Koppel de beller aan de deur

Je bent de platform engineer van een API met vier bellers, en jij moet een knoop doorhakken: deze API op REST houden of verhuizen naar HTTP. Niemand heeft vastgelegd welke beller waarvan afhankelijk is.

Wat elke beller aan de deur laat zien:

De webapp-gebruiker, met een Cognito-token.
De partner-app, met een ondoorzichtige sessiesleutel die je eigen code moet afhandelen.
De analytics-batchtaak, zonder token, die nu wordt toegelaten op basis van het account waarvan hij belt.
De voorraadservice, die zijn requests ondertekent met AWS-referenties.

Een REST API biedt IAM-auth, een Cognito-authorizer, een Lambda-authorizer en een resource policy. Een HTTP API biedt IAM-auth, een JWT-authorizer en een Lambda-authorizer, en heeft helemaal geen resource policies.

Welke van deze bellers kun je wel via een REST API bedienen maar niet via een HTTP API?

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

Interactieve oefening met praktijkervaring

Zet theorie om in actie met een van onze interactieve oefeningen

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

SkillTag.level.intermediateSkillTag.label

4.7+

Begin gratis met de cursus

In dit hoofdstuk bouw je het denkkader dat echte AWS-workloads veilig houdt: de actor scheiden van de principal die AWS daadwerkelijk evalueert. Daarna leer je een IAM-beleid te lezen zoals AWS dat doet, om uit te vogelen of een call is toegestaan, geweigerd, of stilletjes nergens door geblokkeerd. Tot slot vervang je langlevende access keys door role assumption, tijdelijke referenties en pre-signed URL's: het patroon dat een sleutel voorgoed uit een repository haalt.

Exercise 1: Introductie tot AWS-beveiliging Exercise 2: Herken te ruim ingestelde toegangspaden Exercise 3: Geef de functie een smalle rol Exercise 4: Bijna niets draait als jijzelf Exercise 5: IAM-beleidsevaluatie en expliciete deny Exercise 6: Koppel beleidsonderdelen aan hun doel Exercise 7: Zie impliciete deny in actie Exercise 8: Voorspel de uitkomst van de evaluatie Exercise 9: Rollen, tijdelijke referenties en SigV4 Exercise 10: Bepaal wie de role mag assumen Exercise 11: Scope van een pre-signed URL bepalen Exercise 12: Vervang een opgeslagen sleutel door een role

In dit hoofdstuk trek je een duidelijke scheidslijn tussen Cognito user pools voor inloggen en identity pools voor AWS-referenties, en verifieer je eerst de handtekening van een token voordat je iets erin vertrouwt. Daarna breng je in kaart waar een permissie echt vandaan komt tussen identity policies, resource policies en de grenzen die ze afkappen, en gebruik je die kaart om te kiezen tussen IAM-, Cognito- en Lambda-authorizers voor een API Gateway-endpoint. Tot slot houd je secrets uit code en logs door de juiste store, masking en rotatieroutines te kiezen die een incidentreview doorstaan.

Exercise 1: User pools, identity pools en JWT's Exercise 2: Verifieer een token voordat je het vertrouwt Exercise 3: Bepaal toegang op basis van de claims Exercise 4: Kies het juiste onderdeel van Cognito Exercise 5: Identity, resource en boundary Exercise 6: Kies waar de policy thuishoort Exercise 7: Noem de laag die weigerde Exercise 8: Isoleer één tenant Exercise 9: Een API Gateway-authorizer kiezen Exercise 10: Koppel de beller aan de deur

Huidige oefening

Exercise 11: Sluit het verouderde venster Exercise 12: Stop de confused deputy Exercise 13: Houd geheimen uit code en logs Exercise 14: Waar de waarde leeft Exercise 15: Sanitizen zonder blind te worden Exercise 16: Overleef de rotatie

In dit hoofdstuk koppel je versleutelingsmodus aan eis: de vier manieren om een S3-object te versleutelen, en de ene beleidsregel die transport afdwingt. Daarna bepaal je wie werkelijk een KMS-sleutel beheert wanneer zowel een key policy als een IAM-beleid iets te zeggen hebben, en lees je CloudTrail nauwkeurig genoeg om te weten wanneer stilte betekent dat niemand logde, niet dat er niets is gebeurd. Tot slot loop je de checklist van de hele cursus langs voor één service die je gaat releasen, en zie je hoe dezelfde keuzes rond identity, secrets en versleuteling doorwerken in pipelines en AI-agents die namens jou AWS aanroepen.

Exercise 1: Versleutelingsmodi en transport afdwingen Exercise 2: Versleuteld, en toch fout Exercise 3: Koppel de modus aan de eis Exercise 4: Rangschik de private helft op wie er een kopie heeft Exercise 5: Wie heeft de sleutel in handen Exercise 6: Welke poort ging dicht?Exercise 7: Lees de weigering, noem de poort Exercise 8: Kies de sleutel, en leef ermee Exercise 9: AWS-bewijzen lezen Exercise 10: Onder wiens bevoegdheid Exercise 11: Wat de trail wel en niet bewaart Exercise 12: Pas een rol precies aan op basis van zijn eigen activiteit Exercise 13: Veilig verzenden Exercise 14: Afgevinkt, en toch open Exercise 15: De trigger die al is afgegaan Exercise 16: Stel dezelfde drie aan een niet-menselijke aanroeper Exercise 17: Gefeliciteerd