From 0c0e1ab95bc3f90c1589f879ee698ff61e059e75 Mon Sep 17 00:00:00 2001 From: Translator Date: Fri, 21 Mar 2025 09:24:16 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/aws-security/aws-basic-information/REA --- .../aws-basic-information/README.md | 100 +++++++++--------- .../azure-security/az-services/az-sql.md | 24 ++--- 2 files changed, 62 insertions(+), 62 deletions(-) diff --git a/src/pentesting-cloud/aws-security/aws-basic-information/README.md b/src/pentesting-cloud/aws-security/aws-basic-information/README.md index f3946b99d..ab2e1520f 100644 --- a/src/pentesting-cloud/aws-security/aws-basic-information/README.md +++ b/src/pentesting-cloud/aws-security/aws-basic-information/README.md @@ -8,9 +8,9 @@ ### Akaunti -Katika AWS, kuna **akaunti ya mzizi**, ambayo ni **konteina mama kwa akaunti zote** za **shirika** lako. Hata hivyo, huwezi kutumia akaunti hiyo kupeleka rasilimali, unaweza kuunda **akaunti nyingine ili kutenganisha miundombinu tofauti za AWS** kati yao. +Katika AWS, kuna **akaunti ya mzizi**, ambayo ni **konteina mama kwa akaunti zote** za **shirika** lako. Hata hivyo, huwezi kuhitaji kutumia akaunti hiyo kupeleka rasilimali, unaweza kuunda **akaunti nyingine ili kutenganisha miundombinu tofauti za AWS** kati yao. -Hii ni ya kuvutia kutoka kwa mtazamo wa **usalama**, kwani **akaunti moja haitakuwa na uwezo wa kufikia rasilimali kutoka akaunti nyingine** (isipokuwa madaraja yameundwa mahsusi), hivyo kwa njia hii unaweza kuunda mipaka kati ya upelekezi. +Hii ni ya kuvutia kutoka kwa mtazamo wa **usalama**, kwani **akaunti moja haitakuwa na uwezo wa kufikia rasilimali kutoka akaunti nyingine** (isipokuwa madaraja yameundwa mahsusi), hivyo kwa njia hii unaweza kuunda mipaka kati ya upelekwaji. Kwa hivyo, kuna **aina mbili za akaunti katika shirika** (tunazungumzia akaunti za AWS na si Akaunti za Mtumiaji): akaunti moja ambayo imewekwa kama akaunti ya usimamizi, na akaunti moja au zaidi za wanachama. @@ -31,9 +31,9 @@ Akaunti ya usimamizi ina **majukumu ya akaunti ya malipo** na inawajibika kulipa ``` aws organizations create-account --account-name testingaccount --email testingaccount@lalala1233fr.com ``` -### **Vitengo vya Shirika** +### **Units za Shirika** -Accounts zinaweza kuunganishwa katika **Vitengo vya Shirika (OU)**. Kwa njia hii, unaweza kuunda **sera** za Vitengo vya Shirika ambazo zita **wekwa kwenye akaunti zote za watoto**. Kumbuka kwamba OU inaweza kuwa na OUs nyingine kama watoto. +Accounts zinaweza kuunganishwa katika **Units za Shirika (OU)**. Kwa njia hii, unaweza kuunda **sera** kwa Unit ya Shirika ambazo zita **wekwa kwenye akaunti zote za watoto**. Kumbuka kwamba OU inaweza kuwa na OUs zingine kama watoto. ```bash # You can get the root id from aws organizations list-roots aws organizations create-organizational-unit --parent-id r-lalala --name TestOU @@ -42,8 +42,8 @@ aws organizations create-organizational-unit --parent-id r-lalala --name TestOU A **service