ARNs und Service-Endpunkte verstehen

Ein ARN (Amazon Resource Name) ist die eindeutige ID jeder Ressource in AWS. Richtlinien und Protokolle verweisen über den ARN auf Ressourcen. Daher ist es unverzichtbar, einen ARN lesen zu können.

Ein ARN hat ein festes, durch Doppelpunkte getrenntes Format: arn:partition:service:region:account-id:resource. Jeder Teil grenzt den Namen weiter ein, sodass auch ein langer ARN auf einen Blick verständlich ist. Sehen Sie sich das Beispiel an.

Die partition lautet normalerweise aws, mit speziellen Varianten für GovCloud und China. Das Dienstsegment benennt den Dienst, etwa s3 oder iam. Diese beiden Teile legen zunächst den übergeordneten Kontext fest.

Das Regionssegment benennt die Region und ist bei globalen Diensten leer. Die account-id ist die zwölfstellige ID des Besitzers. Bei kontenübergreifenden Vorgängen zeigt diese Nummer, wem die Ressource gehört.

Der letzte Teil ist die resource selbst, manchmal mit einem Präfix wie role/. Er kann eine einzelne Ressource oder mit einem Platzhalter mehrere Ressourcen benennen. IAM-Richtlinien zielen meist auf diesen Teil.

IAM-Richtlinien enthalten im Feld Resource ARNs, um genau festzulegen, worauf eine Aktion angewendet wird. Wenn Sie diese ARNs lesen, erkennen Sie sofort, ob eine Berechtigung eng begrenzt oder gefährlich weit gefasst ist.

Ein Platzhalter (*) in einem ARN steht für mehrere Ressourcen. bucket/* bedeutet beispielsweise jedes Objekt innerhalb des Buckets. Ein einzelnes * steht für alles und ist fast immer zu weit gefasst. Achten Sie darauf.

Ein Service-Endpunkt ist die URL, die Ihre Anfrage tatsächlich erreicht, etwa s3.us-east-1.amazonaws.com. Die meisten Endpunkte sind regional, weshalb die Abdeckung pro Region festgelegt wird.

Ein VPC endpoint ermöglicht Ihren Ressourcen den privaten Zugriff auf AWS-Dienste, ohne das öffentliche Internet zu durchqueren. Dadurch bleibt der Datenverkehr innerhalb von AWS und Ihre Angriffsfläche wird kleiner.

ARNs benennen das „Was“, und Endpunkte definieren das „Wo“ einer Anfrage. Zusammen ermöglichen sie präzise Richtlinien – oft der entscheidende Punkt in einer Prüfungsfrage zum Prinzip der geringsten Berechtigung.

ARNs erscheinen nicht nur im Feld Resource, sondern auch in conditions von Richtlinien und in CloudTrail-Protokollen. Wenn Sie sie sicher lesen, können Sie engere Regeln formulieren und nachvollziehen, wer was getan hat.

Entschlüsseln Sie einen ARN.

Ein ARN benennt jede Ressource eindeutig, und Richtlinien verwenden ihn in ihrem Feld Resource. Zu weit gefasste Platzhalter verletzen das Prinzip der geringsten Berechtigung. VPC endpoints ermöglichen privaten Zugriff auf Dienste.