本章将构建保护真实 AWS 工作负载的思维模型：区分发起调用的参与者与 AWS 实际评估的主体。接着，您将按照 AWS 的方式阅读 IAM 策略，判断一次调用是被允许、被拒绝，还是根本没有匹配到任何规则而被静默阻止。最后，您会用角色假设、临时凭证和预签名 URL 替换长期访问密钥，从根源上把密钥移出代码仓库。

AWS 安全简介

识别权限过大的访问路径

为该函数授予尽量收窄的角色

几乎没有任何东西以您本人身份运行

IAM 策略评估与显式拒绝

选项

设置结果

指明调用及其目标

限制适用情形

将策略各部分映射到其作用

亲眼看看隐式拒绝

Allow

Explicit deny

Implicit deny

预测评估结果

角色、临时凭证与 SigV4

决定谁可以假设该角色

限定预签名 URL 的范围

将已存储的密钥换成角色

AWS 上的身份与最小权限

本章将明确划分用于登录的 Cognito 用户池与用于获取 AWS 凭证的身份池，并在信任令牌内容前先验证其签名。随后，您会梳理权限真实来源于哪里：身份策略、资源策略，以及对其进行限制的边界策略，并据此在 API Gateway 端点上在 IAM、Cognito 与 Lambda 授权器之间做出选择。最后，您将把机密从代码和日志中移除，选择能经受事件复盘的存储方式、遮蔽策略与轮换习惯。

User pool、Identity pool 与 JWT

在信任令牌前先完成验证

从声明中判定访问权限

为 Cognito 选对组件

身份、资源与边界

为策略选对归属

说出拒绝的那一层

隔离单个租户

选择 API Gateway 授权器

把调用方与"门"对应起来

关闭"陈旧"窗口

阻止"困惑副手"（confused deputy）

让机密远离代码和日志

值存放在哪里

在不"失明"的情况下净化日志

撑过密钥轮换

应用的认证与授权

本章将把加密模式与需求一一匹配：S3 对象的四种加密方式，以及用于强制传输中加密的那一条策略。接着，您会弄清当密钥策略与 IAM 策略同时生效时，谁才真正控制 KMS 密钥，并足够细致地阅读 CloudTrail，从"沉默"中判断是无人记录，还是确有其事但未被记录。最后，您将把整门课的检查清单应用到即将发布的一项服务上，看到相同的身份、机密与加密决策如何延伸到流水线和代表您调用 AWS 的 AI 代理。

加密模式与传输强制

已加密，但仍然错

将加密模式与需求匹配

按持有副本的人数对私钥半部排序

谁来控制密钥

哪一道闸门关闭了？

读懂拒绝信息，识别被关的闸门

选好密钥，就要接受随之而来的限制

阅读 AWS 回执

谁的授权之下

Trail 会记录与不会记录的内容

根据实际活动为角色"瘦身"

安全上线

打勾，但仍未收口

已经被触发的触发器

用同样的三个问题审视非人工调用方

恭喜您

加密与"回执"

当您的代码调用 AWS 时，实际被检查的是谁的权限？如果弄错了，您可能会发布一个能读取账号内所有存储桶的角色。开发者的 AWS 安全实践专为在 AWS 上交付真实工作负载的开发者而设，逐步讲解工作中真正需要做的安全决策。您将把长期密钥替换为短期、基于角色的访问，并能读懂 IAM 策略，准确预测它是允许还是拒绝。您会为 API 和应用用户选择合适的授权方式，把机密从代码和日志中移除，并选用审计可核验的加密方案。最后，您将解读 CloudTrail 证据，并根据实际行为收紧角色权限。通过围绕同一运行中应用构建的动手场景，您将带着可自信解释的安全决策离开，并为 AWS Certified Developer - Associate 考试中的 Security 领域打下实用基础。

AWS Security and Cost Management Concepts

作为开发者掌握AWS安全：应用最小权限IAM、临时凭证、API授权、密钥管理、加密和CloudTrail。

开发者的 AWS 安全实践

保障所交付 AWS 工作负载的安全：最小权限 IAM、短期凭证、API 授权、密钥处理、加密和 CloudTrail 证据。

IAM 策略评估与显式拒绝

Create Your Free Account