control policy (SCP)** ni sera inayobainisha huduma na vitendo ambavyo watumiaji na majukumu wanaweza kutumia katika akaunti ambazo SCP inahusisha. SCPs ni **sawa na sera za ruhusa za IAM** isipokuwa hazitoi **ruhusa yoyote**. Badala yake, SCPs zinaelezea **ruhusa za juu zaidi** kwa shirika, kitengo cha shirika (OU), au akaunti. Unapounganisha SCP kwa mzizi wa shirika lako au OU, **SCP inakandamiza ruhusa za viumbe katika akaunti za wanachama**. -Hii ndiyo NJIA PEKEE ambayo **hata mtumiaji wa mzizi anaweza kuzuiwa** kufanya jambo fulani. Kwa mfano, inaweza kutumika kuzuia watumiaji wasizime CloudTrail au kufuta nakala za akiba.\ -Njia pekee ya kupita hii ni kuathiri pia **akaunti ya mkuu** inayoweka SCPs (akaunti ya mkuu haiwezi kuzuiwa). +Hii ndiyo NJIA PEKEE ambayo **hata mtumiaji wa mzizi anaweza kuzuiliwa** kufanya kitu. Kwa mfano, inaweza kutumika kuzuia watumiaji wasizime CloudTrail au kufuta nakala za akiba.\ +Njia pekee ya kupita hii ni kuathiri pia **akaunti ya mkuu** inayoweka SCPs (akaunti ya mkuu haiwezi kuzuiliwa). > [!WARNING] > Kumbuka kwamba **SCPs zinakandamiza tu wakuu katika akaunti**, hivyo akaunti nyingine hazihusiki. Hii inamaanisha kuwa kuwa na SCP inayokataza `s3:GetObject` haitazuia watu **kupata akiba ya S3 ya umma** katika akaunti yako. @@ -57,7 +57,7 @@ Mifano ya SCP: kuondolewa -- Kataza majukumu ya usalama/jibu la tukio kuondolewa au +- Kataza majukumu ya usalama/mjibu wa tukio kuondolewa au kubadilishwa. @@ -70,15 +70,15 @@ Pata **mifano ya JSON** katika [https://docs.aws.amazon.com/organizations/latest A **resource control policy (RCP)** ni sera inayobainisha **ruhusa za juu zaidi kwa rasilimali ndani ya shirika lako la AWS**. RCPs ni sawa na sera za IAM katika sarufi lakini **hazitoi ruhusa**—zinakataza tu ruhusa ambazo zinaweza kutumika kwa rasilimali na sera nyingine. Unapounganisha RCP kwa mzizi wa shirika lako, kitengo cha shirika (OU), au akaunti, RCP inakandamiza ruhusa za rasilimali katika rasilimali zote katika upeo ulioathirika. -Hii ndiyo NJIA PEKEE ya kuhakikisha kuwa **rasilimali hazizidi viwango vya ufikiaji vilivyowekwa**—hata kama sera inayotegemea utambulisho au rasilimali ni ya kupitiliza. Njia pekee ya kupita mipaka hii ni pia kubadilisha RCP iliyowekwa na akaunti ya usimamizi wa shirika lako. +Hii ndiyo NJIA PEKEE ya kuhakikisha kwamba **rasilimali hazizidi viwango vya ufikiaji vilivyowekwa**—hata kama sera ya msingi wa utambulisho au rasilimali ni ya kupitiliza. Njia pekee ya kupita mipaka hii ni pia kubadilisha RCP iliyowekwa na akaunti ya usimamizi wa shirika lako. > [!WARNING] -> RCPs zinakandamiza tu ruhusa ambazo rasilimali zinaweza kuwa nazo. Hazidhibiti moja kwa moja kile wakuu wanaweza kufanya. Kwa mfano, ikiwa RCP inakataza ufikiaji wa nje kwa akiba ya S3, inahakikisha kuwa ruhusa za akiba haziruhusu vitendo zaidi ya mipaka iliyowekwa—hata kama sera inayotegemea rasilimali imewekwa vibaya. +> RCPs zinakandamiza tu ruhusa ambazo rasilimali