Membaca tanda terima AWS

Menggunakan Keamanan AWS untuk Developer

Rahul Singh

Technical Product Manager

Isi satu rekaman

CloudTrail: satu panggilan API, satu rekaman

Apa yang dipanggil: eventName
Kapan, dalam UTC: eventTime
Siapa yang memanggil: userIdentity
Pada sumber daya apa: requestParameters

Kartu rekaman dengan lima kolom bernomor, masing-masing dengan nilai contoh di sampingnya: eventName, eventTime, userIdentity, requestParameters, dan errorCode. Penanda kelima berwarna oranye dengan nilai AccessDenied.

Isi satu rekaman

CloudTrail: satu panggilan API, satu rekaman

Apa yang dipanggil: eventName
Kapan, dalam UTC: eventTime
Siapa yang memanggil: userIdentity
Pada sumber daya apa: requestParameters
Ditolak, dan alasannya: errorCode

Log menyebutkan principal

Dua kolom, satu identitas

Sesi: pemanggil, di arn, diawali arn:aws:sts:
Peran (Role): kewenangannya, di sessionIssuer, diawali arn:aws:iam:

Dua zona bertumpuk. Zona atas berjudul Principal menampilkan ARN sesi assumed-role/ReportsRole/deploy-42 dengan panah ke bawah ke ARN peran role/ReportsRole yang menerbitkannya, keduanya bergaris tegas. Zona bawah berjudul Actor menampilkan tiga kotak putus-putus untuk session name, sourceIPAddress, dan userAgent, semuanya menunjuk ke bawah ke kotak putus-putus bertuliskan Inferred.

Log menyebutkan principal

Dua kolom, satu identitas

Sesi: pemanggil, di arn, diawali arn:aws:sts:
Peran (Role): kewenangannya, di sessionIssuer, diawali arn:aws:iam:

Aktor bukan sebuah kolom

Disimpulkan: session name, sourceIPAddress

Simpan empat kolom, bukan empat puluh

Empat puluh kolom, empat yang penting

Aktor: yang memicunya
Principal: identitas yang diperiksa AWS
Aksi: apa yang dipanggil
Sumber daya: apa yang disentuh

Rekaman peristiwa padat dengan banyak bilah kolom abu-abu, empat disorot biru, dan panah ke bawah ke kartu ringkas berisi empat baris bernomor: actor, principal, action, dan resource.

Simpan empat kolom, bukan empat puluh

Empat puluh kolom, empat yang penting

Aktor: yang memicunya
Principal: identitas yang diperiksa AWS
Aksi: apa yang dipanggil
Sumber daya: apa yang disentuh

Asal kolom-kolom ini

Aksi dari eventName, sumber daya dari requestParameters
Principal dari userIdentity, aktor disimpulkan

Rekaman peristiwa padat dengan banyak bilah kolom abu-abu, empat disorot biru, dan panah ke bawah ke kartu ringkas berisi empat baris bernomor: actor, principal, action, dan resource.

Aktif bawaan, atau nonaktif bawaan

Management events

Panggilan control plane
Mencakup semua panggilan KMS, jadi Decrypt masuk sini
Event history: tampilan konsol gratis 90 hari

Tiga nama panggilan control plane dalam sebuah kotak, dengan panah solid ke kotak bertuliskan Recorded by default.

Aktif bawaan, atau nonaktif bawaan

Management events

Panggilan control plane
Mencakup semua panggilan KMS, jadi Decrypt masuk sini
Event history: tampilan konsol gratis 90 hari

Data events

Pembacaan objek, pemanggilan fungsi, penulisan item
Trail: pengiriman berkelanjutan, ditagih terpisah
Selektor menyebut jenis sumber daya, dan baca, tulis, atau keduanya

Tiga nama panggilan control plane dalam sebuah kotak, dengan panah solid ke kotak bertuliskan Recorded by default.

Tiga nama panggilan data plane dalam sebuah kotak, dengan panah putus-putus ke kotak putus-putus bertuliskan Not recorded until you ask.

Tidak ada yang merekam itu

Garis waktu dengan tiga titik: Anda memilih apa yang direkam, sebuah file diunduh, dan Anda membuka CloudTrail. Garis putus-putus membawa titik pertama ke yang terakhir, lalu bercabang ke kotak event found dan kotak nothing there.

Diputuskan sebelumnya, dibaca kemudian

Tidak ada yang merekam itu

Diputuskan sebelumnya, dibaca kemudian

Data events aktif untuk data pelanggan
Nonaktif untuk yang lain

Bukti, diarahkan ke depan

IAM Access Analyzer

Validasi kebijakan: memeriksa kebijakan yang Anda tulis

Tiga tahap bertumpuk. Sebuah kotak peristiwa menamai peran yang digunakan, GetObject, ListBucket, dan Decrypt, mengalir ke IAM Access Analyzer, yang menghasilkan kebijakan berisi aksi IAM bernamespace s3:GetObject, s3:ListBucket, dan kms:Decrypt.

Bukti, diarahkan ke depan

IAM Access Analyzer

Validasi kebijakan: memeriksa kebijakan yang Anda tulis
Pembuatan kebijakan: hingga 90 hari dari trail Anda
Perlu trail, bukan Event history

Diberikan, tapi tak pernah dipakai

Dua batang. Batang atas menunjukkan empat puluh dua aksi yang diberikan. Batang bawah terbagi menjadi segmen hijau sempit berisi tiga aksi dan segmen putus-putus lebar berisi tiga puluh sembilan yang tidak digunakan.

Temuan akses tidak terpakai

Peran, kunci, dan aksi yang tidak pernah dipanggil siapa pun

Diberikan, tapi tak pernah dipakai

Temuan akses tidak terpakai

Peran, kunci, dan aksi yang tidak pernah dipanggil siapa pun

Dipakai bukan berarti diperlukan

Diberikan, tapi tak pernah dipakai

Temuan akses tidak terpakai

Peran, kunci, dan aksi yang tidak pernah dipanggil siapa pun

Dipakai bukan berarti diperlukan

Least privilege, terukur

Bukti masuk, kebijakan lebih ketat keluar

Ayo berlatih!

Menggunakan Keamanan AWS untuk Developer