Bepaal wie de role mag assumen

Je build-jobs draaien buiten AWS, dus er is geen role gekoppeld en de credential chain vindt niets om op te pikken. In plaats daarvan ondertekent het CI-platform een kortlevend OIDC-token met de naam van de repository waarin de job draaide, en STS ruilt dat token in voor tijdelijke inloggegevens.

Of die ruil slaagt, wordt bepaald door de trust policy: de regel die vooraf op reports-deploy-role is gezet en bepaalt wie die mag assumen. Vanmorgen presenteren vier build-jobs tokens.

Open de Trust policy-console en vereis eerst alleen de issuer, voer daarna de vier jobs uit. Drie komen terug met inloggegevens. Voeg vervolgens de repository-voorwaarde toe en voer ze nog eens uit.

Wat vertelt de run met alleen de issuer je?

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

Bekijk cursus

Interactieve oefening met praktijkervaring

Zet theorie om in actie met een van onze interactieve oefeningen

Begin oefening

Deze oefening maakt deel uit van de cursus

AWS-beveiliging gebruiken voor developers

SkillTag.level.intermediateSkillTag.label

4.7+

15 reviews

Begin gratis met de cursus

In dit hoofdstuk bouw je het denkkader dat echte AWS-workloads veilig houdt: de actor scheiden van de principal die AWS daadwerkelijk evalueert. Daarna leer je een IAM-beleid te lezen zoals AWS dat doet, om uit te vogelen of een call is toegestaan, geweigerd, of stilletjes nergens door geblokkeerd. Tot slot vervang je langlevende access keys door role assumption, tijdelijke referenties en pre-signed URL's: het patroon dat een sleutel voorgoed uit een repository haalt.

Exercise 1: Introductie tot AWS-beveiliging Exercise 2: Herken te ruim ingestelde toegangspaden Exercise 3: Geef de functie een smalle rol Exercise 4: Bijna niets draait als jijzelf Exercise 5: IAM-beleidsevaluatie en expliciete deny Exercise 6: Koppel beleidsonderdelen aan hun doel Exercise 7: Zie impliciete deny in actie Exercise 8: Voorspel de uitkomst van de evaluatie Exercise 9: Rollen, tijdelijke referenties en SigV4 Exercise 10: Bepaal wie de role mag assumen

Huidige oefening

Exercise 11: Scope van een pre-signed URL bepalen Exercise 12: Vervang een opgeslagen sleutel door een role

In dit hoofdstuk trek je een duidelijke scheidslijn tussen Cognito user pools voor inloggen en identity pools voor AWS-referenties, en verifieer je eerst de handtekening van een token voordat je iets erin vertrouwt. Daarna breng je in kaart waar een permissie echt vandaan komt tussen identity policies, resource policies en de grenzen die ze afkappen, en gebruik je die kaart om te kiezen tussen IAM-, Cognito- en Lambda-authorizers voor een API Gateway-endpoint. Tot slot houd je secrets uit code en logs door de juiste store, masking en rotatieroutines te kiezen die een incidentreview doorstaan.

Exercise 1: User pools, identity pools en JWT's Exercise 2: Verifieer een token voordat je het vertrouwt Exercise 3: Bepaal toegang op basis van de claims Exercise 4: Kies het juiste onderdeel van Cognito Exercise 5: Identity, resource en boundary Exercise 6: Kies waar de policy thuishoort Exercise 7: Noem de laag die weigerde Exercise 8: Isoleer één tenant Exercise 9: Een API Gateway-authorizer kiezen Exercise 10: Koppel de beller aan de deur Exercise 11: Sluit het verouderde venster Exercise 12: Stop de confused deputy Exercise 13: Houd geheimen uit code en logs Exercise 14: Waar de waarde leeft Exercise 15: Sanitizen zonder blind te worden Exercise 16: Overleef de rotatie

In dit hoofdstuk koppel je versleutelingsmodus aan eis: de vier manieren om een S3-object te versleutelen, en de ene beleidsregel die transport afdwingt. Daarna bepaal je wie werkelijk een KMS-sleutel beheert wanneer zowel een key policy als een IAM-beleid iets te zeggen hebben, en lees je CloudTrail nauwkeurig genoeg om te weten wanneer stilte betekent dat niemand logde, niet dat er niets is gebeurd. Tot slot loop je de checklist van de hele cursus langs voor één service die je gaat releasen, en zie je hoe dezelfde keuzes rond identity, secrets en versleuteling doorwerken in pipelines en AI-agents die namens jou AWS aanroepen.

Exercise 1: Versleutelingsmodi en transport afdwingen Exercise 2: Versleuteld, en toch fout Exercise 3: Koppel de modus aan de eis Exercise 4: Rangschik de private helft op wie er een kopie heeft Exercise 5: Wie heeft de sleutel in handen Exercise 6: Welke poort ging dicht?Exercise 7: Lees de weigering, noem de poort Exercise 8: Kies de sleutel, en leef ermee Exercise 9: AWS-bewijzen lezen Exercise 10: Onder wiens bevoegdheid Exercise 11: Wat de trail wel en niet bewaart Exercise 12: Pas een rol precies aan op basis van zijn eigen activiteit Exercise 13: Veilig verzenden Exercise 14: Afgevinkt, en toch open Exercise 15: De trigger die al is afgegaan Exercise 16: Stel dezelfde drie aan een niet-menselijke aanroeper Exercise 17: Gefeliciteerd