AWS Güvenliğine Giriş

Geliştiriciler için AWS Güvenliğini Kullanma

Rahul Singh

Technical Product Manager

Kurs önkoşulları

Temel AWS güvenliği bilgisi
Bulut bilişim kavramlarını anlama
AWS Güvenliği ve Maliyet Yönetimi kavramları

AWS Güvenliği ve Maliyet Yönetimi Kavramları kurs başlık kartı

Kurs hedefleri

Kimlik: kim çağırıyor
Yetkilendirme: neye erişebilirler
Sırlar ve şifreleme: veriyi korumak
Kanıt: sonra ne oldu

Dersin kapsadığı her alan için omurga boyunca dizilmiş dört numaralı şerit. Bir: Kimlik, Bölüm 1. İki: Yetkilendirme, Bölüm 2. Üç: Sırlar ve şifreleme, Bölüm 2 ve 3. Dört: Kanıt, Bölüm 3. Solda turuncu bir ok, bu video, birinci şeridi işaret ediyor.

Kodun bir pipeline ile dağıtılır

Soldan sağa akış. Adım 1: Build, Test, Deploy aşamalarını içeren "Your pipeline" kutusu. Adım 2: "You" kutusundan gelen "git push" okuyla ona akış. Adım 3: boru hattının altında "its own identity" yazılı turuncu rozet. Ok AWS kutusuna devam ediyor.

Önce tek bir terim

Pipeline, kodunu derleyen, test eden ve dağıtan otomasyondur
Sen push edersin, arada insan yoktur

Yanlış nedenle başarısız olan bir dağıtım

Kod değiştiğinde, aslında kimin izinleri kontrol edilir?

Sen bir değişiklik push edersin

Dikey akışın ilk adımı. "You" kutusu, bir kod değişikliği push ediyor.

Yanlış nedenle başarısız olan bir dağıtım

Kod değiştiğinde, aslında kimin izinleri kontrol edilir?

Sen bir değişiklik push edersin
Pipeline'ın çalışır

Dikey akış. Adım 1: Sen, kod değişikliği push ediyorsun. Aşağı ok, adım 2: dağıtımı çalıştıran pipeline'ına.

Yanlış nedenle başarısız olan bir dağıtım

Kod değiştiğinde, aslında kimin izinleri kontrol edilir?

Sen bir değişiklik push edersin
Pipeline'ın çalışır
Dağıtım durur: AccessDenied

İlk içgüdü: "Kendi izinlerime bakayım."

Dikey akış. Adım 1: Sen, kod değişikliği push ediyorsun. Adım 2: pipeline dağıtımı çalıştırıyor. Adım 3: AWS isteği değerlendirip AccessDenied döndürüyor.

Aslında ne oldu

Soldan sağa akışın ilk adımı. "You" etiketli kutu, katılımın burada bitiyor.

Sen push edersin. Katılımın burada biter

Aslında ne oldu

Soldan sağa akış. "You" kutusundan "Your pipeline" kutusuna ok. Pipeline'ın altında "deploy-role" rozeti.

Sen push edersin. Katılımın burada biter
Pipeline, ekibinin oluşturduğu bir role olarak dağıtır

Aslında ne oldu

Soldan sağa akış: You'dan Your pipeline'a, oradan AWS'ye. Pipeline'ın altında "deploy-role" rozeti, AWS'den bu rozete dönen kesikli "checks" oku, sana değil.

Sen push edersin. Katılımın burada biter
Pipeline, ekibinin oluşturduğu bir role olarak dağıtır
AWS o rolu değerlendirir

Aktör ve principal

Aktör

İşi harekete geçiren kişi.

Burada: sen.

İşi harekete geçiren aktörü simgeleyen insan figürü ikonu.

Aktör ve principal

Aktör

İşi harekete geçiren kişi.

Burada: sen.

Principal

İstek geldiğinde AWS'nin değerlendirdiği kimlik.

Burada: pipeline'ın rolü.

İşi harekete geçiren aktörü simgeleyen insan figürü ikonu.

Principal'ı simgeleyen bir ikon.

Aktör ve principal

Aktör

İşi harekete geçiren kişi.

Burada: sen.

Principal

İstek geldiğinde AWS'nin değerlendirdiği kimlik.

Burada: pipeline'ın rolü.

Lambda: execution role. ECS: task role. İsim değişir, principal aynı
İstisna: terminalindeki uzun ömürlü anahtar, yani principal IAM kullanıcısıdır

İşi harekete geçiren aktörü simgeleyen insan figürü ikonu.

AWS'nin aktör yerine principal'ı kontrol ettiğini gösteren bir ikon.

Aynı dağıtım, iki rol

Rol A (AdministratorAccess'in şekli)

Her bucket'ı oku
Her anahtarı kullan
Her fonksiyonu güncelle

Rol B

Bir bucket'ı oku
Bir anahtarı kullan
Bir fonksiyonu güncelle

Önek: bucket içinde klasör benzeri bir yol

Altı farklı politikaya erişimi olan, tam yetkili bir rolü gösteren görsel.

Yalnızca tek bir politikaya erişimi olan dar yetkili bir rolü gösteren görsel.

Etkilenme alanı (blast radius)

Geniş rol

Ele geçirilirse: hesaptaki her bucket, önek ve nesneye erişir.

Dar rol

Ele geçirilirse: tek bir bucket'ta, tek bir öneğe erişir. Fazlası yok.

Tüm hesabın her kısmına ulaşan geniş rolü gösteren eşmerkezli halkalar.

Yalnızca en içteki nesne ve önek halkalarına ulaşan dar rolü gösteren eşmerkezli halkalar; diğer kısımlar dokunulmamış.

Asgari yetki, pratikte

Bir rol işi için gerekeni yapmalı, fazlasını değil.

AWS yönetilen, ör. AmazonS3ReadOnlyAccess: tüm bucket'lar. Müşteri yönetimli: sende, tek bir öneğe kadar
Kapsam ve ömür: uzun ömürlü anahtar yerine kısa ömürlü kimlik bilgileri
AWS altyapıyı güvenceye alır
Rollerinin ne kadar geniş olacağı senin kararın ve deposunda yaşar

Örnek: raporlar-bucket okuyucu rolü İki allow. Başka hiçbir yetki yok.

"Kim ne yapabilir"i belirleyen hizmet IAM üzerinde hiçbir şey yok

Bir rolün izin listesinde kırmızıyla çizilmiş üç fazla izin ve yeşilde tutulan iki gerekli izin.

Hadi pratik yapalım!

Geliştiriciler için AWS Güvenliğini Kullanma