zinaweza kuwa nazo. Hazidhibiti moja kwa moja kile wakuu wanaweza kufanya. Kwa mfano, ikiwa RCP inakataza ufikiaji wa nje kwa akiba ya S3, inahakikisha kwamba ruhusa za akiba haziruhusu vitendo zaidi ya mipaka iliyowekwa—hata kama sera ya msingi wa rasilimali imewekwa vibaya. Mifano ya RCP: - Kandamiza akiba za S3 ili ziweze kufikiwa tu na wakuu ndani ya shirika lako -- Punguza matumizi ya funguo za KMS ili ruhusu tu operesheni kutoka kwa akaunti za shirika zinazotegemewa +- Punguza matumizi ya funguo za KMS ili ruhusu tu operesheni kutoka akaunti za shirika zinazotegemewa - Punguza ruhusa kwenye foleni za SQS ili kuzuia mabadiliko yasiyoidhinishwa - Lazimisha mipaka ya ufikiaji kwenye siri za Meneja wa Siri ili kulinda data nyeti @@ -86,7 +86,7 @@ Pata mifano katika [AWS Organizations Resource Control Policies documentation](h ### ARN -**Amazon Resource Name** ni **jina la kipekee** kila rasilimali ndani ya AWS ina, limeundwa kama ifuatavyo: +**Amazon Resource Name** ni **jina la kipekee** kila rasilimali ndani ya AWS ina, linaundwa kama ifuatavyo: ``` arn:partition:service:region:account-id:resource-type/resource-id arn:aws:elasticbeanstalk:us-west-1:123456789098:environment/App/Env @@ -110,7 +110,7 @@ IAM inaweza kufafanuliwa kwa uwezo wake wa kusimamia, kudhibiti na kuongoza mita ### [Mtumiaji wa mizizi ya akaunti ya AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html) -Unapounda akaunti ya Amazon Web Services (AWS) kwa mara ya kwanza, unaanza na utambulisho mmoja wa kuingia ambao una **ufikiaji kamili kwa wote** huduma na rasilimali za AWS katika akaunti. Huu ni mtumiaji wa akaunti ya AWS _**mizizi**_ na unafikiwa kwa kuingia kwa kutumia **anwani ya barua pepe na nenosiri ulilotumia kuunda akaunti**. +Unapounda akaunti ya Amazon Web Services (AWS) kwa mara ya kwanza, unaanza na utambulisho mmoja wa kuingia ambao una **ufikiaji kamili kwa wote** huduma na rasilimali za AWS katika akaunti hiyo. Huu ni mtumiaji wa _**mizizi ya akaunti ya AWS**_ na unafikiwa kwa kuingia kwa kutumia **anwani ya barua pepe na nenosiri ulilotumia kuunda akaunti**. Kumbuka kwamba mtumiaji mpya wa **admin** atakuwa na **idhini ndogo kuliko mtumiaji wa mizizi**. @@ -118,23 +118,23 @@ Kutoka kwa mtazamo wa usalama, inapendekezwa kuunda watumiaji wengine na kuepuka ### [Watumiaji wa IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) -Mtumiaji wa IAM ni kiumbe ambacho unaunda katika AWS ili **wakilisha mtu au programu** inayotumia hiyo ili **kuingiliana na AWS**. Mtumiaji katika AWS unajumuisha jina na ithibati (nenosiri na funguo za ufikiaji hadi mbili). +Mtumiaji wa IAM ni kiumbe ambacho unakiunda katika AWS ili **wakilisha mtu au programu** inayotumia ili **kuingiliana na AWS**. Mtumiaji katika AWS unajumuisha jina na hati (nenosiri na funguo za ufikiaji hadi mbili). Unapounda mtumiaji wa IAM, unampa **idhini** kwa kumfanya kuwa **mwanachama wa kundi la watumiaji** ambalo lina sera za idhini zinazofaa (inapendekezwa), au