Beri fungsi tersebut peran yang sempit

Anda adalah pengembang backend di tim laporan, dan rekan tim Anda akan merilis fungsi Lambda bernama report-generator. Fungsi ini membaca satu objek dari bucket laporan setiap pagi dan menulis baris lognya sendiri, serta belum memiliki identitas. Hampir tidak ada yang Anda bangun berjalan sebagai diri Anda pribadi, jadi sebelum fungsi tersebut dapat memanggil AWS, fungsi itu memerlukan execution role.

Dengan AmazonS3ReadOnlyAccess terpasang, jika report-generator disusupi besok, apa jangkauan maksimum yang bisa dicapainya?

Latihan ini merupakan bagian dari kursus

Menggunakan Keamanan AWS untuk Developer

Lihat Kursus

Latihan interaktif langsung

Ubah teori menjadi aksi dengan salah satu latihan interaktif kami

Mulai latihan

Latihan ini merupakan bagian dari kursus

Menggunakan Keamanan AWS untuk Developer

SkillTag.level.intermediateSkillTag.label

4.8+

18 reviews

Mulai Kursus Gratis

Di bab ini, Anda akan membangun model mental yang menjaga beban kerja AWS nyata tetap aman: memisahkan aktor dari principal yang sebenarnya dievaluasi oleh AWS. Anda kemudian akan belajar membaca kebijakan IAM sebagaimana AWS melakukannya, menentukan apakah sebuah panggilan diizinkan, ditolak, atau diam-diam tidak diproses oleh apa pun. Terakhir, Anda akan mengganti access key berumur panjang dengan asumsi role, kredensial sementara, dan URL yang telah ditandatangani sebelumnya (pre-signed URL), pola yang menghilangkan kunci dari repositori untuk selamanya.

Exercise 1: Pengantar Keamanan AWS Exercise 2: Identifikasi jalur akses dengan izin berlebihan Exercise 3: Beri fungsi tersebut peran yang sempit

Latihan Saat Ini

Exercise 4: Hampir tidak ada yang berjalan sebagai Anda Exercise 5: Evaluasi kebijakan IAM dan penolakan eksplisit Exercise 6: Peta bagian kebijakan ke tujuannya Exercise 7: Lihat implicit deny secara langsung Exercise 8: Prediksi hasil evaluasi Exercise 9: Peran, kredensial sementara, dan SigV4 Exercise 10: Tentukan siapa yang boleh mengasumsikan role Exercise 11: Menentukan cakupan pre-signed URL Exercise 12: Tukar kunci tersimpan dengan role

Di bab ini, Anda akan menarik garis tegas antara user pool Cognito untuk masuk (sign-in) dan identity pool untuk kredensial AWS, lalu memverifikasi tanda tangan token sebelum Anda mempercayai apa pun di dalamnya. Anda kemudian akan memetakan dari mana izin sebenarnya berasal di antara identity policy, resource policy, dan batas (boundary) yang membatasinya, serta menggunakan peta tersebut untuk memilih antara IAM, Cognito, dan Lambda authorizer untuk endpoint API Gateway. Terakhir, Anda akan menjaga rahasia tetap keluar dari kode dan log, memilih penyimpanan, masking, dan kebiasaan rotasi yang tetap kuat saat ditinjau setelah insiden.

Exercise 1: User pool, identity pool, dan JWT Exercise 2: Verifikasi token sebelum Anda mempercayainya Exercise 3: Tentukan akses dari klaim Exercise 4: Pilih bagian Cognito yang tepat Exercise 5: Identitas, sumber daya, dan batasan Exercise 6: Pilih rumah kebijakan Exercise 7: Sebutkan lapisan yang menolak Exercise 8: Isolasi satu tenant Exercise 9: Memilih authorizer API Gateway Exercise 10: Cocokkan penelepon dengan pintunya Exercise 11: Tutup jendela kedaluwarsa Exercise 12: Hentikan confused deputy Exercise 13: Jauhkan rahasia dari kode dan log Exercise 14: Di mana nilai disimpan Exercise 15: Membersihkan tanpa kehilangan visibilitas Exercise 16: Bertahan dari rotasi

Di bab ini, Anda akan mencocokkan mode enkripsi dengan kebutuhan: empat cara mengenkripsi objek S3, dan satu baris kebijakan yang menegakkan transit. Anda kemudian akan menentukan siapa yang benar-benar mengendalikan kunci KMS ketika key policy dan IAM policy sama-sama berperan, serta membaca CloudTrail dengan cukup cermat untuk mengetahui kapan kesenyapannya berarti tidak ada yang mencatat, bukan tidak ada yang terjadi. Terakhir, Anda akan menjalankan daftar periksa seluruh kursus terhadap satu layanan yang akan Anda rilis, dan melihat bagaimana keputusan yang sama tentang identitas, rahasia, dan enkripsi diterapkan ke pipeline dan agen AI yang memanggil AWS atas nama Anda.

Exercise 1: Mode enkripsi dan penegakan transit Exercise 2: Terenkripsi, namun tetap keliru Exercise 3: Cocokkan mode dengan kebutuhannya Exercise 4: Urutkan bagian privat berdasarkan siapa yang memegang salinannya Exercise 5: Siapa yang Mengendalikan Kunci Exercise 6: Gerbang mana yang tertutup?Exercise 7: Baca penolakan, sebutkan gerbangnya Exercise 8: Pilih kunci, lalu konsekuensinya Exercise 9: Membaca tanda terima AWS Exercise 10: Di bawah kewenangan siapa Exercise 11: Apa yang bisa dan tidak bisa disimpan oleh trail Exercise 12: Sesuaikan ukuran role berdasarkan aktivitasnya sendiri Exercise 13: Mengirimkannya dengan aman Exercise 14: Sudah dicentang, tapi masih terbuka Exercise 15: Pemicu yang sudah terpicu Exercise 16: Tanyakan tiga hal yang sama pada pemanggil non-manusia Exercise 17: Selamat