Leggere concettualmente i comandi AWS CLI

La AWS CLI controlla AWS da un terminale. Per l'esame non dovrete scrivere codice, ma dovrete saper leggere i comandi CLI e capire esattamente cosa fanno.

Ogni comando segue uno schema: aws, poi un servizio, quindi un'operazione e infine le opzioni. Una volta riconosciuta questa struttura, qualsiasi comando diventa facile da leggere. L'esempio la mostra.

Prima viene il servizio, ad esempio iam o ec2, poi l'operazione, generalmente composta da verbo e sostantivo. Tutto ciò che inizia con list o describe si limita a leggere dati ed è sicuro durante un'indagine.

Le opzioni iniziano con due trattini e aggiungono dettagli: --bucket indica un bucket, mentre --region specifica una Regione. Leggerle vi permette di sapere esattamente su cosa agirà un comando.

È importante sapere quali comandi modificano le risorse. get, list e describe eseguono solo letture. put, create, delete e modify modificano lo stato e possono essere rischiosi: usateli con cautela.

Per impostazione predefinita, la CLI risponde in JSON, un formato testuale ordinato composto da campi e valori. Saperlo scorrere rapidamente cercando chiavi come "Effect" e "Action" vi sarà utile continuamente.

La CLI richiede credenziali, ottenute da un profilo, una variabile d'ambiente o un ruolo associato. La fonte più sicura sono le credenziali temporanee di un ruolo, non le chiavi a lungo termine.

Il flag --profile seleziona un set denominato di credenziali, permettendo a una stessa persona di lavorare su più account. Ogni profilo corrisponde a un'identità e a un insieme di autorizzazioni propri.

La CLI può essere inserita in script, pianificata ed è compatibile con il controllo versione, rendendo le azioni di sicurezza ripetibili e verificabili. Per questo l'applicazione dei controlli è più scalabile con la CLI che con la console.

Per decodificare un comando d'esame, leggetelo per parti: quale servizio, quale operazione, lettura o scrittura, quali opzioni. Questo basta per capire se raggiunge l'obiettivo: non è necessario eseguirlo.

La chiamata sts assume-role restituisce credenziali di breve durata, così uno script opera con un ruolo invece che con chiavi permanenti. Riconoscere questo schema significa capire che l'attore sta operando in sicurezza.

Decodificate un comando CLI.

Un comando si legge come aws service operation options. list, describe e get sono letture sicure; put e delete scrivono. L'output è in JSON e gli script rendono la CLI ideale per l'automazione.