kwa **kuambatisha sera moja kwa moja** kwa mtumiaji. -Watumiaji wanaweza kuwa na **MFA iliyoanzishwa kuingia** kupitia console. Tokeni za API za watumiaji walioanzisha MFA hazilindwi na MFA. Ikiwa unataka **kudhibiti ufikiaji wa funguo za API za watumiaji kwa kutumia MFA** unahitaji kuashiria katika sera kwamba ili kutekeleza vitendo fulani MFA inahitaji kuwepo (mfano [**hapa**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). +Watumiaji wanaweza kuwa na **MFA iliyoanzishwa kuingia** kupitia console. Token za API za watumiaji walioanzisha MFA hazilindwi na MFA. Ikiwa unataka **kudhibiti ufikiaji wa funguo za API za watumiaji kwa kutumia MFA** unahitaji kuashiria katika sera kwamba ili kutekeleza vitendo fulani MFA inahitaji kuwepo (mfano [**hapa**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). #### CLI - **Kitambulisho cha Funguo za Ufikiaji**: herufi 20 za bahati nasibu za alphanumeric kubwa kama AKHDNAPO86BSHKDIRYT -- **Kitambulisho cha funguo za siri za ufikiaji**: herufi 40 za bahati nasibu za kubwa na ndogo: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (Haiwezekani kurejesha kitambulisho cha funguo za siri zilizopotea). +- **Kitambulisho cha funguo za siri za ufikiaji**: herufi 40 za bahati nasibu za kubwa na ndogo: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (Haiwezekani kurejesha vitambulisho vya funguo za siri vilivyopotea). -Kila wakati unahitaji **kubadilisha Funguo za Ufikiaji** huu ndio mchakato unapaswa kufuata:\ +Wakati wowote unahitaji **kubadilisha Funguo za Ufikiaji** huu ndio mchakato unapaswa kufuata:\ _Unda funguo mpya za ufikiaji -> Tumia funguo mpya kwenye mfumo/programu -> weka ya awali kama isiyo hai -> Jaribu na thibitisha funguo mpya za ufikiaji zinafanya kazi -> Futa funguo za zamani za ufikiaji_ ### MFA - Uthibitishaji wa Vigezo Vingi -Inatumika ku **unda kipengele cha ziada kwa uthibitishaji** pamoja na mbinu zako zilizopo, kama nenosiri, hivyo, kuunda kiwango cha uthibitishaji wa vigezo vingi.\ +Inatumika kuunda **kipengele cha ziada kwa uthibitishaji** pamoja na mbinu zako zilizopo, kama nenosiri, hivyo, kuunda kiwango cha uthibitishaji wa vigezo vingi.\ Unaweza kutumia **programu ya bure ya mtandaoni au kifaa halisi**. Unaweza kutumia programu kama uthibitishaji wa google bure kuanzisha MFA katika AWS. Sera zenye masharti ya MFA zinaweza kuambatishwa kwa yafuatayo: @@ -143,8 +143,8 @@ Sera zenye masharti ya MFA zinaweza kuambatishwa kwa yafuatayo: - Rasilimali kama vile ndoo ya Amazon S3, foleni ya Amazon SQS, au mada ya Amazon SNS - Sera ya kuaminika ya jukumu la IAM ambalo linaweza kuchukuliwa na mtumiaji -Ikiwa unataka **kufikia kupitia CLI** rasilimali ambayo **inaangalia MFA** unahitaji kuita **`GetSessionToken`**. Hii itakupa tokeni yenye taarifa kuhusu MFA.\ -Kumbuka kwamba **`AssumeRole` ithibati hazina taarifa hii**. +Ikiwa unataka **kufikia kupitia CLI** rasilimali ambayo **inaangalia MFA** unahitaji kuita **`GetSessionToken`**. Hii itakupa token yenye taarifa kuhusu MFA.