Pengantar Keamanan AWS

Menggunakan Keamanan AWS untuk Developer

Rahul Singh

Technical Product Manager

Prasyarat kursus

Pengetahuan dasar keamanan AWS
Pemahaman konsep komputasi awan
Konsep Keamanan dan Manajemen Biaya AWS

Kartu judul kursus AWS Security and Cost Management Concepts

Tujuan kursus

Identitas: siapa yang memanggil
Otorisasi: apa yang boleh diakses
Rahasia dan enkripsi: melindungi data
Bukti: apa yang terjadi, sesudahnya

Empat pita bernomor bertumpuk di sepanjang tulang punggung, masing-masing untuk area yang dibahas kursus. Pita satu, Identitas, bertanda Bab 1. Pita dua, Otorisasi, bertanda Bab 2. Pita tiga, Rahasia dan enkripsi, bertanda Bab 2 dan 3. Pita empat, Bukti, bertanda Bab 3. Sebuah panah oranye di kiri, berlabel video ini, menunjuk ke pita satu.

Kode Anda dikirim lewat pipeline

Alur kiri ke kanan. Langkah satu, kotak berlabel Pipeline Anda berisi tiga tahap berurutan: Build, Test, Deploy. Langkah dua, panah berlabel git push mengarah ke sana dari kotak berlabel You. Langkah tiga, lencana oranye menggantung di bawah pipeline, berlabel its own identity. Panah berlanjut dari pipeline ke kotak berlabel AWS.

Pertama, satu kosakata

Pipeline adalah automasi yang membangun, menguji, dan menerapkan kode Anda
Berjalan saat Anda push, tanpa manusia di dalam loop

Deploy gagal karena alasan yang keliru

Saat ada perubahan kode, izin siapa yang sebenarnya dicek?

Anda push perubahan

Langkah satu dari alur vertikal. Kotak berlabel You, mendorong perubahan kode.

Deploy gagal karena alasan yang keliru

Saat ada perubahan kode, izin siapa yang sebenarnya dicek?

Anda push perubahan
Pipeline Anda berjalan

Alur vertikal. Langkah satu, You, mendorong perubahan kode. Panah turun ke langkah dua, pipeline Anda, yang menjalankan deploy.

Deploy gagal karena alasan yang keliru

Saat ada perubahan kode, izin siapa yang sebenarnya dicek?

Anda push perubahan
Pipeline Anda berjalan
Deploy berhenti: AccessDenied

Naluri pertama: "Mari saya cek izin saya sendiri."

Alur vertikal. Langkah satu, You, mendorong perubahan kode. Langkah dua, pipeline Anda menjalankan deploy. Langkah tiga, AWS mengevaluasi permintaan dan mengembalikan AccessDenied.

Apa yang sebenarnya terjadi

Langkah satu dari alur kiri ke kanan. Kotak berlabel You, keterlibatannya berakhir di sini.

Anda push. Keterlibatan Anda berakhir di sini

Apa yang sebenarnya terjadi

Alur kiri ke kanan. Kotak berlabel You, dengan panah ke kotak berlabel Pipeline Anda. Lencana berlabel deploy-role menggantung di bawah pipeline.

Anda push. Keterlibatan Anda berakhir di sini
Pipeline melakukan deploy, berjalan sebagai role yang tim Anda buat

Apa yang sebenarnya terjadi

Alur kiri ke kanan dari You, ke Pipeline Anda, ke AWS. Lencana berlabel deploy-role menggantung di bawah pipeline, dan panah putus-putus berlabel checks mengarah dari AWS kembali ke lencana itu, bukan ke You.

Anda push. Keterlibatan Anda berakhir di sini
Pipeline melakukan deploy, berjalan sebagai role yang tim Anda buat
AWS mengevaluasi role tersebut

Aktor dan principal

Aktor

Siapa pun yang memulai pekerjaan.

Di sini: Anda.

Ikon sosok manusia yang menandakan aktor yang memulai pekerjaan.

Aktor dan principal

Aktor

Siapa pun yang memulai pekerjaan.

Di sini: Anda.

Principal

Identitas yang dievaluasi AWS saat permintaan tiba.

Di sini: role pipeline.

Ikon sosok manusia yang menandakan aktor yang memulai pekerjaan.

Ikon yang menandakan principal.

Aktor dan principal

Aktor

Siapa pun yang memulai pekerjaan.

Di sini: Anda.

Principal

Identitas yang dievaluasi AWS saat permintaan tiba.

Di sini: role pipeline.

Lambda: execution role. ECS: task role. Nama berbeda, principal sama
Pengecualian: key jangka panjang di terminal Anda, sehingga IAM user menjadi principal

Ikon sosok manusia yang menandakan aktor yang memulai pekerjaan.

Ikon yang menunjukkan AWS memeriksa principal, bukan aktor.

Deploy sama, dua role

Role A (Bentuk dari AdministratorAccess)

Membaca setiap bucket
Menggunakan setiap key
Memperbarui setiap function

Role B

Membaca satu bucket
Menggunakan satu key
Memperbarui satu function

Prefix: jalur seperti folder di dalam bucket

Gambar yang menunjukkan role akses penuh dengan akses ke enam kebijakan berbeda.

Gambar yang menunjukkan role akses sempit dengan akses hanya ke satu kebijakan.

Radius dampak

Role lebar

Jika disusupi: menjangkau semua bucket, prefix, dan objek di akun.

Role sempit

Jika disusupi: menjangkau satu prefix, dalam satu bucket. Tidak lebih.

Lingkaran konsentris menggambarkan role lebar yang menjangkau seluruh bagian akun.

Lingkaran konsentris menggambarkan bahwa role sempit hanya menjangkau cincin objek dan prefix terdalam, bagian lain tak tersentuh.

Hak minimum, dalam praktik

Sebuah role harus melakukan yang dibutuhkan tugasnya, dan sangat sedikit di luar itu.

Dikelola AWS, seperti AmazonS3ReadOnlyAccess: setiap bucket. Dikelola pelanggan: milik Anda, hingga satu prefix
Lingkup jangkauan dan masa berlaku: kredensial jangka pendek lebih baik daripada key jangka panjang
AWS mengamankan infrastrukturnya
Seberapa luas role Anda adalah keputusan Anda, dan disimpan di repositori Anda

Contoh: role pembaca reports-bucket Dua allow. Tidak ada lainnya.

Tidak ada pada IAM, layanan yang memutuskan siapa boleh melakukan apa

Daftar izin sebuah role dengan tiga izin berlebih dicoret merah dan dua izin yang diperlukan dipertahankan hijau.

Ayo berlatih!

Menggunakan Keamanan AWS untuk Developer