Abbina il chiamante alla porta

Sei l'engineer della piattaforma per un'API con quattro chiamanti, e devi prendere una decisione: tenere l'API su REST o spostarla su HTTP. Nessuno ha annotato da cosa dipende ciascun chiamante.

Cosa presenta alla porta ciascun chiamante:

L'utente della web app, con un token Cognito.
L'app del partner, con una chiave di sessione opaca che il tuo codice deve risolvere.
Il job batch di analytics, che non presenta alcun token e oggi viene ammesso in base all'account da cui chiama.
Il servizio di inventario, che firma le richieste con credenziali AWS.

Una REST API offre IAM auth, un authorizer Cognito, un authorizer Lambda e una resource policy. Una HTTP API offre IAM auth, un authorizer JWT e un authorizer Lambda, e non ha resource policy.

Quali di questi chiamanti possono essere serviti da una REST API ma non da una HTTP API?

Questo esercizio fa parte del corso

Uso di AWS Security per sviluppatori

Visualizza corso

esercizio interattivo pratico

Trasforma la teoria in pratica con uno dei nostri esercizi interattivi

Inizia esercizio

Questo esercizio fa parte del corso

Uso di AWS Security per sviluppatori

IntermediárioNível de habilidade

4.7+

Inizia il corso gratuitamente

In questo capitolo costruirai il modello mentale che mantiene sicuri i carichi reali su AWS: separare l'attore dal principal che AWS valuta davvero. Imparerai poi a leggere una policy IAM come fa AWS, capendo se una chiamata è consentita, negata o silenziosamente bloccata da nulla. Infine, sostituirai le access key a lunga durata con assunzione di ruolo, credenziali temporanee e URL prefirmati, lo schema che elimina definitivamente una chiave da un repository.

Exercise 1: Introduzione alla sicurezza su AWS Exercise 2: Individua i percorsi di accesso con permessi eccessivi Exercise 3: Dai alla funzione un ruolo ristretto Exercise 4: Quasi niente gira con la tua identità Exercise 5: Valutazione delle policy IAM ed explicit deny Exercise 6: Abbina le parti della policy al loro scopo Exercise 7: Guarda l'implicit deny in azione Exercise 8: Prevedi l'esito della valutazione Exercise 9: Ruoli, credenziali temporanee e SigV4 Exercise 10: Decidi chi può assumere il ruolo Exercise 11: Definisci l'ambito di una pre-signed URL Exercise 12: Sostituisci una chiave memorizzata con un ruolo

In questo capitolo traccerai una netta distinzione tra i user pool di Cognito per l'accesso e gli identity pool per le credenziali AWS, quindi verificherai la firma di un token prima di fidarti di ciò che contiene. Mmapperai poi l'origine reale di un permesso tra identity policy, resource policy e i boundary che li limitano, e userai quella mappa per scegliere tra IAM, Cognito e Lambda authorizer per un endpoint API Gateway. Infine, terrai i segreti fuori da codice e log, scegliendo l'archivio, l'offuscamento e le pratiche di rotazione che superano un'analisi degli incidenti.

Exercise 1: User pool, identity pool e JWT Exercise 2: Verifica un token prima di fidarti Exercise 3: Decidi l'accesso dai claim Exercise 4: Scegli la parte giusta di Cognito Exercise 5: Identità, risorsa e perimetro Exercise 6: Scegli dove vive la policy Exercise 7: Individua lo strato che ha rifiutato Exercise 8: Isola un tenant Exercise 9: Scegliere un authorizer di API Gateway Exercise 10: Abbina il chiamante alla porta

Esercizio attuale

Exercise 11: Chiudi la finestra stantia Exercise 12: Ferma il "confused deputy"Exercise 13: Tieni i segreti fuori da codice e log Exercise 14: Dove vive il valore Exercise 15: Sanitizzare senza perdere visibilità Exercise 16: Superare la rotazione

In questo capitolo abbinerai la modalità di crittografia al requisito: i quattro modi per cifrare un oggetto S3 e l'unica riga di policy che impone il transito. Capirai poi chi controlla davvero una chiave KMS quando sia la key policy sia una policy IAM hanno voce in capitolo, e leggerai CloudTrail abbastanza da riconoscere quando il suo silenzio significa che nessuno stava registrando, non che non sia successo nulla. Infine, eseguirai la checklist dell'intero corso su un servizio che stai per distribuire e vedrai come le stesse decisioni su identità, segreti e crittografia si estendono a pipeline e agenti di IA che chiamano AWS per tuo conto.

Exercise 1: Modalità di crittografia e imposizione del transito Exercise 2: Crittografato, e comunque sbagliato Exercise 3: Abbina la modalità al requisito Exercise 4: Classifica la metà privata in base a chi ne detiene una copia Exercise 5: Chi controlla la chiave Exercise 6: Quale cancello si è chiuso?Exercise 7: Leggi il rifiuto, indica il cancello Exercise 8: Scegli la chiave, poi convivici Exercise 9: Leggere le ricevute di AWS Exercise 10: Sotto quale autorità Exercise 11: Cosa il trail registra e cosa no Exercise 12: Dimensiona correttamente un ruolo partendo dalla sua attività Exercise 13: Distribuirlo in sicurezza Exercise 14: Spuntato, ma ancora aperto Exercise 15: Il trigger che è già scattato Exercise 16: Fai le stesse tre domande a un caller non umano Exercise 17: Congratulazioni