Care poartă s-a închis?

Un export nocturn rulează ca ReportsExportRole, iar depanarea lui a ajuns pe mâna ta. Rolul are kms:Decrypt în politica sa IAM, iar exportul tot eșuează.

Deschide simulatorul cu două porți. Acesta conține un apel de decriptare către alias/reports și îți permite să setezi fiecare poartă independent. Setează poarta 1 pe Allows kms:Decrypt și poarta 2 pe Does not name this caller, care este starea în care se află exportul.

Acum fă ce face un dezvoltator aflat sub presiune: apasă Rotate now de trei ori și urmărește rezultatul.

După ce apeși Rotate now de trei ori, ce s-a schimbat pentru apelul care eșuează?

Acest exercițiu face parte din cursul

Securitatea AWS pentru dezvoltatori

Vezi cursul

Exercițiu interactiv practic

Transformă teoria în practică cu unul dintre exercițiile noastre interactive

Începe exercițiul

Acest exercițiu face parte din cursul

Securitatea AWS pentru dezvoltatori

SkillTag.level.intermediateSkillTag.label

4.8+

17 reviews

Începe cursul gratuit

În acest capitol, vei construi modelul mental care menține în siguranță aplicațiile reale rulate pe AWS: separarea actorului de principalul pe care AWS îl evaluează de fapt. Vei învăța apoi să citești o politică IAM așa cum o face AWS, stabilind dacă un apel este permis, refuzat sau blocat în tăcere, fără nicio regulă explicită. În final, vei înlocui cheile de acces de lungă durată cu asumarea de roluri, acreditări temporare și URL-uri pre-semnate, modelul care elimină definitiv o cheie dintr-un repository.

Exercise 1: Introducere în securitatea AWS Exercise 2: Identifică căile de acces cu permisiuni excesive Exercise 3: Atribuie funcției un rol restrâns Exercise 4: Aproape nimic nu rulează ca tine Exercise 5: Evaluarea politicilor IAM și refuzul explicit Exercise 6: Asociază părțile unei politici cu rolul lor Exercise 7: Vezi refuzul implicit în acțiune Exercise 8: Prezi rezultatul evaluării Exercise 9: Roluri, credențiale temporare și SigV4 Exercise 10: Decide cine poate prelua rolul Exercise 11: Delimitează un URL presemnat Exercise 12: Înlocuiește o cheie stocată cu un rol

În acest capitol, vei trasa o linie clară între user pools Cognito pentru autentificare și identity pools pentru acreditările AWS, apoi vei verifica semnătura unui token înainte să ai încredere în conținutul său. Vei identifica apoi de unde provine de fapt o permisiune – din politicile de identitate, politicile de resurse sau limitele care le îngrădesc – și vei folosi acest raționament pentru a alege între autorizatorii IAM, Cognito și Lambda pentru un endpoint API Gateway. În final, vei păstra secretele în afara codului și a jurnalelor, alegând depozitul de stocare, mascarea și obiceiurile de rotație care rezistă unei analize post-incident.

Exercise 1: User pools, identity pools și JWT-uri Exercise 2: Verifică un token înainte să ai încredere în el Exercise 3: Decide accesul pe baza claim-urilor Exercise 4: Alege partea potrivită din Cognito Exercise 5: Identitate, resursă și limită Exercise 6: Alege locul potrivit pentru politică Exercise 7: Numește stratul care a refuzat Exercise 8: Izolează un singur chiriaș Exercise 9: Alegerea unui autorizator pentru API Gateway Exercise 10: Potrivește apelantul cu poarta Exercise 11: Închide fereastra de date învechite Exercise 12: Oprește „confused deputy"Exercise 13: Păstrează secretele în afara codului și a jurnalelor Exercise 14: Unde locuiește valoarea Exercise 15: Sanitizează fără să pierzi vizibilitatea Exercise 16: Supraviețuiește rotației

În acest capitol, vei potrivi modul de criptare cu cerința corespunzătoare: cele patru moduri de a cripta un obiect S3 și linia de politică unică ce impune criptarea în tranzit. Vei stabili apoi cine controlează cu adevărat o cheie KMS atunci când atât o politică de cheie, cât și o politică IAM au un cuvânt de spus, și vei citi CloudTrail suficient de atent încât să înțelegi când tăcerea sa înseamnă că nimeni nu a jurnalizat, nu că nu s-a întâmplat nimic. În final, vei aplica lista de verificare a întregului curs asupra unui serviciu pe care urmează să îl livrezi și vei vedea unde aceleași decizii privind identitatea, secretele și criptarea se regăsesc în pipeline-uri și în agenții de inteligență artificială care apelează AWS în numele tău.

Exercise 1: Modurile de criptare și impunerea transmisiei securizate Exercise 2: Criptat, și totuși greșit Exercise 3: Potrivește modul cu cerința Exercise 4: Clasează jumătatea privată după cine deține o copie Exercise 5: Cine controlează cheia Exercise 6: Care poartă s-a închis?

Exercițiul curent

Exercise 7: Citește refuzul, identifică poarta Exercise 8: Alege cheia, apoi trăiește cu ea Exercise 9: Citirea chitanțelor AWS Exercise 10: Sub autoritatea cui Exercise 11: Ce va păstra traseul și ce nu Exercise 12: Dimensionează corect un rol pe baza activității sale Exercise 13: Lansarea în siguranță Exercise 14: Bifat, dar încă deschis Exercise 15: Declanșatorul care s-a activat deja Exercise 16: Pune aceleași trei întrebări unui apelant non-uman Exercise 17: Felicitări