Comprendere ARN ed endpoint dei servizi

Un ARN (Amazon Resource Name) è l'identificativo univoco di ogni risorsa in AWS. Policy e log fanno riferimento alle risorse tramite ARN, quindi imparare a leggerne uno è essenziale.

Un ARN segue un formato fisso separato da due punti: arn:partition:service:region:account-id:resource. Ogni parte restringe l'oggetto identificato, quindi anche un ARN lungo si legge a colpo d'occhio. Guardate l'esempio.

La partition è solitamente aws, con valori specifici per GovCloud e Cina, mentre il segmento service identifica il servizio, come s3 o iam. Insieme definiscono innanzitutto il contesto generale.

Il segmento region indica la Regione, ed è vuoto per i servizi globali; account-id è l'identificativo a 12 cifre del proprietario. Nelle operazioni tra account, quel numero rivela chi possiede la risorsa.

L'ultima parte è la resource vera e propria, talvolta con un prefisso come role/. Può identificare un singolo oggetto oppure, con un carattere jolly, molti oggetti. Le policy IAM fanno spesso riferimento a questa parte.

Le policy IAM inseriscono gli ARN nel campo Resource per specificare esattamente a cosa si applica un'azione. Leggere questi ARN permette di capire immediatamente se un'autorizzazione è circoscritta o pericolosamente ampia.

Un carattere jolly (*) in un ARN corrisponde a molte risorse: bucket/* indica ogni oggetto contenuto nel bucket. Un * da solo corrisponde a tutto, ed è quasi sempre eccessivo. Fate attenzione.

Un service endpoint è l'URL effettivamente raggiunto dalla richiesta, come s3.us-east-1.amazonaws.com. La maggior parte degli endpoint è regionale, motivo per cui la copertura viene configurata per Regione.

Un VPC endpoint consente alle vostre risorse di raggiungere privatamente i servizi AWS, senza attraversare Internet pubblico. In questo modo il traffico rimane sulla rete AWS e si riduce la superficie di esposizione.

Gli ARN definiscono il "cosa" e gli endpoint il "dove" di una richiesta. Insieme consentono di scrivere policy precise, spesso l'elemento chiave in uno scenario d'esame sul principio del privilegio minimo.

Gli ARN compaiono anche oltre il campo Resource: nelle conditions delle policy e nei log di CloudTrail. Leggerli con scioltezza vi aiuta a scrivere regole più restrittive e a ricostruire chi ha fatto cosa.

Decodificate un ARN.

Un ARN identifica in modo univoco ogni risorsa e le policy lo usano nel campo Resource; i caratteri jolly troppo ampi violano il principio del privilegio minimo. I VPC endpoints consentono di raggiungere privatamente i servizi.