AWS 安全入门

开发者的 AWS 安全实践

Rahul Singh

Technical Product Manager

课程先修要求

 

• 基础 AWS 安全知识
• 云计算概念理解
• AWS 安全与成本管理概念

 

 

课程目标

 

1. 身份：谁在发起调用
2. 授权：能访问什么
3. 机密与加密：如何保护数据
4. 证据：之后发生了什么

您的代码通过 pipeline 交付

先学一个术语

• pipeline：自动构建、测试并部署您的代码
• 由您的 push 触发，无需人工参与

一次"错因"导致的部署失败

代码变更时，实际检查的是谁的权限？

1. 您推送一次变更

一次"错因"导致的部署失败

代码变更时，实际检查的是谁的权限？

1. 您推送一次变更

2. 您的 pipeline 运行

一次"错因"导致的部署失败

代码变更时，实际检查的是谁的权限？

1. 您推送一次变更

2. 您的 pipeline 运行

3. 部署被阻止：AccessDenied

第一反应："让我检查下我自己的权限。"

实际发生了什么

1. 您推送。您的参与到此结束

实际发生了什么

1. 您推送。您的参与到此结束
2. 管道以团队创建的某个角色来部署

实际发生了什么

1. 您推送。您的参与到此结束
2. 管道以团队创建的某个角色来部署
3. AWS 评估的是该角色

Actor 与 principal

Actor

发起工作的那一方。

此处：您。

Actor 与 principal

Actor

发起工作的那一方。

此处：您。

Principal

请求到达时，AWS 实际评估的身份。

此处：pipeline 的角色。

Actor 与 principal

Actor

发起工作的那一方。

此处：您。

Principal

请求到达时，AWS 实际评估的身份。

此处：pipeline 的角色。

• Lambda：execution role。ECS：task role。名字不同，本质同为 principal
• 例外：终端中的长期密钥，principal 就是该 IAM 用户

同一部署，不同角色

角色 A（AdministratorAccess 的形状）

• 读取所有 bucket
• 使用所有 key
• 更新所有 function

角色 B

• 读取单个 bucket
• 使用单个 key
• 更新单个 function

Prefix：bucket 内类似文件夹的路径

爆炸半径

宽权限角色

若被攻破：可访问账户内所有 bucket、prefix 与对象。

窄权限角色

若被攻破：只能访问某个 bucket 中的一个 prefix，且仅此而已。

最小权限：实操

角色应仅具备完成职责所需的权限，且尽量少于此之外。

• AWS 托管（如 AmazonS3ReadOnlyAccess）：覆盖所有 bucket。客户托管：可细化到您自有的单个 prefix
• 控制范围与时效：优先短期凭证而非长期密钥
• AWS 保障基础设施安全
• 角色宽窄由您决定，并存放在您的代码库中

示例： 报表 bucket 的读取角色 只授予两项 allow。除此之外不授予任何权限。

• 对 IAM（决定谁能做什么的服务）不授予任何权限

让我们一起练习吧！

开发者的 AWS 安全实践