Quale cancello si è chiuso?

Un export notturno gira come ReportsExportRole, e il debug è toccato a te. Il ruolo ha kms:Decrypt nella sua policy IAM, ma l'export fallisce comunque.

Apri il simulatore Two-gate. Contiene una chiamata di decrypt verso alias/reports e ti permette di impostare ciascun cancello in modo indipendente. Imposta il cancello 1 su Allows kms:Decrypt e il cancello 2 su Does not name this caller, che è lo stato in cui si trova l'export.

Ora fai ciò che farebbe uno sviluppatore sotto pressione: premi Rotate now tre volte e osserva il risultato.

Dopo aver premuto Rotate now tre volte, cosa è cambiato per la chiamata che falliva?

Questo esercizio fa parte del corso

Uso di AWS Security per sviluppatori

Visualizza corso

esercizio interattivo pratico

Trasforma la teoria in pratica con uno dei nostri esercizi interattivi

Inizia esercizio

Questo esercizio fa parte del corso

Uso di AWS Security per sviluppatori

IntermediárioNível de habilidade

4.7+

15 reviews

Inizia il corso gratuitamente

In questo capitolo costruirai il modello mentale che mantiene sicuri i carichi reali su AWS: separare l'attore dal principal che AWS valuta davvero. Imparerai poi a leggere una policy IAM come fa AWS, capendo se una chiamata è consentita, negata o silenziosamente bloccata da nulla. Infine, sostituirai le access key a lunga durata con assunzione di ruolo, credenziali temporanee e URL prefirmati, lo schema che elimina definitivamente una chiave da un repository.

Exercise 1: Introduzione alla sicurezza su AWS Exercise 2: Individua i percorsi di accesso con permessi eccessivi Exercise 3: Dai alla funzione un ruolo ristretto Exercise 4: Quasi niente gira con la tua identità Exercise 5: Valutazione delle policy IAM ed explicit deny Exercise 6: Abbina le parti della policy al loro scopo Exercise 7: Guarda l'implicit deny in azione Exercise 8: Prevedi l'esito della valutazione Exercise 9: Ruoli, credenziali temporanee e SigV4 Exercise 10: Decidi chi può assumere il ruolo Exercise 11: Definisci l'ambito di una pre-signed URL Exercise 12: Sostituisci una chiave memorizzata con un ruolo

In questo capitolo traccerai una netta distinzione tra i user pool di Cognito per l'accesso e gli identity pool per le credenziali AWS, quindi verificherai la firma di un token prima di fidarti di ciò che contiene. Mmapperai poi l'origine reale di un permesso tra identity policy, resource policy e i boundary che li limitano, e userai quella mappa per scegliere tra IAM, Cognito e Lambda authorizer per un endpoint API Gateway. Infine, terrai i segreti fuori da codice e log, scegliendo l'archivio, l'offuscamento e le pratiche di rotazione che superano un'analisi degli incidenti.

Exercise 1: User pool, identity pool e JWT Exercise 2: Verifica un token prima di fidarti Exercise 3: Decidi l'accesso dai claim Exercise 4: Scegli la parte giusta di Cognito Exercise 5: Identità, risorsa e perimetro Exercise 6: Scegli dove vive la policy Exercise 7: Individua lo strato che ha rifiutato Exercise 8: Isola un tenant Exercise 9: Scegliere un authorizer di API Gateway Exercise 10: Abbina il chiamante alla porta Exercise 11: Chiudi la finestra stantia Exercise 12: Ferma il "confused deputy"Exercise 13: Tieni i segreti fuori da codice e log Exercise 14: Dove vive il valore Exercise 15: Sanitizzare senza perdere visibilità Exercise 16: Superare la rotazione

In questo capitolo abbinerai la modalità di crittografia al requisito: i quattro modi per cifrare un oggetto S3 e l'unica riga di policy che impone il transito. Capirai poi chi controlla davvero una chiave KMS quando sia la key policy sia una policy IAM hanno voce in capitolo, e leggerai CloudTrail abbastanza da riconoscere quando il suo silenzio significa che nessuno stava registrando, non che non sia successo nulla. Infine, eseguirai la checklist dell'intero corso su un servizio che stai per distribuire e vedrai come le stesse decisioni su identità, segreti e crittografia si estendono a pipeline e agenti di IA che chiamano AWS per tuo conto.

Exercise 1: Modalità di crittografia e imposizione del transito Exercise 2: Crittografato, e comunque sbagliato Exercise 3: Abbina la modalità al requisito Exercise 4: Classifica la metà privata in base a chi ne detiene una copia Exercise 5: Chi controlla la chiave Exercise 6: Quale cancello si è chiuso?

Esercizio attuale

Exercise 7: Leggi il rifiuto, indica il cancello Exercise 8: Scegli la chiave, poi convivici Exercise 9: Leggere le ricevute di AWS Exercise 10: Sotto quale autorità Exercise 11: Cosa il trail registra e cosa no Exercise 12: Dimensiona correttamente un ruolo partendo dalla sua attività Exercise 13: Distribuirlo in sicurezza Exercise 14: Spuntato, ma ancora aperto Exercise 15: Il trigger che è già scattato Exercise 16: Fai le stesse tre domande a un caller non umano Exercise 17: Congratulazioni