert ist. Abschließend wendest du die Checkliste des gesamten Kurses auf einen Dienst an, den du gleich auslieferst, und siehst, wo dieselben Entscheidungen zu Identität, Secrets und Verschlüsselung in Pipelines und KI-Agenten übergehen, die in deinem Namen AWS aufrufen.

Exercise 1: Verschlüsselungsmodi und erzwungener Transit Exercise 2: Verschlüsselt – und trotzdem falsch

Aktuelle Übung

Exercise 3: Ordne den Modus der Anforderung zu Exercise 4: Ordne die Private Keys danach, wer eine Kopie hält Exercise 5: Wer kontrolliert den Schlüssel Exercise 6: Welches Tor hat sich geschlossen?Exercise 7: Lies die Ablehnung, benenne das Tor Exercise 8: Wähle den Schlüssel – und lebe damit Exercise 9: AWS-Belege lesen Exercise 10: Unter wessen Autorität Exercise 11: Was die Trail hält – und was nicht Exercise 12: Rolle anhand ihrer eigenen Aktivität passend zuschneiden Exercise 13: Sicher ausliefern Exercise 14: Abgehakt – und doch offen Exercise 15: Der Auslöser, der schon ausgelöst hat Exercise 16: Stell dieselben drei Fragen an einen nicht-menschlichen Aufrufer Exercise 17: Glückwunsch