ARN-tunnusten ja palvelupäätepisteiden ymmärtäminen

ARN (Amazon Resource Name) on jokaisen AWS-resurssin yksilöllinen tunniste. Käytännöt ja lokit viittaavat resursseihin ARN-tunnisteilla, joten yhden lukemisen opettelu on välttämätöntä.

ARN noudattaa kiinteää kaksoispisteillä eroteltua muotoa: arn:partition:service:region:account-id:resource. Jokainen osa tarkentaa nimettyä kohdetta, joten pitkänkin ARN:n sisällön näkee nopeasti. Katso esimerkki.

Osio on yleensä aws, mutta GovCloudille ja Kiinalle on omat osionsa. Palveluosio nimeää palvelun, kuten s3 tai iam. Näin muodostuu laaja asiayhteys ensin.

Alueosio nimeää alueen (globaaleilla palveluilla se on tyhjä), ja account-id on omistajan 12-numeroinen tunniste. Tilien välisessä työskentelyssä tämä numero paljastaa resurssin omistajan.

Viimeinen osa on itse resurssi, joskus etuliitteellä, kuten role/. Se voi nimetä yhden tietyn kohteen tai jokerimerkin avulla useita kohteita. IAM-käytännöt kohdistetaan useimmiten tähän osaan.

IAM-käytännöt sijoittavat ARN:t Resource-kenttään määrittääkseen tarkasti, mihin toiminto kohdistuu. Kun luette ARN:t, näette heti, onko käyttöoikeus rajattu vai vaarallisen laaja.

Jokerimerkki (*) ARN-tunnisteessa vastaa useita resursseja — bucket/* tarkoittaa kaikkia säilön objekteja. Yksittäinen * vastaa kaikkea, mikä on lähes aina liian laajaa. Kiinnittäkää siihen huomiota.

Palvelupäätepiste on URL-osoite, johon pyyntönne todella lähetetään, kuten s3.us-east-1.amazonaws.com. Useimmat päätepisteet ovat alueellisia, minkä vuoksi kattavuus määritetään aluekohtaisesti.

VPC-päätepisteen avulla resurssinne voivat käyttää AWS-palveluita yksityisesti ilman julkisen internetin kautta kulkemista. Liikenne pysyy AWS:n sisällä ja altistuminen vähenee.

ARN:t nimeävät pyynnön "mitä"-kohteen ja päätepisteet määrittävät "missä"-sijainnin. Yhdessä niiden avulla voidaan kirjoittaa täsmällisiä käytäntöjä — usein tämä on vähimmän oikeuden periaatetta koskevan koetilanteen avain.

ARN:t esiintyvät muuallakin kuin Resource-kentässä: käytäntöjen ehdoissa ja CloudTrail-lokeissa. Kun osaatte lukea niitä sujuvasti, voitte kirjoittaa tiukempia sääntöjä ja selvittää, kuka teki mitä.

ARN nimeää jokaisen resurssin yksilöllisesti, ja käytännöt kohdistetaan siihen Resource-kentässä — laajat jokerimerkit rikkovat vähimmän oikeuden periaatteen. VPC-päätepisteiden kautta palveluita käytetään yksityisesti.