\ +Kumbuka kwamba **`AssumeRole` hati hazina taarifa hii**. ```bash aws sts get-session-token --serial-number --token-code ``` @@ -154,9 +154,9 @@ Kama [**ilivyosemwa hapa**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_ Kikundi cha [mtumiaji wa IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) ni njia ya **kuunganisha sera kwa watumiaji wengi** kwa wakati mmoja, ambayo inaweza kurahisisha usimamizi wa ruhusa za watumiaji hao. **Majukumu na vikundi haviwezi kuwa sehemu ya kundi**. -Unaweza kuunganisha **sera ya msingi wa utambulisho kwa kikundi cha mtumiaji** ili watumiaji wote katika kikundi cha mtumiaji **wapate ruhusa za sera**. Huwezi **kutambua** kikundi cha **mtumiaji** kama **`Principal`** katika **sera** (kama sera ya msingi wa rasilimali) kwa sababu vikundi vinahusiana na ruhusa, si uthibitishaji, na wakuu ni viumbe vya IAM vilivyothibitishwa. +Unaweza kuunganisha **sera inayotegemea utambulisho kwa kikundi cha mtumiaji** ili watumiaji wote katika kikundi cha mtumiaji **wapate ruhusa za sera**. **Huwezi** kutambua **kikundi cha mtumiaji** kama **`Principal`** katika **sera** (kama sera inayotegemea rasilimali) kwa sababu vikundi vinahusiana na ruhusa, si uthibitisho, na wakuu ni viumbe vya IAM vilivyothibitishwa. -Hapa kuna sifa muhimu za vikundi vya watumiaji: +Hapa kuna baadhi ya sifa muhimu za vikundi vya watumiaji: - Kikundi cha mtumiaji **kinaweza kuwa na watumiaji wengi**, na **mtumiaji** anaweza **kuwa sehemu ya vikundi vingi**. - **Vikundi vya watumiaji haviwezi kuingizwa**; vinaweza kuwa na watumiaji tu, si vikundi vingine vya watumiaji. @@ -165,9 +165,9 @@ Hapa kuna sifa muhimu za vikundi vya watumiaji: ### [IAM roles](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) -**Jukumu la IAM** ni **kama** **mtumiaji**, kwa kuwa ni **utambulisho wenye sera za ruhusa zinazotaja kile** kinaweza na hakiwezi kufanya katika AWS. Hata hivyo, jukumu **halina akreditif yoyote** (nenosiri au funguo za ufikiaji) zinazohusishwa nalo. Badala ya kuwa na uhusiano wa kipekee na mtu mmoja, jukumu linakusudia kuwa **linaweza kuchukuliwa na yeyote anayeihitaji (na kuwa na ruhusa za kutosha)**. Mtumiaji wa **IAM anaweza kuchukua jukumu ili kwa muda** kuchukua ruhusa tofauti kwa kazi maalum. Jukumu linaweza **kupewa** [**mtumiaji wa shirikisho**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) anayeingia kwa kutumia mtoa huduma wa utambulisho wa nje badala ya IAM. +**Jukumu la IAM** ni **kama** **mtumiaji**, kwa kuwa ni **utambulisho wenye sera za ruhusa zinazotaja kile** kinaweza na hakiwezi kufanya katika AWS. Hata hivyo, jukumu **halina akreditif yoyote** (nenosiri au funguo za ufikiaji) zinazohusishwa nalo. Badala ya kuwa na uhusiano wa kipekee na mtu mmoja, jukumu linakusudia kuwa **linaweza kuchukuliwa na yeyote anayeihitaji (na kuwa na ruhusa za kutosha)**. **Mtumiaji wa IAM anaweza kuchukua jukumu ili kwa muda** kuchukua ruhusa tofauti