Ordne die Private Keys danach, wer eine Kopie hält

Der interne Admin-Service auf admin.example.internal geht diese Woche live. Der Name wird nur innerhalb der VPC aufgelöst, daher kann ihn keine öffentliche Stelle validieren, und das Zertifikat wird von deiner eigenen AWS Private CA ausgestellt. Soweit ist alles klar.

Unklar ist noch die private Hälfte. Der Service braucht einen TLS-Private-Key für das Zertifikat und einen SSH-Private-Key für den Maintenance-Host, und fünf Vorschläge, wo diese Schlüssel liegen sollen, stehen zur Auswahl.

Ein Zertifikat ist öffentlich und du kannst es jedem geben. Ein Private Key ist es nicht, und die einzig sinnvolle Frage dazu ist, wie viele Kopien existieren, die du weder zählen noch zurückholen kannst.

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Kurs ansehen

Interaktive praktische Übung

Verwandle Theorie mit einer unserer interaktiven Übungen in die Praxis

Übung starten

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Mittlere SchwierigkeitSchwierigkeitsgrad

4.7+

15 reviews

Kurs kostenlos starten

In diesem Kapitel baust du das mentale Modell auf, das echte AWS-Workloads schützt: die Trennung zwischen dem Akteur und dem Principal, den AWS tatsächlich bewertet. Danach lernst du, eine IAM-Richtlinie so zu lesen wie AWS es tut, um herauszufinden, ob ein Aufruf erlaubt, verweigert oder stillschweigend durch nichts blockiert wird. Abschließend ersetzt du langlebige Zugriffsschlüssel durch Rollenübernahme, temporäre Anmeldedaten und vorab signierte URLs – das Muster, das Schlüssel dauerhaft aus Repositories verbannt.

Exercise 1: Einführung in AWS-Sicherheit Exercise 2: Überprivilegierte Zugriffspfade erkennen Exercise 3: Gib der Funktion eine eng gefasste Rolle Exercise 4: Fast nichts läuft als du selbst Exercise 5: IAM-Richtlinienauswertung und explizites Deny Exercise 6: Ordne Policy-Bestandteile ihrem Zweck zu Exercise 7: Implizites Deny in Aktion sehen Exercise 8: Bewerte das Ergebnis der Auswertung Exercise 9: Rollen, temporäre Anmeldeinformationen und SigV4 Exercise 10: Entscheide, wer die Rolle annehmen darf Exercise 11: Gültigkeitsbereich einer vorab signierten URL festlegen Exercise 12: Ersetze einen gespeicherten Schlüssel durch eine Rolle

In diesem Kapitel ziehst du eine klare Linie zwischen Cognito User Pools für den Login und Identity Pools für AWS-Anmeldedaten und prüfst die Signatur eines Tokens, bevor du seinem Inhalt vertraust. Dann kartierst du, wo eine Berechtigung wirklich herkommt – zwischen Identitätsrichtlinien, Ressourcenrichtlinien und den Grenzen, die sie deckeln – und nutzt diese Karte, um zwischen IAM-, Cognito- und Lambda-Authorizern für einen API-Gateway-Endpunkt zu wählen. Zum Schluss hältst du Secrets aus Code und Logs heraus und triffst die Wahl für Store, Maskierung und Rotationsgewohnheiten, die eine Incident-Review überstehen.

Exercise 1: User Pools, Identity Pools und JWTs Exercise 2: Überprüfe ein Token, bevor du ihm vertraust Exercise 3: Zugriff aus den Claims ableiten Exercise 4: Den richtigen Teil von Cognito wählen Exercise 5: Identity, Resource und Boundary Exercise 6: Wähle den Ort der Richtlinie Exercise 7: Benenne die Schicht, die abgelehnt hat Exercise 8: Einen Tenant isolieren Exercise 9: Den passenden API Gateway Authorizer wählen Exercise 10: Ordne den Anrufer der richtigen Tür zu Exercise 11: Das veraltete Fenster schließen Exercise 12: Den verwirrten Stellvertreter stoppen Exercise 13: Geheimnisse aus Code und Logs heraushalten Exercise 14: Wo der Wert liegt Exercise 15: Sanitizen, ohne blind zu werden Exercise 16: Die Rotation überstehen

In diesem Kapitel ordnest du den Verschlüsselungsmodus der Anforderung zu: die vier Möglichkeiten, ein S3-Objekt zu verschlüsseln, und die eine Richtlinienzeile, die Transport erzwingt. Danach klärst du, wer einen KMS-Schlüssel wirklich kontrolliert, wenn sowohl eine Key Policy als auch eine IAM-Richtlinie etwas zu sagen haben, und liest CloudTrail genau genug, um zu erkennen, wann sein Schweigen bedeutet, dass niemand geloggt hat – nicht, dass nichts passiert ist. Abschließend wendest du die Checkliste des gesamten Kurses auf einen Dienst an, den du gleich auslieferst, und siehst, wo dieselben Entscheidungen zu Identität, Secrets und Verschlüsselung in Pipelines und KI-Agenten übergehen, die in deinem Namen AWS aufrufen.

Exercise 1: Verschlüsselungsmodi und erzwungener Transit Exercise 2: Verschlüsselt – und trotzdem falsch Exercise 3: Ordne den Modus der Anforderung zu Exercise 4: Ordne die Private Keys danach, wer eine Kopie hält

Aktuelle Übung

Exercise 5: Wer kontrolliert den Schlüssel Exercise 6: Welches Tor hat sich geschlossen?Exercise 7: Lies die Ablehnung, benenne das Tor Exercise 8: Wähle den Schlüssel – und lebe damit Exercise 9: AWS-Belege lesen Exercise 10: Unter wessen Autorität Exercise 11: Was die Trail hält – und was nicht Exercise 12: Rolle anhand ihrer eigenen Aktivität passend zuschneiden Exercise 13: Sicher ausliefern Exercise 14: Abgehakt – und doch offen Exercise 15: Der Auslöser, der schon ausgelöst hat Exercise 16: Stell dieselben drei Fragen an einen nicht-menschlichen Aufrufer Exercise 17: Glückwunsch