在本章中，你會建立保護真實 AWS 工作負載的思維模型：把發動呼叫的行為者，與 AWS 實際評估的 principal 分開看待。接著，你會用 AWS 的方式閱讀 IAM policy，判斷一次呼叫是被允許、被拒絕，或是因為沒有明確規則而靜默通過。最後，你會以角色假設、臨時憑證與 pre-signed URLs 取代長期存取金鑰，徹底把金鑰從版本庫移除。

AWS 安全性入門

找出權限過大的存取路徑

替函式給一個範圍狹窄的角色

幾乎沒有東西是以你本人身分執行的

IAM 原則評估與明確拒絕

將政策各部分對應到其用途

實際觀察隱含拒絕

預測評估結果

角色、臨時認證與 SigV4

決定誰可以承擔（assume）此角色

為 pre-signed URL 設定範圍

把已儲存的金鑰換成角色

AWS 上的身分與最小權限

在本章中，你會清楚區分用於登入的 Cognito user pool，與用於取得 AWS 憑證的 identity pool，並在信任 token 內容之前先驗證其簽章。接著，你會釐清實際的權限來源，包含 identity policy、resource policy，以及限制其上限的 boundary，並用這張地圖在 API Gateway 端點之間選擇 IAM、Cognito，或 Lambda authorizer。最後，你會把機密從程式碼與日誌中移除，妥善選擇儲存位置、遮罩方式與輪替習慣，讓這些做法禁得起事件檢討。

使用者集區、身分集區與 JWTs

在信任前先驗證權杖

從宣告決定存取權

需求

由 user pool 回答

由 identity pool 回答

選對 Cognito 的元件

身分、資源與邊界

存取需求

以身分為基礎的政策

以資源為基礎的政策

針對 allow 的條件

選出政策應該放哪一邊

說出是哪一層拒絕了請求

隔離單一租戶

選擇 API Gateway 授權器

把呼叫方對上大門

關閉陳舊視窗

阻止「代理人混淆」（confused deputy）

把祕密從程式碼與日誌中移開

價值存放在哪裡

在不失明的情況下去識別化

撐過密鑰輪替

應用程式的驗證與授權

在本章中，你會把加密模式對應到需求：S3 物件的 4 種加密方式，以及唯一一條能強制傳輸加密的 policy。接著，你會判斷當 key policy 與 IAM policy 同時作用時，究竟是誰在控制 KMS 金鑰，並細讀 CloudTrail，分辨它的沉默是因為沒有記錄，還是真的沒有事件發生。最後，你會把整門課的檢查清單套用到即將上線的一項服務，並看見同樣的身分、機密與加密決策如何延伸到 pipeline 與代你呼叫 AWS 的 AI 代理。

加密模式與強制傳輸保護

加密了，卻還是出錯

把模式與需求配對

依「誰手上握有副本」為準，為私鑰排序

誰能控制這把金鑰

是哪一道閘門關上了？

讀懂拒絕訊息，指認是哪一道門

選好金鑰，就要承擔後果

閱讀 AWS 收據

權限究竟屬於誰

稽核軌跡會記住與不會記住的事

依實際活動調整角色權限

安全上線

打勾了，卻還沒收口

已經被觸發的觸發條件

用同一組三個問題檢視非人類呼叫者

恭喜你

加密與「憑據」

當你的程式呼叫 AWS 時，實際被檢查的是誰的權限？一旦誤判，你可能會上線一個能讀取帳號內所有 S3 bucket 的角色。本課程「AWS Security 開發者實務」專為在 AWS 上部署真實工作負載的開發者設計，帶你走過工作中真正需要的安全決策。你會以短期、基於角色的存取取代長期金鑰，並能讀懂 IAM policy，預測它會允許、拒絕，或是什麼都沒擋而靜默通過。你也會為 API 與應用程式使用者選對授權方式，把機密從程式碼與日誌中移除，並選擇連稽核可驗證的加密作法。最後，你會閱讀 CloudTrail 的證據，並依據實際行為收斂角色權限。透過一個持續執行的應用情境進行實作，你將帶走可據以辯護的安全決策，以及 AWS Certified Developer - Associate 證照中 Security 領域的實務基礎。

AWS Security and Cost Management Concepts

作為開發者掌握AWS安全：應用最小權限IAM、臨時憑證、API授權、秘密管理、加密和CloudTrail。

AWS Security 開發者實務

保護您部署的 AWS 工作負載：最小權限 IAM、短效憑證、API 授權、機密管理、加密與 CloudTrail 證據。

把祕密從程式碼與日誌中移開

Create Your Free Account