kwa kazi maalum. Jukumu linaweza **kupewa** [**mtumiaji wa shirikisho**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) anayesaini kwa kutumia mtoa huduma wa utambulisho wa nje badala ya IAM. -Jukumu la IAM linajumuisha **aina mbili za sera**: Sera ya **kuamini**, ambayo haiwezi kuwa tupu, inayoelezea **nani anaweza kuchukua** jukumu, na sera ya **ruhusa**, ambayo haiwezi kuwa tupu, inayoelezea **nini kinaweza kufikiwa**. +Jukumu la IAM linajumuisha **aina mbili za sera**: **sera ya kuamini**, ambayo haiwezi kuwa tupu, ikifafanua **nani anaweza kuchukua** jukumu, na **sera ya ruhusa**, ambayo haiwezi kuwa tupu, ikifafanua **nini kinaweza kufikiwa**. #### AWS Security Token Service (STS) @@ -181,7 +181,7 @@ AWS Security Token Service (STS) ni huduma ya wavuti inayorahisisha **utoaji wa #### Policy Permissions -Zinatumiwa kutoa ruhusa. Kuna aina 2: +Zinatumiwa kupewa ruhusa. Kuna aina 2: - Sera zinazodhibitiwa na AWS (zilizopangwa na AWS) - Sera Zinazosimamiwa na Wateja: Zimepangwa na wewe. Unaweza kuunda sera kulingana na sera zinazodhibitiwa na AWS (ukibadilisha moja yao na kuunda yako mwenyewe), ukitumia jenereta ya sera (maoni ya GUI yanayokusaidia kutoa na kukataa ruhusa) au kuandika yako mwenyewe. @@ -216,13 +216,13 @@ The [specific fields that can be used for conditions per service are documented #### Inline Policies Aina hii ya sera ni **zinazopewa moja kwa moja** kwa mtumiaji, kundi au jukumu. Hivyo, hazionekani katika orodha ya Sera kama wengine wanaweza kuzitumia.\ -Sera za ndani ni muhimu ikiwa unataka **kuhifadhi uhusiano mkali wa moja kwa moja kati ya sera na kitambulisho** ambacho kimewekwa. Kwa mfano, unataka kuwa na uhakika kwamba ruhusa katika sera hazitapewa kwa bahati mbaya kwa kitambulisho kingine isipokuwa kile ambacho zimekusudiwa. Unapokuwa unatumia sera ya ndani, ruhusa katika sera haiwezi kuunganishwa kwa bahati mbaya na kitambulisho kibaya. Zaidi ya hayo, unapokuwa unatumia AWS Management Console kufuta kitambulisho hicho, sera zilizojumuishwa katika kitambulisho pia zitatolewa. Hiyo ni kwa sababu ni sehemu ya chombo kikuu. +Sera za ndani ni muhimu ikiwa unataka **kuhifadhi uhusiano mkali wa moja kwa moja kati ya sera na kitambulisho** ambacho kimewekwa. Kwa mfano, unataka kuwa na uhakika kwamba ruhusa katika sera hazitapewa kwa bahati mbaya kwa kitambulisho kingine isipokuwa kile ambacho zimekusudiwa. Unapokuwa unatumia sera ya ndani, ruhusa katika sera hiyo haziwezi kuunganishwa kwa bahati mbaya na kitambulisho kibaya. Zaidi ya hayo, unapokuwa unatumia AWS Management Console kufuta kitambulisho hicho, sera zilizojumuishwa katika kitambulisho pia zitatolewa. Hiyo ni kwa sababu ni sehemu ya chombo kikuu. #### Resource Bucket Policies Hizi ni **sera** ambazo zinaweza kufafanuliwa katika **rasilimali**. **Si rasilimali zote za AWS zinazoziunga mkono**. -Ikiwa chombo hakina kukataa wazi juu yao, na sera ya rasilimali inawapa ufikiaji, basi wanaruhusiwa. +Ikiwa chombo hakina