Quelle porte s'est fermée ?

Une exportation nocturne s'exécute avec ReportsExportRole, et c'est à vous de la déboguer. Le rôle a kms:Decrypt dans sa stratégie IAM, et l'exportation échoue toujours.

Ouvrez le simulateur Two-gate. Il effectue un seul appel decrypt sur alias/reports et vous permet de définir chaque porte indépendamment. Réglez la porte 1 sur Allows kms:Decrypt et la porte 2 sur Does not name this caller, ce qui correspond à l'état de l'exportation.

Faites maintenant ce qu'un développeur sous pression ferait : appuyez trois fois sur Rotate now et observez le résultat.

Après avoir appuyé trois fois sur Rotate now, qu'est-ce qui a changé pour l'appel en échec ?

Cet exercice fait partie du cours

<cours>Sécurité AWS pour les développeurs</cours>

Voir le cours

Exercice interactif pratique

Transformez la théorie en action avec l’un de nos exercices interactifs

Commencer l’exercice

Cet exercice fait partie du cours

<cours>Sécurité AWS pour les développeurs</cours>

IntermédiaireNiveau de compétence

4.7+

15 reviews

Commencer le cours gratuitement

Dans ce chapitre, vous construirez le modèle mental qui sécurise les charges de travail AWS réelles : distinguer l'acteur du principal qu'AWS évalue effectivement. Vous apprendrez ensuite à lire une stratégie IAM comme AWS le fait, pour déterminer si un appel est autorisé, refusé, ou silencieusement non traité par absence de règle. Enfin, vous remplacerez des clés d'accès à longue durée par l'assomption de rôle, des identifiants temporaires et des URL pré-signées : le schéma qui supprime définitivement une clé d'un dépôt.

Exercise 1: Introduction à la sécurité AWS Exercise 2: Identifier les chemins d'accès sur-autorisés Exercise 3: Donner à la fonction un rôle strict Exercise 4: Presque rien ne s'exécute avec vos propres droits Exercise 5: Évaluation des stratégies IAM et refus explicite Exercise 6: Faire correspondre les parties d'une politique à leur rôle Exercise 7: Voir le refus implicite en action Exercise 8: Prédire le résultat de l'évaluation Exercise 9: Rôles, identifiants temporaires et SigV4 Exercise 10: Décider qui peut assumer le rôle Exercise 11: Définir le périmètre d'une URL pré-signée Exercise 12: Remplacer une clé stockée par un rôle

Dans ce chapitre, vous tracerez une frontière claire entre les groupes d'utilisateurs Cognito pour la connexion et les pools d'identités pour les identifiants AWS, puis vous vérifierez la signature d'un jeton avant de faire confiance à son contenu. Vous cartographierez ensuite l'origine réelle d'une permission entre stratégies d'identité, stratégies de ressource et limites qui les bornent, et utiliserez cette carte pour choisir entre IAM, les authorizers Cognito et Lambda pour un point de terminaison API Gateway. Enfin, vous maintiendrez les secrets hors du code et des journaux, en choisissant l'emplacement de stockage, le masquage et les habitudes de rotation qui résistent à un retour d'expérience après incident.

Exercise 1: User pools, identity pools, et JWT Exercise 2: Vérifiez un jeton avant de lui faire confiance Exercise 3: Décider de l'accès à partir des revendications Exercise 4: Choisir la bonne partie de Cognito Exercise 5: Identité, ressource et frontière Exercise 6: Choisir où vit la stratégie Exercise 7: Nommez la couche qui a refusé Exercise 8: Isoler un locataire Exercise 9: Choisir un authorizer API Gateway Exercise 10: Faites correspondre l'appelant à la bonne porte Exercise 11: Fermer la fenêtre périmée Exercise 12: Empêcher le deputy confus Exercise 13: Éloignez les secrets du code et des journaux Exercise 14: Où vit la valeur Exercise 15: Assainir sans perdre toute visibilité Exercise 16: Survivre à la rotation

Dans ce chapitre, vous adapterez le mode de chiffrement au besoin : les quatre façons de chiffrer un objet S3, et l'unique ligne de stratégie qui impose le transit chifré. Vous déterminerez ensuite qui contrôle réellement une clé KMS lorsqu'une stratégie de clé et une stratégie IAM s'appliquent toutes deux, et lirez CloudTrail d'assez près pour savoir quand son silence signifie que personne ne journalisait, et non que rien ne s'est passé. Enfin, vous appliquerez la checklist de tout le cours à un service que vous êtes sur le point de livrer, et verrez comment les mêmes décisions d'identité, de secrets et de chiffrement s'étendent aux pipelines et aux agents d'IA qui appellent AWS en votre nom.

Exercise 1: Modes de chiffrement et application du transit Exercise 2: Chiffré… et pourtant incorrect Exercise 3: Faites correspondre le mode à l'exigence Exercise 4: Classez la partie privée selon qui en détient une copie Exercise 5: Qui contrôle la clé Exercise 6: Quelle porte s'est fermée ?

Exercice actuel

Exercise 7: Lisez le refus, nommez la porte Exercise 8: Choisissez la clé, puis assumez-la Exercise 9: Lire les reçus AWS Exercise 10: Sous quelle autorité Exercise 11: Ce que le journal contient… et ne contient pas Exercise 12: Ajuster un rôle à partir de sa propre activité Exercise 13: Livrer en toute sécurité Exercise 14: Coché, et pourtant ouvert Exercise 15: Le déclencheur déjà activé Exercise 16: Posez les mêmes trois questions à un appelant non humain Exercise 17: Félicitations