การทำความเข้าใจ ARN และปลายทางบริการ

ARN (ชื่อทรัพยากรของ Amazon) คือ ID เฉพาะของทรัพยากรทุกแห่งใน AWS นโยบายและบันทึกต่าง ๆ ล้วนระบุทรัพยากรด้วย ARN ดังนั้นการอ่าน ARN จึงเป็นทักษะสำคัญ

ARNมีรูปแบบที่ตายตัวโดยใช้เครื่องหมายโคลอน: arn:partition:service:region:account-id:resource แต่ละส่วนจะจำกัดขอบเขตของสิ่งที่ระบุให้แคบลง ทำให้แม้ ARN จะยาวก็ยังอ่านได้อย่างรวดเร็ว โปรดดูตัวอย่าง

พาร์ทิชันโดยปกติคือ aws (โดยมีพาร์ทิชันพิเศษสำหรับ GovCloud และจีน) ส่วนของบริการจะระบุชื่อบริการ เช่น s3 หรือ iam ทั้งสองส่วนนี้เป็นตัวกำหนดบริบทโดยรวมก่อน

ส่วนภูมิภาคจะระบุภูมิภาค (จะว่างเปล่าสำหรับบริการทั่วโลก) และ account-id คือเจ้าของที่มีตัวเลข 12 หลัก ในการทำงานข้ามบัญชี ตัวเลขนี้จะแสดงให้เห็นว่าใครเป็นเจ้าของทรัพยากร

ส่วนสุดท้ายคือทรัพยากรเอง ซึ่งบางครั้งมีคำนำหน้าอย่าง role/ ส่วนนี้อาจระบุสิ่งใดสิ่งหนึ่งโดยเฉพาะ หรือระบุหลายสิ่งด้วยอักขระแทนค่า นโยบาย IAM มักกำหนดเป้าหมายที่ส่วนนี้

นโยบาย IAM ใส่ ARN ไว้ในฟิลด์ Resource เพื่อระบุอย่างชัดเจนว่าการดำเนินการมีผลกับสิ่งใด การอ่าน ARN เหล่านี้ช่วยให้คุณทราบได้ทันทีว่าสิทธิ์มีขอบเขตแคบหรือกว้างจนเป็นอันตราย

อักขระแทนค่า (*) ใน ARN สามารถจับคู่กับทรัพยากรจำนวนมากได้ เช่น bucket/* หมายถึงทุกออบเจ็กต์ภายในบักเก็ต ส่วน * เพียงตัวเดียวหมายถึงทุกสิ่ง ซึ่งเกือบจะกว้างเกินไปเสมอ ควรระวังการใช้งานนี้

ปลายทางบริการคือ URL ที่คำขอของคุณส่งไปถึงจริง เช่น s3.us-east-1.amazonaws.com ปลายทางส่วนใหญ่เป็นแบบระดับภูมิภาค จึงต้องกำหนดการครอบคลุมแยกตามภูมิภาค

ปลายทาง VPCช่วยให้ทรัพยากรของคุณเข้าถึงบริการ AWS แบบส่วนตัวได้ โดยไม่ต้องผ่านอินเทอร์เน็ตสาธารณะ วิธีนี้ช่วยให้การรับส่งข้อมูลอยู่บน AWS และลดพื้นที่เสี่ยงของคุณ

ARN ระบุว่า "อะไร" ส่วนปลายทางระบุว่า "ที่ไหน" สำหรับคำขอ เมื่อใช้ร่วมกัน ทั้งสองอย่างช่วยให้คุณเขียนนโยบายได้อย่างแม่นยำ ซึ่งมักเป็นกุญแจสำคัญของสถานการณ์ในข้อสอบเกี่ยวกับสิทธิ์เท่าที่จำเป็น

ARN ไม่ได้ปรากฏเฉพาะในฟิลด์ Resource เท่านั้น แต่ยังอยู่ในเงื่อนไขของนโยบายและบันทึก CloudTrail ด้วย การอ่าน ARN ได้อย่างคล่องแคล่วช่วยให้คุณเขียนกฎที่รัดกุมขึ้นและติดตามได้ว่าใครทำอะไร

ถอดความหมาย ARN

ARNใช้ระบุทรัพยากรแต่ละรายการโดยไม่ซ้ำกัน และนโยบายจะกำหนดเป้าหมายผ่านฟิลด์ Resource การใช้อักขระแทนค่าที่กว้างเกินไปจะทำลายหลักสิทธิ์เท่าที่จำเป็น ส่วนปลายทาง VPCช่วยเข้าถึงบริการแบบส่วนตัว