kukataa waziwazi juu yao, na sera ya rasilimali inawapa ufikiaji, basi wanaruhusiwa. ### IAM Boundaries @@ -234,9 +234,9 @@ Mpaka ni sera tu iliyounganishwa na mtumiaji ambayo **inaonyesha kiwango cha juu ### Session Policies -Sera ya kikao ni **sera inayowekwa wakati jukumu linachukuliwa** kwa namna fulani. Hii itakuwa kama **mpaka wa IAM kwa kikao hicho**: Hii ina maana kwamba sera ya kikao haipati ruhusa bali **inaweka vizuizi kwa zile zilizoonyeshwa katika sera** (ikiwa ruhusa za juu ni zile ambazo jukumu lina). +Sera ya kikao ni **sera inayowekwa wakati jukumu linachukuliwa** kwa namna fulani. Hii itakuwa kama **mpaka wa IAM kwa kikao hicho**: Hii inamaanisha kwamba sera ya kikao haitoi ruhusa bali **inaweka vizuizi kwa zile zilizoainishwa katika sera** (ikiwa ruhusa za juu ni zile ambazo jukumu lina). -Hii ni muhimu kwa **hatua za usalama**: Wakati msimamizi anapokuwa anachukua jukumu lenye ruhusa nyingi anaweza kuzuia ruhusa kuwa zile tu zilizoonyeshwa katika sera ya kikao endapo kikao kitaharibiwa. +Hii ni muhimu kwa **hatua za usalama**: Wakati msimamizi anapokuwa anachukua jukumu lenye mamlaka makubwa anaweza kuzuia ruhusa kuwa zile tu zilizoainishwa katika sera ya kikao endapo kikao kitaharibiwa. ```bash aws sts assume-role \ --role-arn \ @@ -279,13 +279,13 @@ Ili kutoa ufikiaji kwa mtumiaji/kundi wa Kituo cha Utambulisho kwa akaunti, **Mt #### AwsSSOInlinePolicy -Inawezekana **kutoa ruhusa kupitia sera za ndani kwa majukumu yaliyoandaliwa kupitia Kituo cha Utambulisho wa IAM**. Majukumu yaliyoandaliwa katika akaunti zinazopatiwa **sera za ndani katika Kituo cha Utambulisho wa AWS** yatakuwa na ruhusa hizi katika sera ya ndani inayoitwa **`AwsSSOInlinePolicy`**. +Inawezekana **kutoa ruhusa kupitia sera za ndani kwa majukumu yaliyoandikwa kupitia Kituo cha Utambulisho wa IAM**. Majukumu yaliyoandikwa katika akaunti zinazopatiwa **sera za ndani katika Kituo cha Utambulisho wa AWS** yatakuwa na ruhusa hizi katika sera ya ndani inayoitwa **`AwsSSOInlinePolicy`**. Hivyo, hata kama unaona majukumu 2 yenye sera ya ndani inayoitwa **`AwsSSOInlinePolicy`**, **haimaanishi ina ruhusa sawa**. -### Uaminifu na Majukumu ya Mipaka +### Uaminifu na Majukumu ya Akaunti Mbalimbali -**Mtumiaji** (anayeamini) anaweza kuunda Jukumu la Mipaka ya Mipaka lenye sera fulani na kisha, **kuruhusu mtumiaji mwingine** (aliyeaminiwa) **kuingia kwenye akaunti yake** lakini tu **akiwa na ufikiaji ulioainishwa katika sera mpya za jukumu**. Ili kuunda hii, tengeneza Jukumu jipya na uchague Jukumu la Mipaka ya Mipaka. Majukumu ya Ufikiaji wa Mipaka ya Mipaka yanatoa chaguzi mbili. Kutoa ufikiaji kati ya akaunti za AWS ambazo unamiliki, na kutoa ufikiaji kati ya akaunti ambayo unamiliki na akaunti ya AWS ya upande wa tatu.