Entscheide, wer die Rolle annehmen darf

Deine Build-Jobs laufen außerhalb von AWS, daher ist keine Rolle angehängt und die Credential-Chain findet nichts, das sie übernehmen könnte. Stattdessen signiert die CI-Plattform ein kurzlebiges OIDC-Token, das das Repository nennt, in dem der Job lief, und STS tauscht dieses Token gegen temporäre Zugangsdaten.

Ob der Tausch gelingt, entscheidet die Vertrauensrichtlinie (Trust Policy): die vorab auf reports-deploy-role geschriebene Regel, die festlegt, wer sie annehmen darf. Heute Morgen präsentieren vier Build-Jobs Tokens.

Öffne die Trust-Policy-Konsole und verlange zunächst nur den Issuer, dann führe die vier Jobs aus. Drei kommen mit Zugangsdaten zurück. Füge anschließend die Repository-Bedingung hinzu und starte sie erneut.

Was sagt dir der Lauf mit nur dem Issuer?

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Interaktive praktische Übung

Verwandle Theorie mit einer unserer interaktiven Übungen in die Praxis

Diese Übung ist Teil des Kurses

<Kurs>AWS-Sicherheit für Entwickler:innen nutzen</Kurs>

Mittlere SchwierigkeitSchwierigkeitsgrad

4.7+

Kurs kostenlos starten

In diesem Kapitel baust du das mentale Modell auf, das echte AWS-Workloads schützt: die Trennung zwischen dem Akteur und dem Principal, den AWS tatsächlich bewertet. Danach lernst du, eine IAM-Richtlinie so zu lesen wie AWS es tut, um herauszufinden, ob ein Aufruf erlaubt, verweigert oder stillschweigend durch nichts blockiert wird. Abschließend ersetzt du langlebige Zugriffsschlüssel durch Rollenübernahme, temporäre Anmeldedaten und vorab signierte URLs – das Muster, das Schlüssel dauerhaft aus Repositories verbannt.

Exercise 1: Einführung in AWS-Sicherheit Exercise 2: Überprivilegierte Zugriffspfade erkennen Exercise 3: Gib der Funktion eine eng gefasste Rolle Exercise 4: Fast nichts läuft als du selbst Exercise 5: IAM-Richtlinienauswertung und explizites Deny Exercise 6: Ordne Policy-Bestandteile ihrem Zweck zu Exercise 7: Implizites Deny in Aktion sehen Exercise 8: Bewerte das Ergebnis der Auswertung Exercise 9: Rollen, temporäre Anmeldeinformationen und SigV4 Exercise 10: Entscheide, wer die Rolle annehmen darf

Aktuelle Übung

Exercise 11: Gültigkeitsbereich einer vorab signierten URL festlegen Exercise 12: Ersetze einen gespeicherten Schlüssel durch eine Rolle

In diesem Kapitel ziehst du eine klare Linie zwischen Cognito User Pools für den Login und Identity Pools für AWS-Anmeldedaten und prüfst die Signatur eines Tokens, bevor du seinem Inhalt vertraust. Dann kartierst du, wo eine Berechtigung wirklich herkommt – zwischen Identitätsrichtlinien, Ressourcenrichtlinien und den Grenzen, die sie deckeln – und nutzt diese Karte, um zwischen IAM-, Cognito- und Lambda-Authorizern für einen API-Gateway-Endpunkt zu wählen. Zum Schluss hältst du Secrets aus Code und Logs heraus und triffst die Wahl für Store, Maskierung und Rotationsgewohnheiten, die eine Incident-Review überstehen.

Exercise 1: User Pools, Identity Pools und JWTs Exercise 2: Überprüfe ein Token, bevor du ihm vertraust Exercise 3: Zugriff aus den Claims ableiten Exercise 4: Den richtigen Teil von Cognito wählen Exercise 5: Identity, Resource und Boundary Exercise 6: Wähle den Ort der Richtlinie Exercise 7: Benenne die Schicht, die abgelehnt hat Exercise 8: Einen Tenant isolieren Exercise 9: Den passenden API Gateway Authorizer wählen Exercise 10: Ordne den Anrufer der richtigen Tür zu Exercise 11: Das veraltete Fenster schließen Exercise 12: Den verwirrten Stellvertreter stoppen Exercise 13: Geheimnisse aus Code und Logs heraushalten Exercise 14: Wo der Wert liegt Exercise 15: Sanitizen, ohne blind zu werden Exercise 16: Die Rotation überstehen

In diesem Kapitel ordnest du den Verschlüsselungsmodus der Anforderung zu: die vier Möglichkeiten, ein S3-Objekt zu verschlüsseln, und die eine Richtlinienzeile, die Transport erzwingt. Danach klärst du, wer einen KMS-Schlüssel wirklich kontrolliert, wenn sowohl eine Key Policy als auch eine IAM-Richtlinie etwas zu sagen haben, und liest CloudTrail genau genug, um zu erkennen, wann sein Schweigen bedeutet, dass niemand geloggt hat – nicht, dass nichts passiert ist. Abschließend wendest du die Checkliste des gesamten Kurses auf einen Dienst an, den du gleich auslieferst, und siehst, wo dieselben Entscheidungen zu Identität, Secrets und Verschlüsselung in Pipelines und KI-Agenten übergehen, die in deinem Namen AWS aufrufen.

Exercise 1: Verschlüsselungsmodi und erzwungener Transit Exercise 2: Verschlüsselt – und trotzdem falsch Exercise 3: Ordne den Modus der Anforderung zu Exercise 4: Ordne die Private Keys danach, wer eine Kopie hält Exercise 5: Wer kontrolliert den Schlüssel Exercise 6: Welches Tor hat sich geschlossen?Exercise 7: Lies die Ablehnung, benenne das Tor Exercise 8: Wähle den Schlüssel – und lebe damit Exercise 9: AWS-Belege lesen Exercise 10: Unter wessen Autorität Exercise 11: Was die Trail hält – und was nicht Exercise 12: Rolle anhand ihrer eigenen Aktivität passend zuschneiden Exercise 13: Sicher ausliefern Exercise 14: Abgehakt – und doch offen Exercise 15: Der Auslöser, der schon ausgelöst hat Exercise 16: Stell dieselben drei Fragen an einen nicht-menschlichen Aufrufer Exercise 17: Glückwunsch