Koncepcyjne odczytywanie poleceń AWS CLI

AWS CLI pozwala zarządzać AWS z poziomu terminala. Na egzaminie nie będą Państwo pisać kodu, ale muszą Państwo umieć czytać polecenia CLI i dokładnie wiedzieć, co robią.

Każde polecenie ma ten sam schemat: aws, następnie usługa, operacja i opcje. Gdy rozpoznają Państwo tę strukturę, każde polecenie staje się łatwe do odczytania. Przykład pokazuje ten schemat.

Najpierw podaje się usługę (na przykład iam lub ec2), a następnie operację, zwykle w formie czasownik-rzeczownik. Wszystko, co zaczyna się od list lub describe, tylko odczytuje dane — dlatego jest bezpieczne podczas analizy.

Opcje zaczynają się od dwóch myślników i dodają szczegółowe informacje: --bucket wskazuje zasobnik, a --region określa region. Ich odczytanie pozwala dokładnie ustalić, czego dotknie dane polecenie.

Należy wiedzieć, które polecenia zmieniają zasoby. get, list i describe tylko odczytują dane. put, create, delete i modify zmieniają stan i mogą być ryzykowne — należy używać ich ostrożnie.

Domyślnie CLI odpowiada w formacie JSON, czyli uporządkowanym tekstowym formacie pól i wartości. Umiejętność szybkiego wyszukiwania w nim kluczy takich jak "Effect" i "Action" będzie często potrzebna.

CLI potrzebuje danych uwierzytelniających — pochodzących z profilu, zmiennej środowiskowej lub przypisanej roli. Najbezpieczniejszym źródłem są tymczasowe dane uwierzytelniające z roli, a nie klucze długoterminowe.

Flaga --profile wybiera nazwany zestaw danych uwierzytelniających, dzięki czemu jedna osoba może pracować na wielu kontach. Każdy profil odpowiada własnej tożsamości i uprawnieniom.

CLI można skryptować, planować jego uruchamianie i przechowywać w systemie kontroli wersji, dzięki czemu działania związane z bezpieczeństwem są powtarzalne i możliwe do audytowania. Dlatego egzekwowanie konfiguracji skaluje się lepiej za pomocą CLI niż w konsoli.

Aby rozszyfrować polecenie egzaminacyjne, należy czytać je fragmentami: jaka usługa, jaka operacja, odczyt czy zapis oraz jakie opcje. To wystarczy, aby ustalić, czy polecenie spełnia cel — nie trzeba go uruchamiać.

Wywołanie sts assume-role zwraca krótkotrwałe dane uwierzytelniające, dzięki czemu skrypt działa z uprawnieniami roli zamiast używać stałych kluczy. Rozpoznanie tego wzorca oznacza, że podmiot działa w bezpieczny sposób.

Rozszyfruj polecenie CLI.

Polecenie ma postać aws service operation options. list, describe i get służą do bezpiecznego odczytu, a put i delete zmieniają stan. Dane wyjściowe są w formacie JSON, a skrypty sprawiają, że CLI świetnie nadaje się do automatyzacji.