AWS सुरक्षा परिचय

डेवलपर्स के लिए AWS Security का उपयोग

Rahul Singh

Technical Product Manager

कोर्स पूर्वापेक्षाएँ

बुनियादी AWS सुरक्षा ज्ञान
क्लाउड कंप्यूटिंग अवधारणाओं की समझ
AWS Security और Cost Management अवधारणाएँ

AWS Security और Cost Management Concepts कोर्स टाइटल कार्ड

कोर्स के उद्देश्य

Identity: कौन कॉल कर रहा है
Authorization: वे किस तक पहुँच सकते हैं
Secrets और encryption: डेटा की सुरक्षा
Evidence: बाद में क्या हुआ

रीढ़ पर नीचे की ओर रखी चार क्रमांकित पट्टियाँ, कोर्स के चार क्षेत्रों के लिए। पट्टी 1, Identity, अध्याय 1. पट्टी 2, Authorization, अध्याय 2. पट्टी 3, Secrets और encryption, अध्याय 2 और 3. पट्टी 4, Evidence, अध्याय 3. बाएँ एक नारंगी तीर, this video, पट्टी 1 की ओर इशारा करता है.

आपका कोड एक पाइपलाइन से शिप होता है

बाएँ से दाएँ फ्लो। चरण 1: Your pipeline नाम का बॉक्स, जिसमें क्रम से Build, Test, Deploy. चरण 2: You नाम के बॉक्स से git push लेबल वाला तीर। चरण 3: पाइपलाइन के नीचे its own identity लेबल वाला नारंगी बैज। तीर आगे AWS नाम के बॉक्स तक।

पहले, एक शब्दावली बिंदु

Pipeline वह ऑटोमेशन है जो आपका कोड build, test, और deploy करता है
यह आपके push पर चलती है, बीच में कोई मानव नहीं

गलत कारण से फेल हुआ deploy

कोड बदलने पर, असल में किसकी permissions जाँची जाती हैं?

आप एक बदलाव push करते हैं

वर्टिकल फ्लो का चरण 1. You लेबल वाला बॉक्स, कोड बदलाव push करते हुए.

गलत कारण से फेल हुआ deploy

कोड बदलने पर, असल में किसकी permissions जाँची जाती हैं?

आप एक बदलाव push करते हैं
आपकी पाइपलाइन चलती है

एक वर्टिकल फ्लो। चरण 1: You, कोड बदलाव push करते हुए। नीचे तीर चरण 2: your pipeline, जो deploy चलाती है.

गलत कारण से फेल हुआ deploy

कोड बदलने पर, असल में किसकी permissions जाँची जाती हैं?

आप एक बदलाव push करते हैं
आपकी पाइपलाइन चलती है
Deploy रुकता है: AccessDenied

पहला विचार: "चलो अपनी permissions जाँच लूँ।"

एक वर्टिकल फ्लो। चरण 1: You, कोड बदलाव push करते हुए। चरण 2: आपकी पाइपलाइन deploy चलाती है। चरण 3: AWS रिक्वेस्ट का आकलन करता है और AccessDenied लौटाता है.

असल में क्या हुआ

बाएँ से दाएँ फ्लो का चरण 1. You लेबल वाला बॉक्स, जिसकी भागीदारी यहीं खत्म होती है.

आप push करते हैं. आपकी भागीदारी यहीं खत्म होती है

असल में क्या हुआ

बाएँ से दाएँ फ्लो। You लेबल वाले बॉक्स से Your pipeline वाले बॉक्स तक तीर। पाइपलाइन के नीचे deploy-role लेबल वाला बैज लटका है.

आप push करते हैं. आपकी भागीदारी यहीं खत्म होती है
पाइपलाइन deploy करती है, आपकी टीम द्वारा बनाया गया role लेकर चलती है

असल में क्या हुआ

You से Your pipeline होते हुए AWS तक बाएँ से दाएँ फ्लो। पाइपलाइन के नीचे deploy-role बैज, और AWS से वापस उस बैज तक checks लेबल वाला डैश्ड तीर, You तक नहीं.

आप push करते हैं. आपकी भागीदारी यहीं खत्म होती है
पाइपलाइन deploy करती है, आपकी टीम द्वारा बनाया गया role लेकर चलती है
AWS उसी role का आकलन करता है

Actor और principal

Actor

जिसने काम को आरंभ किया।

यहाँ: आप.

एक मानव आकृति आइकन, Actor दर्शाते हुए जो काम आरंभ करता है.

Actor और principal

Actor

जिसने काम को आरंभ किया।

यहाँ: आप.

Principal

वह identity जिसे AWS रिक्वेस्ट आने पर मूल्यांकित करता है।

यहाँ: पाइपलाइन का role.

एक मानव आकृति आइकन, Actor दर्शाते हुए जो काम आरंभ करता है.

Principal दर्शाने वाला एक आइकन.

Actor और principal

Actor

जिसने काम को आरंभ किया।

यहाँ: आप.

Principal

वह identity जिसे AWS रिक्वेस्ट आने पर मूल्यांकित करता है।

यहाँ: पाइपलाइन का role.

Lambda: execution role. ECS: task role. नया नाम, principal वही
अपवाद: आपके टर्मिनल में long-lived key, तब IAM user ही principal होता है

एक मानव आकृति आइकन, Actor दर्शाते हुए जो काम आरंभ करता है.

एक आइकन जो दिखाता है कि AWS Actor नहीं, Principal जाँचता है.

एक जैसा deploy, दो roles

Role A (AdministratorAccess का स्वरूप)

हर bucket पढ़ें
हर key इस्तेमाल करें
हर function अपडेट करें

Role B

एक bucket पढ़ें
एक key इस्तेमाल करें
एक function अपडेट करें

Prefix: bucket के अंदर folder-जैसा path

एक all-access role, छह अलग policies तक पहुँच दिखाता चित्र.

एक संकीर्ण access role, केवल एक policy की पहुँच दिखाता चित्र.

Blast radius

Wide role

कंप्रोमाइज होने पर: खाते के हर bucket, prefix, और object तक पहुँच।

Narrow role

कंप्रोमाइज होने पर: एक bucket के एक prefix तक पहुँच। और कुछ नहीं।

कंसेंट्रिक रिंग्स, wide role को पूरे अकाउंट में हर हिस्से तक पहुँच दिखाते हुए.

कंसेंट्रिक रिंग्स, narrow role को केवल अंदरूनी object और prefix रिंग्स तक पहुँच दिखाते हुए, बाकी अछूते.

Least privilege, व्यवहार में

Role उतना ही करे जितना काम के लिए जरूरी है, और उससे बहुत कम।

AWS managed, जैसे AmazonS3ReadOnlyAccess: हर bucket. Customer managed: आपका, एक prefix तक सीमित
स्कोप और lifetime: long-lived keys की बजाय short-lived credentials
AWS इंफ्रास्ट्रक्चर सुरक्षित रखता है
आपके roles कितने विस्तृत हैं, यह आपका निर्णय है, और यह आपके repository में रहता है

उदाहरण: reports-bucket reader role दो allows. और कुछ नहीं।

IAM पर कुछ नहीं, वही सेवा जो तय करती है कौन क्या कर सकता है

एक role की permissions सूची, तीन अतिरिक्त permissions लाल स्ट्राइकथ्रू में, दो आवश्यक हरे में.

अभ्यास करते हैं!

डेवलपर्स के लिए AWS Security का उपयोग