Stel dezelfde drie aan een niet-menselijke aanroeper

De zes vragen stoppen niet bij je service. Vier aanroepers bereiken deze account en geen van hen is een persoon achter een toetsenbord, dus de laatste drie vragen uit de video zijn hier van toepassing: een identiteit die AWS kan controleren, een bereik niet breder dan het werk, en een verslag van wat er is gedaan.

Het bord hieronder beantwoordt alle drie de vragen voor elke aanroeper. Achter elke cel zit negentig dagen aan trail, waar ook de verhouding "granted versus used" vandaan komt. Lees per rij voordat je ze met elkaar vergelijkt.

Eén aanroeper scoort op alle drie. Elk van de andere drie faalt precies op één, en die drie fouten zijn niet even makkelijk te vinden.

Leg nu die negentig dagen aan trail voor je neer.

Wiens gat blijft daarin nog steeds onzichtbaar?

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

Interactieve oefening met praktijkervaring

Zet theorie om in actie met een van onze interactieve oefeningen

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

SkillTag.level.intermediateSkillTag.label

4.7+

Begin gratis met de cursus

In dit hoofdstuk bouw je het denkkader dat echte AWS-workloads veilig houdt: de actor scheiden van de principal die AWS daadwerkelijk evalueert. Daarna leer je een IAM-beleid te lezen zoals AWS dat doet, om uit te vogelen of een call is toegestaan, geweigerd, of stilletjes nergens door geblokkeerd. Tot slot vervang je langlevende access keys door role assumption, tijdelijke referenties en pre-signed URL's: het patroon dat een sleutel voorgoed uit een repository haalt.

Exercise 1: Introductie tot AWS-beveiliging Exercise 2: Herken te ruim ingestelde toegangspaden Exercise 3: Geef de functie een smalle rol Exercise 4: Bijna niets draait als jijzelf Exercise 5: IAM-beleidsevaluatie en expliciete deny Exercise 6: Koppel beleidsonderdelen aan hun doel Exercise 7: Zie impliciete deny in actie Exercise 8: Voorspel de uitkomst van de evaluatie Exercise 9: Rollen, tijdelijke referenties en SigV4 Exercise 10: Bepaal wie de role mag assumen Exercise 11: Scope van een pre-signed URL bepalen Exercise 12: Vervang een opgeslagen sleutel door een role

In dit hoofdstuk trek je een duidelijke scheidslijn tussen Cognito user pools voor inloggen en identity pools voor AWS-referenties, en verifieer je eerst de handtekening van een token voordat je iets erin vertrouwt. Daarna breng je in kaart waar een permissie echt vandaan komt tussen identity policies, resource policies en de grenzen die ze afkappen, en gebruik je die kaart om te kiezen tussen IAM-, Cognito- en Lambda-authorizers voor een API Gateway-endpoint. Tot slot houd je secrets uit code en logs door de juiste store, masking en rotatieroutines te kiezen die een incidentreview doorstaan.

Exercise 1: User pools, identity pools en JWT's Exercise 2: Verifieer een token voordat je het vertrouwt Exercise 3: Bepaal toegang op basis van de claims Exercise 4: Kies het juiste onderdeel van Cognito Exercise 5: Identity, resource en boundary Exercise 6: Kies waar de policy thuishoort Exercise 7: Noem de laag die weigerde Exercise 8: Isoleer één tenant Exercise 9: Een API Gateway-authorizer kiezen Exercise 10: Koppel de beller aan de deur Exercise 11: Sluit het verouderde venster Exercise 12: Stop de confused deputy Exercise 13: Houd geheimen uit code en logs Exercise 14: Waar de waarde leeft Exercise 15: Sanitizen zonder blind te worden Exercise 16: Overleef de rotatie

In dit hoofdstuk koppel je versleutelingsmodus aan eis: de vier manieren om een S3-object te versleutelen, en de ene beleidsregel die transport afdwingt. Daarna bepaal je wie werkelijk een KMS-sleutel beheert wanneer zowel een key policy als een IAM-beleid iets te zeggen hebben, en lees je CloudTrail nauwkeurig genoeg om te weten wanneer stilte betekent dat niemand logde, niet dat er niets is gebeurd. Tot slot loop je de checklist van de hele cursus langs voor één service die je gaat releasen, en zie je hoe dezelfde keuzes rond identity, secrets en versleuteling doorwerken in pipelines en AI-agents die namens jou AWS aanroepen.

Exercise 1: Versleutelingsmodi en transport afdwingen Exercise 2: Versleuteld, en toch fout Exercise 3: Koppel de modus aan de eis Exercise 4: Rangschik de private helft op wie er een kopie heeft Exercise 5: Wie heeft de sleutel in handen Exercise 6: Welke poort ging dicht?Exercise 7: Lees de weigering, noem de poort Exercise 8: Kies de sleutel, en leef ermee Exercise 9: AWS-bewijzen lezen Exercise 10: Onder wiens bevoegdheid Exercise 11: Wat de trail wel en niet bewaart Exercise 12: Pas een rol precies aan op basis van zijn eigen activiteit Exercise 13: Veilig verzenden Exercise 14: Afgevinkt, en toch open Exercise 15: De trigger die al is afgegaan Exercise 16: Stel dezelfde drie aan een niet-menselijke aanroeper

Huidige oefening

Exercise 17: Gefeliciteerd