ARN और सेवा एंडपॉइंट समझना

ARN (Amazon Resource Name) AWS में हर संसाधन की विशिष्ट ID है। नीतियाँ और लॉग सभी संसाधनों का संदर्भ ARN से देते हैं, इसलिए इसे पढ़ना सीखना आवश्यक है।

ARN में कोलन से अलग एक निश्चित प्रारूप होता है: arn:partition:service:region:account-id:resource। हर भाग नाम की सीमा को और सटीक करता है, इसलिए लंबा ARN भी एक नज़र में समझा जा सकता है। उदाहरण देखें।

पार्टीशन आम तौर पर aws होता है, जबकि GovCloud और China के लिए विशेष पार्टीशन होते हैं। सेवा वाला खंड सेवा का नाम बताता है, जैसे s3 या iam। ये सबसे पहले व्यापक संदर्भ तय करते हैं।

क्षेत्र वाला खंड Region का नाम बताता है, और वैश्विक सेवाओं के लिए खाली रहता है। account-id 12 अंकों वाला स्वामी का पहचानकर्ता है। अलग-अलग खातों में किए गए काम में यह संख्या बताती है कि संसाधन किसका है।

अंतिम भाग स्वयं संसाधन होता है, कभी-कभी role/ जैसे उपसर्ग के साथ। यह किसी एक निश्चित वस्तु का नाम बता सकता है या वाइल्डकार्ड के साथ कई वस्तुओं का। IAM नीतियाँ अधिकतर इसी भाग को लक्ष्य बनाती हैं।

IAM नीतियाँ Resource फ़ील्ड में ARN रखकर बताती हैं कि कोई कार्रवाई ठीक किस पर लागू होगी। इन्हें पढ़ने से तुरंत पता चलता है कि अनुमति सीमित है या खतरनाक रूप से व्यापक।

ARN में वाइल्डकार्ड (*) कई संसाधनों से मेल खाता है — bucket/* का अर्थ है उसके भीतर की हर वस्तु। अकेला * हर चीज़ से मेल खाता है, जो लगभग हमेशा अत्यधिक व्यापक होता है। इस पर ध्यान दें।

सेवा एंडपॉइंट वह URL है जहाँ आपका अनुरोध वास्तव में पहुँचता है, जैसे s3.us-east-1.amazonaws.com। अधिकांश एंडपॉइंट क्षेत्रीय होते हैं, इसलिए कवरेज हर क्षेत्र के लिए अलग तय की जाती है।

VPC एंडपॉइंट आपके संसाधनों को सार्वजनिक इंटरनेट से गुज़रे बिना AWS सेवाओं तक निजी रूप से पहुँचने देता है। इससे ट्रैफ़िक AWS के भीतर रहता है और आपका जोखिम कम होता है।

ARN अनुरोध के "क्या" का नाम बताते हैं और एंडपॉइंट उसके "कहाँ" को निर्धारित करते हैं। साथ मिलकर ये आपको सटीक नीतियाँ लिखने देते हैं — न्यूनतम अनुमति से जुड़े परीक्षा-परिदृश्य में यही अक्सर मुख्य बात होती है।

ARN केवल Resource फ़ील्ड में ही नहीं, बल्कि नीति की शर्तों और CloudTrail लॉग में भी दिखाई देते हैं। इन्हें सहजता से पढ़ने पर आप अधिक सख्त नियम लिख और यह पता लगा सकते हैं कि किसने क्या किया।

ARN हर संसाधन का विशिष्ट नाम बताते हैं और नीतियाँ अपने Resource फ़ील्ड में इन्हें लक्ष्य बनाती हैं — व्यापक वाइल्डकार्ड न्यूनतम अनुमति के सिद्धांत को तोड़ते हैं। VPC एंडपॉइंट सेवाओं तक निजी पहुँच देते हैं।