本章将构建保护真实 AWS 工作负载的思维模型：区分发起调用的参与者与 AWS 实际评估的主体。接着，您将按照 AWS 的方式阅读 IAM 策略，判断一次调用是被允许、被拒绝，还是根本没有匹配到任何规则而被静默阻止。最后，您会用角色假设、临时凭证和预签名 URL 替换长期访问密钥，从根源上把密钥移出代码仓库。

AWS 安全简介

识别权限过大的访问路径

为该函数授予尽量收窄的角色

几乎没有任何东西以您本人身份运行

IAM 策略评估与显式拒绝

将策略各部分映射到其作用

亲眼看看隐式拒绝

预测评估结果

角色、临时凭证与 SigV4

决定谁可以假设该角色

限定预签名 URL 的范围

将已存储的密钥换成角色

AWS 上的身份与最小权限

本章将明确划分用于登录的 Cognito 用户池与用于获取 AWS 凭证的身份池，并在信任令牌内容前先验证其签名。随后，您会梳理权限真实来源于哪里：身份策略、资源策略，以及对其进行限制的边界策略，并据此在 API Gateway 端点上在 IAM、Cognito 与 Lambda 授权器之间做出选择。最后，您将把机密从代码和日志中移除，选择能经受事件复盘的存储方式、遮蔽策略与轮换习惯。

User pool、Identity pool 与 JWT

在信任令牌前先完成验证

从声明中判定访问权限

需求

由 user pool 解决

由 identity pool 解决

为 Cognito 选对组件

身份、资源与边界

访问需求

基于身份的策略

基于资源的策略

对 allow 的条件

为策略选对归属

说出拒绝的那一层

隔离单个租户

选择 API Gateway 授权器

把调用方与"门"对应起来

关闭"陈旧"窗口

阻止"困惑副手"（confused deputy）

让机密远离代码和日志

值存放在哪里

在不"失明"的情况下净化日志

撑过密钥轮换

应用的认证与授权

本章将把加密模式与需求一一匹配：S3 对象的四种加密方式，以及用于强制传输中加密的那一条策略。接着，您会弄清当密钥策略与 IAM 策略同时生效时，谁才真正控制 KMS 密钥，并足够细致地阅读 CloudTrail，从"沉默"中判断是无人记录，还是确有其事但未被记录。最后，您将把整门课的检查清单应用到即将发布的一项服务上，看到相同的身份、机密与加密决策如何延伸到流水线和代表您调用 AWS 的 AI 代理。

加密模式与传输强制

已加密，但仍然错

将加密模式与需求匹配

按持有副本的人数对私钥半部排序

谁来控制密钥

哪一道闸门关闭了？

读懂拒绝信息，识别被关的闸门

选好密钥，就要接受随之而来的限制

阅读 AWS 回执

谁的授权之下

Trail 会记录与不会记录的内容

根据实际活动为角色"瘦身"

安全上线

打勾，但仍未收口

已经被触发的触发器

用同样的三个问题审视非人工调用方

恭喜您

加密与"回执"

当您的代码调用 AWS 时，实际被检查的是谁的权限？如果弄错了，您可能会发布一个能读取账号内所有存储桶的角色。开发者的 AWS 安全实践专为在 AWS 上交付真实工作负载的开发者而设，逐步讲解工作中真正需要做的安全决策。您将把长期密钥替换为短期、基于角色的访问，并能读懂 IAM 策略，准确预测它是允许还是拒绝。您会为 API 和应用用户选择合适的授权方式，把机密从代码和日志中移除，并选用审计可核验的加密方案。最后，您将解读 CloudTrail 证据，并根据实际行为收紧角色权限。通过围绕同一运行中应用构建的动手场景，您将带着可自信解释的安全决策离开，并为 AWS Certified Developer - Associate 考试中的 Security 领域打下实用基础。

AWS Security and Cost Management Concepts

作为开发者掌握AWS安全：应用最小权限IAM、临时凭证、API授权、密钥管理、加密和CloudTrail。

开发者的 AWS 安全实践

保障所交付 AWS 工作负载的安全：最小权限 IAM、短期凭证、API 授权、密钥处理、加密和 CloudTrail 证据。

选择 API Gateway 授权器

Create Your Free Account