AWS-CLI-Befehle konzeptionell lesen

Mit der AWS CLI steuern Sie AWS über ein Terminal. In der Prüfung schreiben Sie keinen Code, müssen aber CLI-Befehle lesen und genau wissen, was sie bewirken.

Jeder Befehl folgt demselben Muster: aws, dann ein Dienst, anschließend eine Operation und danach Optionen. Sobald Sie dieses Schema erkennen, können Sie jeden Befehl leicht lesen. Das Beispiel zeigt es.

Zuerst kommt der Dienst, etwa iam oder ec2, danach die Operation, meist in der Form Verb-Substantiv. Alles, was mit list oder describe beginnt, liest nur Daten und ist während einer Untersuchung sicher.

Optionen beginnen mit zwei Bindestrichen und ergänzen Details: --bucket benennt einen Bucket, --region legt eine Region fest. Anhand dieser Angaben erkennen Sie genau, worauf ein Befehl zugreift.

Achten Sie darauf, welche Befehle Dinge ändern. get, list und describe lesen nur Daten. put, create, delete und modify schreiben den Zustand und können riskant sein – gehen Sie damit vorsichtig um.

Standardmäßig antwortet die CLI im Format JSON, einem übersichtlichen Textformat aus Feldern und Werten. Nach Schlüsseln wie „Effect“ und „Action“ zu suchen, ist eine Fähigkeit, die Sie ständig benötigen werden.

Die CLI benötigt Anmeldedaten – aus einem Profil, einer Umgebungsvariablen oder einer zugewiesenen Rolle. Am sichersten sind temporäre Anmeldedaten aus einer Rolle, nicht langfristig gültige Schlüssel.

Mit dem Flag --profile wählen Sie einen benannten Satz von Anmeldedaten aus. So kann eine Person mit mehreren Konten arbeiten. Jedes Profil ist einer eigenen Identität und einem eigenen Berechtigungssatz zugeordnet.

Die CLI kann per Skript gesteuert, geplant und versionskontrolliert werden. Dadurch werden Sicherheitsmaßnahmen wiederholbar und prüfbar. Deshalb lässt sich das Durchsetzen von Sicherheitsvorgaben hier besser skalieren als in der Konsole.

Um einen Prüfungsbefehl zu entschlüsseln, lesen Sie ihn in Einzelteilen: Welcher Dienst, welche Operation, Lesen oder Schreiben und welche Optionen? Das genügt bereits, um festzustellen, ob er das Ziel erfüllt – Sie müssen ihn nicht ausführen.

Ein Aufruf von sts assume-role gibt kurzlebige Anmeldedaten zurück, sodass ein Skript mit einer Rolle statt mit permanenten Schlüsseln arbeitet. Wenn Sie dieses Muster erkennen, wissen Sie, dass die Identität sicher verwendet wird.

Entschlüsseln Sie einen CLI-Befehl.

Ein Befehl folgt dem Muster aws service operation options. list, describe und get lesen sicher Daten; put und delete schreiben Daten. Die Ausgabe erfolgt als JSON, und durch Skripte eignet sich die CLI hervorragend für die Automatisierung.