ARNs en service-endpoints begrijpen

Een ARN (Amazon Resource Name) is de unieke ID van elke bron in AWS. Beleidsregels en logboeken verwijzen allemaal via een ARN naar bronnen, dus het is essentieel dat je er een kunt lezen.

Een ARN heeft een vaste indeling met dubbele punten: arn:partition:service:region:account-id:resource. Elk onderdeel maakt de benoeming specifieker, zodat je zelfs een lange ARN in één oogopslag kunt lezen. Bekijk het voorbeeld.

De partitie is meestal aws (met speciale varianten voor GovCloud en China), en het servicegedeelte benoemt de service, zoals s3 of iam. Hiermee wordt eerst de brede context vastgelegd.

Het regiogedeelte benoemt de regio (leeg voor globale services) en account-id is de eigenaar met twaalf cijfers. Bij werk tussen accounts laat dit nummer zien wie de bron bezit.

Het laatste deel is de bron zelf, soms met een voorvoegsel zoals role/. Het kan één specifieke zaak benoemen of, met een jokerteken, meerdere. IAM-beleidsregels richten zich meestal op dit deel.

IAM-beleidsregels plaatsen ARN's in het veld Resource om precies aan te geven waarop een actie van toepassing is. Als je deze ARN's leest, zie je direct of een machtiging beperkt of gevaarlijk breed is.

Een jokerteken (*) in een ARN komt overeen met meerdere bronnen — bucket/* betekent elk object in de bucket. Een losse * komt overeen met alles en is bijna altijd te ruim. Let hierop.

Een service-eindpunt is de URL die je aanvraag daadwerkelijk bereikt, zoals s3.us-east-1.amazonaws.com. De meeste zijn regionaal. Daarom stel je dekking per regio in.

Met een VPC-eindpunt kunnen je bronnen privé verbinding maken met AWS-services, zonder het openbare internet te gebruiken. Zo blijft het verkeer binnen AWS en verklein je je blootstelling.

ARN's benoemen het "wat" en eindpunten bepalen het "waar" van een aanvraag. Samen kun je hiermee nauwkeurige beleidsregels schrijven — vaak de sleutel tot een examensituatie over minimale machtigingen.

ARN's komen ook buiten het veld Resource voor: in voorwaarden van beleidsregels en in CloudTrail-logboeken. Als je ze vloeiend kunt lezen, schrijf je striktere regels en traceer je wie wat heeft gedaan.

Een ARN benoemt elke bron uniek en beleidsregels richten zich erop in hun veld Resource — brede jokertekens ondermijnen minimale machtigingen. Met VPC-eindpunten maak je privé verbinding met services.