在本章中，你會建立保護真實 AWS 工作負載的思維模型：把發動呼叫的行為者，與 AWS 實際評估的 principal 分開看待。接著，你會用 AWS 的方式閱讀 IAM policy，判斷一次呼叫是被允許、被拒絕，或是因為沒有明確規則而靜默通過。最後，你會以角色假設、臨時憑證與 pre-signed URLs 取代長期存取金鑰，徹底把金鑰從版本庫移除。

AWS 安全性入門

找出權限過大的存取路徑

替函式給一個範圍狹窄的角色

幾乎沒有東西是以你本人身分執行的

IAM 原則評估與明確拒絕

選項

設定結果

命名呼叫與其目標

限制適用情境

將政策各部分對應到其用途

實際觀察隱含拒絕

允許

明確拒絕

隱含拒絕

預測評估結果

角色、臨時認證與 SigV4

決定誰可以承擔（assume）此角色

為 pre-signed URL 設定範圍

把已儲存的金鑰換成角色

AWS 上的身分與最小權限

在本章中，你會清楚區分用於登入的 Cognito user pool，與用於取得 AWS 憑證的 identity pool，並在信任 token 內容之前先驗證其簽章。接著，你會釐清實際的權限來源，包含 identity policy、resource policy，以及限制其上限的 boundary，並用這張地圖在 API Gateway 端點之間選擇 IAM、Cognito，或 Lambda authorizer。最後，你會把機密從程式碼與日誌中移除，妥善選擇儲存位置、遮罩方式與輪替習慣，讓這些做法禁得起事件檢討。

使用者集區、身分集區與 JWTs

在信任前先驗證權杖

從宣告決定存取權

選對 Cognito 的元件

身分、資源與邊界

選出政策應該放哪一邊

說出是哪一層拒絕了請求

隔離單一租戶

選擇 API Gateway 授權器

把呼叫方對上大門

關閉陳舊視窗

阻止「代理人混淆」（confused deputy）

把祕密從程式碼與日誌中移開

價值存放在哪裡

在不失明的情況下去識別化

撐過密鑰輪替

應用程式的驗證與授權

在本章中，你會把加密模式對應到需求：S3 物件的 4 種加密方式，以及唯一一條能強制傳輸加密的 policy。接著，你會判斷當 key policy 與 IAM policy 同時作用時，究竟是誰在控制 KMS 金鑰，並細讀 CloudTrail，分辨它的沉默是因為沒有記錄，還是真的沒有事件發生。最後，你會把整門課的檢查清單套用到即將上線的一項服務，並看見同樣的身分、機密與加密決策如何延伸到 pipeline 與代你呼叫 AWS 的 AI 代理。

加密模式與強制傳輸保護

加密了，卻還是出錯

把模式與需求配對

依「誰手上握有副本」為準，為私鑰排序

誰能控制這把金鑰

是哪一道閘門關上了？

讀懂拒絕訊息，指認是哪一道門

選好金鑰，就要承擔後果

閱讀 AWS 收據

權限究竟屬於誰

稽核軌跡會記住與不會記住的事

依實際活動調整角色權限

安全上線

打勾了，卻還沒收口

已經被觸發的觸發條件

用同一組三個問題檢視非人類呼叫者

恭喜你

加密與「憑據」

當你的程式呼叫 AWS 時，實際被檢查的是誰的權限？一旦誤判，你可能會上線一個能讀取帳號內所有 S3 bucket 的角色。本課程「AWS Security 開發者實務」專為在 AWS 上部署真實工作負載的開發者設計，帶你走過工作中真正需要的安全決策。你會以短期、基於角色的存取取代長期金鑰，並能讀懂 IAM policy，預測它會允許、拒絕，或是什麼都沒擋而靜默通過。你也會為 API 與應用程式使用者選對授權方式，把機密從程式碼與日誌中移除，並選擇連稽核可驗證的加密作法。最後，你會閱讀 CloudTrail 的證據，並依據實際行為收斂角色權限。透過一個持續執行的應用情境進行實作，你將帶走可據以辯護的安全決策，以及 AWS Certified Developer - Associate 證照中 Security 領域的實務基礎。

AWS Security and Cost Management Concepts

作為開發者掌握AWS安全：應用最小權限IAM、臨時憑證、API授權、秘密管理、加密和CloudTrail。

AWS Security 開發者實務

保護您部署的 AWS 工作負載：最小權限 IAM、短效憑證、API 授權、機密管理、加密與 CloudTrail 證據。

IAM 原則評估與明確拒絕

Create Your Free Account