Decida quem pode assumir a role

Seus jobs de build rodam fora da AWS, então nenhuma role está anexada e a cadeia de credenciais não encontra nada para carregar. Em vez disso, a plataforma de CI assina um token OIDC de curta duração informando o repositório em que o job rodou, e o STS troca esse token por credenciais temporárias.

Se a troca vai dar certo é decidido pela trust policy: a regra escrita antecipadamente em reports-deploy-role, dizendo quem pode assumi-la. Quatro jobs de build estão apresentando tokens esta manhã.

Abra o console de Trust policy e exija apenas o emissor; depois, execute os quatro jobs. Três retornam com credenciais. Adicione a condição de repositório e execute-os novamente.

O que a execução somente com o emissor informa para você?

Este exercicio faz parte do curso

Usando a segurança da AWS para desenvolvedores

exercicio interativo prático

Transforme teoria em prática com um dos nossos exercicio interativos

Iniciar exercicio

Este exercicio faz parte do curso

Usando a segurança da AWS para desenvolvedores

IntermediárioNível de habilidade

4.7+

Comece o curso gratuitamente

Neste capítulo, você vai construir o modelo mental que mantém cargas de trabalho reais na AWS seguras: separar o ator do principal que a AWS realmente avalia. Em seguida, você vai aprender a ler uma política do IAM do jeito que a AWS faz, descobrindo se uma chamada é permitida, negada ou silenciosamente bloqueada por nada. Por fim, você vai substituir chaves de acesso de longa duração por assunção de função, credenciais temporárias e URLs pré-assinadas, o padrão que remove uma chave de um repositório de uma vez por todas.

Exercise 1: Introdução à segurança na AWS Exercise 2: Identifique caminhos de acesso com permissões em excesso Exercise 3: Dê à função uma função de execução bem restrita Exercise 4: Quase nada roda como você Exercise 5: Avaliação de políticas do IAM e negação explícita Exercise 6: Mapeie as partes da política ao seu propósito Exercise 7: Veja o deny implícito em ação Exercise 8: Prever o resultado da avaliação Exercise 9: Funções, credenciais temporárias e SigV4 Exercise 10: Decida quem pode assumir a role

Exercicio Atual

Exercise 11: Definir o escopo de uma URL pré-assinada Exercise 12: Trocar uma chave armazenada por uma função (role)

Neste capítulo, você vai traçar uma linha clara entre pools de usuários do Cognito para login e pools de identidade para credenciais da AWS, depois vai verificar a assinatura de um token antes de confiar em qualquer coisa dentro dele. Em seguida, você vai mapear de onde uma permissão realmente vem entre políticas de identidade, políticas de recurso e os limites que as restringem, e usar esse mapa para escolher entre IAM, Cognito e autorizadores do Lambda para um endpoint do API Gateway. Por fim, você vai manter segredos fora do código e dos logs, escolhendo o repositório, a máscara e os hábitos de rotação que passam por uma revisão de incidente.

Exercise 1: User pools, identity pools e JWTs Exercise 2: Verifique um token antes de confiar nele Exercise 3: Decida o acesso a partir das claims Exercise 4: Escolha a parte certa do Cognito Exercise 5: Identidade, recurso e limite Exercise 6: Escolha onde a policy mora Exercise 7: Dê nome à camada que recusou Exercise 8: Isolar um tenant Exercise 9: Escolhendo um authorizer do API Gateway Exercise 10: Combine quem chama com a porta certa Exercise 11: Feche a janela obsoleta Exercise 12: Pare o "confused deputy"Exercise 13: Mantenha segredos fora do código e dos logs Exercise 14: Onde o valor mora Exercise 15: Sanitizar sem ficar no escuro Exercise 16: Sobreviva à rotação

Neste capítulo, você vai combinar o modo de criptografia com a exigência: as quatro formas de criptografar um objeto S3 e a única linha de política que impõe o trânsito. Em seguida, você vai descobrir quem realmente controla uma chave do KMS quando a política da chave e a política do IAM têm voz, e ler o CloudTrail com atenção suficiente para saber quando seu silêncio significa que ninguém estava registrando, e não que nada aconteceu. Por fim, você vai rodar a checklist do curso inteiro em um serviço que está prestes a enviar e ver onde as mesmas decisões de identidade, segredos e criptografia se estendem para pipelines e agentes de IA chamando a AWS em seu nome.

Exercise 1: Modos de criptografia e imposição em trânsito Exercise 2: Criptografado, e ainda assim errado Exercise 3: Associe o modo ao requisito Exercise 4: Classifique a metade privada por quem mantém uma cópia Exercise 5: Quem controla a chave Exercise 6: Qual portão fechou?Exercise 7: Leia a negativa e identifique o portão Exercise 8: Escolha a chave e assuma as consequências Exercise 9: Lendo recibos da AWS Exercise 10: Sob a autoridade de quem Exercise 11: O que o trail registra e o que não registra Exercise 12: Dimensione a role pelo que ela realmente faz Exercise 13: Fazendo o deploy com segurança Exercise 14: Marcado, e ainda em aberto Exercise 15: O gatilho que já disparou Exercise 16: Faça as mesmas três perguntas para um chamador não humano Exercise 17: Parabéns