Zrozumienie ARN-ów i punktów końcowych usług

ARN (Amazon Resource Name) to unikatowy identyfikator każdego zasobu w AWS. Zasady i dzienniki odwołują się do zasobów za pomocą ARN, dlatego umiejętność ich odczytywania jest niezbędna.

ARN ma stały format oparty na dwukropkach: arn:partition:service:region:account-id:resource. Każda część zawęża zakres identyfikowanego elementu, więc nawet długi ARN można odczytać na pierwszy rzut oka. Zobacz przykład.

Partycja to zwykle aws (ze specjalnymi wariantami dla GovCloud i Chin), a segment usługi określa usługę, na przykład s3 lub iam. Najpierw definiują one ogólny kontekst.

Segment regionu określa region (dla usług globalnych pozostaje pusty), a account-id to 12-cyfrowy identyfikator właściciela. W pracy między kontami ten numer ujawnia, do kogo należy zasób.

Ostatnia część to sam zasób, czasami poprzedzony prefiksem, takim jak role/. Może wskazywać jeden konkretny element albo, w połączeniu z symbolem wieloznacznym, wiele elementów. Zasady IAM najczęściej określają właśnie tę część.

Zasady IAM umieszczają ARN-y w polu Resource, aby dokładnie określić, czego dotyczy działanie. Odczytanie tych ARN-ów natychmiast pokazuje, czy uprawnienie jest precyzyjne, czy niebezpiecznie szerokie.

Symbol wieloznaczny (*) w ARN-ie pasuje do wielu zasobów — bucket/* oznacza każdy obiekt wewnątrz zasobnika. Samotny * pasuje do wszystkiego, co prawie zawsze oznacza zbyt szeroki zakres. Należy zwracać na to uwagę.

Punkt końcowy usługi to adres URL, do którego faktycznie dociera żądanie, na przykład s3.us-east-1.amazonaws.com. Większość punktów końcowych ma zasięg regionalny, dlatego zakres ochrony ustawia się osobno dla każdego regionu.

Punkt końcowy VPC pozwala zasobom korzystać z usług AWS prywatnie, bez przechodzenia przez publiczny internet. Dzięki temu ruch pozostaje w sieci AWS, a ekspozycja jest mniejsza.

ARN-y określają „co”, a punkty końcowe — „gdzie” odbywa się żądanie. Razem pozwalają tworzyć precyzyjne zasady, co często jest kluczowe w zadaniach egzaminacyjnych dotyczących zasady najmniejszych uprawnień.

ARN-y pojawiają się także poza polem Resource: w warunkach zasad i w dziennikach CloudTrail. Sprawne ich odczytywanie pomaga tworzyć bardziej precyzyjne reguły i ustalać, kto wykonał daną czynność.

Rozszyfruj ARN.

ARN jednoznacznie identyfikuje każdy zasób, a zasady wskazują go w polu Resource — szerokie symbole wieloznaczne łamią zasadę najmniejszych uprawnień. Punkty końcowe VPC umożliwiają prywatny dostęp do usług.