ARN'leri ve Hizmet Uç Noktalarını Anlama

Bir ARN (Amazon Resource Name), AWS'deki her kaynak için benzersiz kimliktir. İlkeler ve günlükler kaynaklara ARN üzerinden başvurur; bu nedenle bir ARN'yi okumayı öğrenmek çok önemlidir.

Bir ARN sabit bir iki nokta biçimine sahiptir: arn:partition:service:region:account-id:resource. Her bölüm adlandırılan şeyi daha da daraltır; bu nedenle uzun bir ARN bile bir bakışta okunabilir. Örneğe bakın.

partition genellikle aws değeridir; GovCloud ve Çin için özel bölümler bulunur. Hizmet bölümü ise s3 veya iam gibi hizmetin adını belirtir. Bunlar önce genel bağlamı belirler.

region bölümü Bölgeyi belirtir; genel hizmetlerde boştur. account-id ise 12 haneli sahibidir. Hesaplar arası çalışmalarda bu sayı, kaynağın kime ait olduğunu gösterir.

Son bölüm, bazen role/ gibi bir ön ekle birlikte kaynağın kendisidir. Tek bir kesin şeyi veya joker karakter kullanıldığında birçok şeyi adlandırabilir. IAM ilkeleri çoğunlukla bu bölümü hedefler.

IAM ilkeleri, bir işlemin tam olarak neye uygulanacağını belirtmek için ARN'leri Resource alanına koyar. Bu ARN'leri okumak, bir iznin dar kapsamlı mı yoksa tehlikeli biçimde geniş mi olduğunu anında gösterir.

Bir ARN'deki joker karakter (*) birçok kaynakla eşleşir; bucket/* paketin içindeki her nesne anlamına gelir. Tek başına * her şeyle eşleşir ve neredeyse her zaman gereğinden geniştir. Buna dikkat edin.

Hizmet uç noktası, isteğinizin gerçekten ulaştığı URL'dir; örneğin s3.us-east-1.amazonaws.com. Çoğu uç noktadır ve bölgeseldir; kapsamın bu nedenle Bölge başına belirlenmesi gerekir.

Bir VPC uç noktası, kaynaklarınızın AWS hizmetlerine genel internet üzerinden geçmeden özel olarak ulaşmasını sağlar. Böylece trafik AWS içinde kalır ve maruz kaldığınız risk azalır.

ARN'ler isteğin "neyi", uç noktalar ise "nerede" olduğunu tanımlar. Birlikte, hassas ilkeler yazmanızı sağlarlar; bu da genellikle en az ayrıcalıkla ilgili bir sınav senaryosunun anahtarıdır.

ARN'ler Resource alanının dışında da görünür: ilke koşullarında ve CloudTrail günlüklerinde. Bunları akıcı biçimde okuyabilmek, daha sıkı kurallar yazmanıza ve kimin ne yaptığını izleyebilmenize yardımcı olur.

Bir ARN her kaynağı benzersiz biçimde adlandırır ve ilkeler Resource alanında onu hedefler; geniş joker karakterler en az ayrıcalık ilkesini bozar. VPC uç noktaları hizmetlere özel olarak ulaşır.