Понимание ARN и конечных точек служб

ARN (имя ресурса Amazon) — это уникальный ID каждого ресурса в AWS. Политики и журналы ссылаются на ресурсы по ARN, поэтому важно научиться его читать.

ARN имеет фиксированный формат с разделителями-двоеточиями: arn:partition:service:region:account-id:resource. Каждая часть сужает область именования, поэтому даже длинный ARN можно быстро понять. См. пример.

Раздел обычно имеет значение aws, а для GovCloud и Китая используются специальные разделы. Сегмент сервиса указывает сервис, например s3 или iam. Сначала эти части задают общий контекст.

Сегмент региона указывает регион и остаётся пустым для глобальных сервисов, а account-id — это 12-значный идентификатор владельца. При работе между аккаунтами это число показывает, кому принадлежит ресурс.

Последняя часть — сам ресурс, иногда с префиксом вроде role/. Она может обозначать один конкретный объект или с помощью шаблона — множество объектов. Политики IAM чаще всего задают область действия именно здесь.

Политики IAM помещают ARN в поле Resource, чтобы точно указать, к чему применяется действие. Чтение этих ARN сразу показывает, является ли разрешение узким или опасно широким.

Шаблон (*) в ARN соответствует множеству ресурсов: bucket/* означает каждый объект внутри хранилища. Отдельный * соответствует всему, что почти всегда означает чрезмерно широкое разрешение. Обращайте на это внимание.

Конечная точка сервиса — это URL, к которому фактически обращается Ваш запрос, например s3.us-east-1.amazonaws.com. Большинство таких точек являются региональными, поэтому покрытие настраивается отдельно для каждого региона.

Конечная точка VPC позволяет ресурсам обращаться к сервисам AWS через частное соединение, не выходя в общедоступный интернет. Это удерживает трафик внутри AWS и уменьшает область воздействия угроз.

ARN обозначает «что», а конечные точки определяют «где» выполняется запрос. Вместе они позволяют составлять точные политики — часто это ключ к экзаменационному сценарию о минимальных привилегиях.

ARN встречаются не только в поле Resource, но и в условиях политик, а также в журналах CloudTrail. Свободное чтение ARN помогает составлять более строгие правила и отслеживать, кто и что сделал.

Разберите ARN.

ARN однозначно именует каждый ресурс, а политики указывают его в поле Resource. Слишком широкие шаблоны нарушают принцип минимальных привилегий. Конечные точки VPC обеспечивают частный доступ к сервисам.