¿Qué puerta se cerró?

Una exportación nocturna se ejecuta como ReportsExportRole, y te ha tocado depurarla. El rol tiene kms:Decrypt en su política de IAM y aun así la exportación falla.

Abre el simulador Two-gate. Contiene una llamada de descifrado contra alias/reports y te permite configurar cada puerta de forma independiente. Configura la puerta 1 en Allows kms:Decrypt y la puerta 2 en Does not name this caller, que es el estado en el que está la exportación.

Ahora haz lo que haría un desarrollador bajo presión: pulsa Rotate now tres veces y observa el resultado.

Después de pulsar Rotate now tres veces, ¿qué cambió para la llamada que falla?

Este ejercicio forma parte del curso

Uso de la seguridad de AWS para desarrolladores

Ver curso

ejercicio interactivo práctico

Convierte la teoría en práctica con uno de nuestros ejercicios interactivos

Empezar ejercicio

Este ejercicio forma parte del curso

Uso de la seguridad de AWS para desarrolladores

IntermedioNivel de habilidad

4.7+

15 reviews

Empieza el curso gratis

En este capítulo, construirás el modelo mental que mantiene seguras las cargas reales en AWS: separar al actor del principal que AWS evalúa realmente. Luego aprenderás a leer una política de IAM como lo hace AWS, determinando si una llamada está permitida, denegada o bloqueada en silencio por nada en absoluto. Por último, sustituirás claves de acceso de larga duración por asunción de roles, credenciales temporales y URL prefirmadas, el patrón que elimina una clave de un repositorio para siempre.

Exercise 1: Introducción a la seguridad en AWS Exercise 2: Identifica rutas de acceso con permisos excesivos Exercise 3: Dale a la función un rol ajustado Exercise 4: Casi nada se ejecuta como tú Exercise 5: Evaluación de políticas de IAM y denegación explícita Exercise 6: Relaciona las partes de la política con su propósito Exercise 7: Observa el deny implícito en acción Exercise 8: Predice el resultado de la evaluación Exercise 9: Roles, credenciales temporales y SigV4 Exercise 10: Decide quién puede asumir el rol Exercise 11: Delimita una URL prefirmada Exercise 12: Cambia una clave almacenada por un rol

En este capítulo, trazarás una línea clara entre los grupos de usuarios de Cognito para el inicio de sesión y los grupos de identidades para las credenciales de AWS, y después verificarás la firma de un token antes de confiar en su contenido. Luego mapearás de dónde viene realmente un permiso entre políticas de identidad, políticas de recurso y los límites que las acotan, y usarás ese mapa para elegir entre IAM, Cognito y autorizadores de Lambda para un endpoint de API Gateway. Por último, mantendrás los secretos fuera del código y de los registros, eligiendo el almacén, el enmascaramiento y los hábitos de rotación que superan una revisión de incidentes.

Exercise 1: User pools, identity pools y JWTs Exercise 2: Verifica un token antes de confiar en él Exercise 3: Decidir el acceso a partir de los claims Exercise 4: Elige la parte correcta de Cognito Exercise 5: Identidad, recurso y límite Exercise 6: Elige dónde vive la política Exercise 7: Nombra la capa que rechazó Exercise 8: Aislar a un inquilino Exercise 9: Elegir un autorizador de API Gateway Exercise 10: Asocia al llamante con la puerta Exercise 11: Cierra la ventana obsoleta Exercise 12: Detén al deputy confundido Exercise 13: Mantén los secretos fuera del código y de los registros Exercise 14: Dónde vive el valor Exercise 15: Sanitiza sin quedarte a ciegas Exercise 16: Sobrevive a la rotación

En este capítulo, ajustarás el modo de cifrado al requisito: las cuatro formas de cifrar un objeto de S3 y la única línea de política que obliga al tránsito. Luego determinarás quién controla realmente una clave de KMS cuando la política de clave y una política de IAM intervienen ambas, y leerás CloudTrail con el suficiente detalle como para saber cuándo su silencio significa que nadie estaba registrando, y no que no pasó nada. Por último, aplicarás la lista de comprobación de todo el curso a un servicio que estás a punto de desplegar y verás cómo las mismas decisiones sobre identidad, secretos y cifrado se trasladan a canalizaciones y agentes de IA que llaman a AWS en tu nombre.

Exercise 1: Modos de cifrado y cómo forzar el tránsito seguro Exercise 2: Cifrado, y aún así mal Exercise 3: Relaciona el modo con el requisito Exercise 4: Ordena la mitad privada según quién tiene una copia Exercise 5: Quién controla la clave Exercise 6: ¿Qué puerta se cerró?

Ejercicio actual

Exercise 7: Lee la denegación y nombra la puerta Exercise 8: Elige la clave y apégate a ella Exercise 9: Leer los recibos de AWS Exercise 10: Bajo qué autoridad Exercise 11: Lo que el trail sí registrará y lo que no Exercise 12: Ajusta un rol según su propia actividad Exercise 13: Lánzalo con seguridad Exercise 14: Marcadas, y aún abiertas Exercise 15: El disparador que ya se activó Exercise 16: Haz las mismas tres preguntas a un llamador no humano Exercise 17: Enhorabuena