فهم ARNs ونقاط نهاية الخدمات

‏ARN (اسم مورد Amazon) هو المعرّف الفريد لكل مورد في AWS. وتشير السياسات والسجلات جميعها إلى الموارد باستخدام ARN، لذا من الضروري تعلم قراءته.

يتبع ARN تنسيقًا ثابتًا يفصل بين أجزائه النقطتان: arn:partition:service:region:account-id:resource. ويضيّق كل جزء نطاق العنصر المسمى، لذا يمكن فهم ARN الطويل من النظرة الأولى. راجع المثال.

يكون القسم عادةً aws، مع أقسام خاصة بـ GovCloud والصين، بينما يسمّي جزء الخدمة الخدمة، مثل s3 أو iam. ويحددان السياق العام أولًا.

يسمّي جزء المنطقة المنطقة، ويكون فارغًا للخدمات العامة، بينما يحدد account-id المالك المؤلف من 12 رقمًا. وفي العمل عبر الحسابات، يكشف هذا الرقم مالك المورد.

الجزء الأخير هو المورد نفسه، وقد يسبقه أحيانًا بادئة مثل role/. ويمكنه تسمية عنصر واحد محدد أو عدة عناصر باستخدام حرف بدل. وتستهدف سياسات IAM هذا الجزء غالبًا.

تضع سياسات IAM عناوين ARN في حقل Resource لتحديد ما ينطبق عليه الإجراء بالضبط. وتخبرك قراءة عناوين ARN فورًا بما إذا كان الإذن مقيّدًا أو واسعًا بشكل خطير.

يطابق حرف البدل (*) في ARN موارد متعددة — فالقيمة bucket/* تعني كل كائن داخل الحاوية. أما * وحدها فتطابق كل شيء، وهذا أوسع من اللازم في معظم الحالات. انتبه إليها.

‏نقطة نهاية الخدمة هي عنوان URL الذي يصل إليه طلبك فعليًا، مثل s3.us-east-1.amazonaws.com. ومعظمها إقليمي، ولهذا تُحدَّد التغطية لكل منطقة.

تتيح نقطة نهاية VPC لمواردك الوصول إلى خدمات AWS بشكل خاص، من دون المرور عبر الإنترنت العام. وهذا يبقي حركة المرور داخل AWS ويقلل تعرضك للمخاطر.

تسمّي ARNs «ما هو المورد»، بينما تحدد نقاط النهاية «أين» يتم الطلب. ويتيح لك الجمع بينهما كتابة سياسات دقيقة، وهو غالبًا المفتاح في سيناريوهات الاختبار المتعلقة بأقل قدر من الامتيازات.

تظهر ARNs خارج حقل Resource أيضًا: في شروط السياسة وفي سجلات CloudTrail. وتساعدك قراءتها بطلاقة على كتابة قواعد أكثر إحكامًا وتتبع من فعل ماذا.

فكّك ARN.

يسمّي ARN كل مورد تسمية فريدة، وتستهدفه السياسات في حقل Resource، بينما تخلّ أحرف البدل الواسعة بمبدأ أقل قدر من الامتيازات. وتتيح نقاط نهاية VPC الوصول إلى الخدمات بشكل خاص.