Citește refuzul, identifică poarta

Șase apeluri către cheia de rapoarte au eșuat peste noapte. Fiecare dintre ele a returnat AccessDeniedException, așadar codul de eroare nu îți spune nimic de unul singur. Clauza care urmează după el îți spune.

Două porți decid soarta unui apel KMS: politica IAM proprie a apelantului și politica cheii atașată cheii. Citește fiecare refuz și sortează-l după poarta care s-a închis. Două apeluri nu sunt refuzate de niciuna dintre ele, așadar rotația cheii nu le-ar ajuta nici pe acestea.

Acest exercițiu face parte din cursul

Securitatea AWS pentru dezvoltatori

Vezi cursul

Exercițiu interactiv practic

Transformă teoria în practică cu unul dintre exercițiile noastre interactive

Începe exercițiul

Acest exercițiu face parte din cursul

Securitatea AWS pentru dezvoltatori

SkillTag.level.intermediateSkillTag.label

4.8+

17 reviews

Începe cursul gratuit

În acest capitol, vei construi modelul mental care menține în siguranță aplicațiile reale rulate pe AWS: separarea actorului de principalul pe care AWS îl evaluează de fapt. Vei învăța apoi să citești o politică IAM așa cum o face AWS, stabilind dacă un apel este permis, refuzat sau blocat în tăcere, fără nicio regulă explicită. În final, vei înlocui cheile de acces de lungă durată cu asumarea de roluri, acreditări temporare și URL-uri pre-semnate, modelul care elimină definitiv o cheie dintr-un repository.

Exercise 1: Introducere în securitatea AWS Exercise 2: Identifică căile de acces cu permisiuni excesive Exercise 3: Atribuie funcției un rol restrâns Exercise 4: Aproape nimic nu rulează ca tine Exercise 5: Evaluarea politicilor IAM și refuzul explicit Exercise 6: Asociază părțile unei politici cu rolul lor Exercise 7: Vezi refuzul implicit în acțiune Exercise 8: Prezi rezultatul evaluării Exercise 9: Roluri, credențiale temporare și SigV4 Exercise 10: Decide cine poate prelua rolul Exercise 11: Delimitează un URL presemnat Exercise 12: Înlocuiește o cheie stocată cu un rol

În acest capitol, vei trasa o linie clară între user pools Cognito pentru autentificare și identity pools pentru acreditările AWS, apoi vei verifica semnătura unui token înainte să ai încredere în conținutul său. Vei identifica apoi de unde provine de fapt o permisiune – din politicile de identitate, politicile de resurse sau limitele care le îngrădesc – și vei folosi acest raționament pentru a alege între autorizatorii IAM, Cognito și Lambda pentru un endpoint API Gateway. În final, vei păstra secretele în afara codului și a jurnalelor, alegând depozitul de stocare, mascarea și obiceiurile de rotație care rezistă unei analize post-incident.

Exercise 1: User pools, identity pools și JWT-uri Exercise 2: Verifică un token înainte să ai încredere în el Exercise 3: Decide accesul pe baza claim-urilor Exercise 4: Alege partea potrivită din Cognito Exercise 5: Identitate, resursă și limită Exercise 6: Alege locul potrivit pentru politică Exercise 7: Numește stratul care a refuzat Exercise 8: Izolează un singur chiriaș Exercise 9: Alegerea unui autorizator pentru API Gateway Exercise 10: Potrivește apelantul cu poarta Exercise 11: Închide fereastra de date învechite Exercise 12: Oprește „confused deputy"Exercise 13: Păstrează secretele în afara codului și a jurnalelor Exercise 14: Unde locuiește valoarea Exercise 15: Sanitizează fără să pierzi vizibilitatea Exercise 16: Supraviețuiește rotației

În acest capitol, vei potrivi modul de criptare cu cerința corespunzătoare: cele patru moduri de a cripta un obiect S3 și linia de politică unică ce impune criptarea în tranzit. Vei stabili apoi cine controlează cu adevărat o cheie KMS atunci când atât o politică de cheie, cât și o politică IAM au un cuvânt de spus, și vei citi CloudTrail suficient de atent încât să înțelegi când tăcerea sa înseamnă că nimeni nu a jurnalizat, nu că nu s-a întâmplat nimic. În final, vei aplica lista de verificare a întregului curs asupra unui serviciu pe care urmează să îl livrezi și vei vedea unde aceleași decizii privind identitatea, secretele și criptarea se regăsesc în pipeline-uri și în agenții de inteligență artificială care apelează AWS în numele tău.

Exercise 1: Modurile de criptare și impunerea transmisiei securizate Exercise 2: Criptat, și totuși greșit Exercise 3: Potrivește modul cu cerința Exercise 4: Clasează jumătatea privată după cine deține o copie Exercise 5: Cine controlează cheia Exercise 6: Care poartă s-a închis?Exercise 7: Citește refuzul, identifică poarta

Exercițiul curent

Exercise 8: Alege cheia, apoi trăiește cu ea Exercise 9: Citirea chitanțelor AWS Exercise 10: Sub autoritatea cui Exercise 11: Ce va păstra traseul și ce nu Exercise 12: Dimensionează corect un rol pe baza activității sale Exercise 13: Lansarea în siguranță Exercise 14: Bifat, dar încă deschis Exercise 15: Declanșatorul care s-a activat deja Exercise 16: Pune aceleași trei întrebări unui apelant non-uman Exercise 17: Felicitări