Ferma il "confused deputy"

Un vendor di monitoring opera dentro al tuo account assumendo un ruolo che hai creato per lui. Hai consegnato l'ARN del ruolo quando hai configurato l'integrazione, ed è tutto ciò di cui il vendor ha bisogno per effettuare la chiamata.

Apri la console External ID. Tre chiamate AssumeRole hanno raggiunto il tuo ruolo in quest'ora, tutte e tre provenienti dal vendor. Leggi la scheda in basso e confronta cosa ha fatto il vendor in ciascun caso.

Due di queste tre letture sono state richieste da qualcun altro. Spunta il requisito sts:ExternalId e osserva come entrambe si fermano.

Perché un altro cliente del vendor non può semplicemente inviare anche il tuo valore?

Questo esercizio fa parte del corso

Uso di AWS Security per sviluppatori

Visualizza corso

esercizio interattivo pratico

Trasforma la teoria in pratica con uno dei nostri esercizi interattivi

Inizia esercizio

Questo esercizio fa parte del corso

Uso di AWS Security per sviluppatori

IntermediárioNível de habilidade

4.7+

15 reviews

Inizia il corso gratuitamente

In questo capitolo costruirai il modello mentale che mantiene sicuri i carichi reali su AWS: separare l'attore dal principal che AWS valuta davvero. Imparerai poi a leggere una policy IAM come fa AWS, capendo se una chiamata è consentita, negata o silenziosamente bloccata da nulla. Infine, sostituirai le access key a lunga durata con assunzione di ruolo, credenziali temporanee e URL prefirmati, lo schema che elimina definitivamente una chiave da un repository.

Exercise 1: Introduzione alla sicurezza su AWS Exercise 2: Individua i percorsi di accesso con permessi eccessivi Exercise 3: Dai alla funzione un ruolo ristretto Exercise 4: Quasi niente gira con la tua identità Exercise 5: Valutazione delle policy IAM ed explicit deny Exercise 6: Abbina le parti della policy al loro scopo Exercise 7: Guarda l'implicit deny in azione Exercise 8: Prevedi l'esito della valutazione Exercise 9: Ruoli, credenziali temporanee e SigV4 Exercise 10: Decidi chi può assumere il ruolo Exercise 11: Definisci l'ambito di una pre-signed URL Exercise 12: Sostituisci una chiave memorizzata con un ruolo

In questo capitolo traccerai una netta distinzione tra i user pool di Cognito per l'accesso e gli identity pool per le credenziali AWS, quindi verificherai la firma di un token prima di fidarti di ciò che contiene. Mmapperai poi l'origine reale di un permesso tra identity policy, resource policy e i boundary che li limitano, e userai quella mappa per scegliere tra IAM, Cognito e Lambda authorizer per un endpoint API Gateway. Infine, terrai i segreti fuori da codice e log, scegliendo l'archivio, l'offuscamento e le pratiche di rotazione che superano un'analisi degli incidenti.

Exercise 1: User pool, identity pool e JWT Exercise 2: Verifica un token prima di fidarti Exercise 3: Decidi l'accesso dai claim Exercise 4: Scegli la parte giusta di Cognito Exercise 5: Identità, risorsa e perimetro Exercise 6: Scegli dove vive la policy Exercise 7: Individua lo strato che ha rifiutato Exercise 8: Isola un tenant Exercise 9: Scegliere un authorizer di API Gateway Exercise 10: Abbina il chiamante alla porta Exercise 11: Chiudi la finestra stantia Exercise 12: Ferma il "confused deputy"

Esercizio attuale

Exercise 13: Tieni i segreti fuori da codice e log Exercise 14: Dove vive il valore Exercise 15: Sanitizzare senza perdere visibilità Exercise 16: Superare la rotazione

In questo capitolo abbinerai la modalità di crittografia al requisito: i quattro modi per cifrare un oggetto S3 e l'unica riga di policy che impone il transito. Capirai poi chi controlla davvero una chiave KMS quando sia la key policy sia una policy IAM hanno voce in capitolo, e leggerai CloudTrail abbastanza da riconoscere quando il suo silenzio significa che nessuno stava registrando, non che non sia successo nulla. Infine, eseguirai la checklist dell'intero corso su un servizio che stai per distribuire e vedrai come le stesse decisioni su identità, segreti e crittografia si estendono a pipeline e agenti di IA che chiamano AWS per tuo conto.

Exercise 1: Modalità di crittografia e imposizione del transito Exercise 2: Crittografato, e comunque sbagliato Exercise 3: Abbina la modalità al requisito Exercise 4: Classifica la metà privata in base a chi ne detiene una copia Exercise 5: Chi controlla la chiave Exercise 6: Quale cancello si è chiuso?Exercise 7: Leggi il rifiuto, indica il cancello Exercise 8: Scegli la chiave, poi convivici Exercise 9: Leggere le ricevute di AWS Exercise 10: Sotto quale autorità Exercise 11: Cosa il trail registra e cosa no Exercise 12: Dimensiona correttamente un ruolo partendo dalla sua attività Exercise 13: Distribuirlo in sicurezza Exercise 14: Spuntato, ma ancora aperto Exercise 15: Il trigger che è già scattato Exercise 16: Fai le stesse tre domande a un caller non umano Exercise 17: Congratulazioni