Kies de sleutel, en leef ermee

Een nieuwe bucket bevat de nachtelijke export en die gaat op SSE-KMS in plaats van de standaard, zodat sleutelgebruik zichtbaar wordt in CloudTrail. Er zijn al twee eisen: partneraccount 999988887777 moet kunnen decrypten, en de security review wil dat het materiaal elke negentig dagen wordt vervangen.

Open de Key custody-console. Kies eerst aws/s3, omdat dat de sleutel is die je krijgt aangeboden zonder er zelf een te maken, en werk beide stappen daaronder uit. Lees elke weigering.

Schakel daarna over naar alias/reports en voer dezelfde twee stappen opnieuw uit.

De strook rechts vermeldt wat de twee sleutels gemeen hebben, dus negeer alles daarop.

Selecteer de twee dingen die alias/reports je liet doen en die aws/s3 weigerde.

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

Interactieve oefening met praktijkervaring

Zet theorie om in actie met een van onze interactieve oefeningen

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

SkillTag.level.intermediateSkillTag.label

4.7+

Begin gratis met de cursus

In dit hoofdstuk bouw je het denkkader dat echte AWS-workloads veilig houdt: de actor scheiden van de principal die AWS daadwerkelijk evalueert. Daarna leer je een IAM-beleid te lezen zoals AWS dat doet, om uit te vogelen of een call is toegestaan, geweigerd, of stilletjes nergens door geblokkeerd. Tot slot vervang je langlevende access keys door role assumption, tijdelijke referenties en pre-signed URL's: het patroon dat een sleutel voorgoed uit een repository haalt.

Exercise 1: Introductie tot AWS-beveiliging Exercise 2: Herken te ruim ingestelde toegangspaden Exercise 3: Geef de functie een smalle rol Exercise 4: Bijna niets draait als jijzelf Exercise 5: IAM-beleidsevaluatie en expliciete deny Exercise 6: Koppel beleidsonderdelen aan hun doel Exercise 7: Zie impliciete deny in actie Exercise 8: Voorspel de uitkomst van de evaluatie Exercise 9: Rollen, tijdelijke referenties en SigV4 Exercise 10: Bepaal wie de role mag assumen Exercise 11: Scope van een pre-signed URL bepalen Exercise 12: Vervang een opgeslagen sleutel door een role

In dit hoofdstuk trek je een duidelijke scheidslijn tussen Cognito user pools voor inloggen en identity pools voor AWS-referenties, en verifieer je eerst de handtekening van een token voordat je iets erin vertrouwt. Daarna breng je in kaart waar een permissie echt vandaan komt tussen identity policies, resource policies en de grenzen die ze afkappen, en gebruik je die kaart om te kiezen tussen IAM-, Cognito- en Lambda-authorizers voor een API Gateway-endpoint. Tot slot houd je secrets uit code en logs door de juiste store, masking en rotatieroutines te kiezen die een incidentreview doorstaan.

Exercise 1: User pools, identity pools en JWT's Exercise 2: Verifieer een token voordat je het vertrouwt Exercise 3: Bepaal toegang op basis van de claims Exercise 4: Kies het juiste onderdeel van Cognito Exercise 5: Identity, resource en boundary Exercise 6: Kies waar de policy thuishoort Exercise 7: Noem de laag die weigerde Exercise 8: Isoleer één tenant Exercise 9: Een API Gateway-authorizer kiezen Exercise 10: Koppel de beller aan de deur Exercise 11: Sluit het verouderde venster Exercise 12: Stop de confused deputy Exercise 13: Houd geheimen uit code en logs Exercise 14: Waar de waarde leeft Exercise 15: Sanitizen zonder blind te worden Exercise 16: Overleef de rotatie

In dit hoofdstuk koppel je versleutelingsmodus aan eis: de vier manieren om een S3-object te versleutelen, en de ene beleidsregel die transport afdwingt. Daarna bepaal je wie werkelijk een KMS-sleutel beheert wanneer zowel een key policy als een IAM-beleid iets te zeggen hebben, en lees je CloudTrail nauwkeurig genoeg om te weten wanneer stilte betekent dat niemand logde, niet dat er niets is gebeurd. Tot slot loop je de checklist van de hele cursus langs voor één service die je gaat releasen, en zie je hoe dezelfde keuzes rond identity, secrets en versleuteling doorwerken in pipelines en AI-agents die namens jou AWS aanroepen.

Exercise 1: Versleutelingsmodi en transport afdwingen Exercise 2: Versleuteld, en toch fout Exercise 3: Koppel de modus aan de eis Exercise 4: Rangschik de private helft op wie er een kopie heeft Exercise 5: Wie heeft de sleutel in handen Exercise 6: Welke poort ging dicht?Exercise 7: Lees de weigering, noem de poort Exercise 8: Kies de sleutel, en leef ermee

Huidige oefening

Exercise 9: AWS-bewijzen lezen Exercise 10: Onder wiens bevoegdheid Exercise 11: Wat de trail wel en niet bewaart Exercise 12: Pas een rol precies aan op basis van zijn eigen activiteit Exercise 13: Veilig verzenden Exercise 14: Afgevinkt, en toch open Exercise 15: De trigger die al is afgegaan Exercise 16: Stel dezelfde drie aan een niet-menselijke aanroeper Exercise 17: Gefeliciteerd