\ +**Mtumiaji** (anayeamini) anaweza kuunda Jukumu la Akaunti Mbalimbali lenye sera fulani na kisha, **kuruhusu mtumiaji mwingine** (aliyeaminiwa) **kuingia kwenye akaunti yake** lakini tu **akiwa na ufikiaji ulioonyeshwa katika sera mpya za jukumu**. Ili kuunda hii, tengeneza Jukumu jipya na uchague Jukumu la Akaunti Mbalimbali. Majukumu ya Ufikiaji wa Akaunti Mbalimbali yanatoa chaguzi mbili. Kutoa ufikiaji kati ya akaunti za AWS ambazo unamiliki, na kutoa ufikiaji kati ya akaunti ambayo unamiliki na akaunti ya AWS ya upande wa tatu.\ Inapendekezwa **kueleza mtumiaji ambaye anaaminiwa na si kuweka kitu chochote cha jumla** kwa sababu vinginevyo, watumiaji wengine walioidhinishwa kama watumiaji wa ushirikiano wataweza pia kutumia uaminifu huu vibaya. ### AWS Simple AD @@ -294,7 +294,7 @@ Haitambuliwi: - Mahusiano ya Uaminifu - Kituo cha Usimamizi wa AD -- Msaada kamili wa API ya PS +- Msaada kamili wa PS API - Kituo cha Recycle cha AD - Akaunti za Huduma za Kundi - Upanuzi wa Mpango @@ -302,34 +302,34 @@ Haitambuliwi: #### Ushirikiano wa Mtandao au Uthibitishaji wa OpenID -Programu inatumia AssumeRoleWithWebIdentity kuunda akiba za muda. Hata hivyo, hii haitoi ufikiaji wa console ya AWS, bali ufikiaji wa rasilimali ndani ya AWS. +Programu inatumia AssumeRoleWithWebIdentity kuunda akiba za muda. Hata hivyo, hii haisaidii ufikiaji wa console ya AWS, bali ufikiaji wa rasilimali ndani ya AWS. ### Chaguzi Nyingine za IAM - Unaweza **kufafanua mipangilio ya sera ya nywila** kama urefu wa chini na mahitaji ya nywila. -- Unaweza **kupakua "Ripoti ya Akiba"** yenye taarifa kuhusu akiba za sasa (kama wakati wa kuunda mtumiaji, ikiwa nywila imewezeshwa...). Unaweza kuunda ripoti ya akiba mara kwa mara kama mara moja kila **saa nne**. +- Unaweza **kupakua "Ripoti ya Akiba"** yenye taarifa kuhusu akiba za sasa (kama wakati wa kuunda mtumiaji, ikiwa nywila imewekwa...). Unaweza kuunda ripoti ya akiba mara kwa mara kama mara moja kila **saa nne**. Usimamizi wa Utambulisho na Ufikiaji wa AWS (IAM) unatoa **udhibiti wa ufikiaji wa kina** katika AWS yote. Pamoja na IAM, unaweza kufafanua **nani anaweza kufikia huduma na rasilimali zipi**, na chini ya hali zipi. Pamoja na sera za IAM, unasimamia ruhusa kwa wafanyakazi na mifumo yako ili **kuhakikisha ruhusa za chini**. -### Awali za ID za IAM +### Viambatisho vya IAM ID -Katika [**ukurasa huu**](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html#identifiers-unique-ids) unaweza kupata **awali za ID za IAM** za funguo kulingana na asili yao: +Katika [**ukurasa huu**](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html#identifiers-unique-ids) unaweza kupata **viambatisho vya IAM ID** vya funguo kulingana na asili yao: -| Identifier Code | Maelezo | +| Identifier Code | Description | | --------------- | ----------------------------------------------------------------------------------------------------------- | -| ABIA | [Token ya mtoa huduma ya AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) | +| ABIA | [AWS STS service bearer token](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) | -| ACCA | Akiba maalum ya muktadha | -| AGPA | Kundi la mtumiaji | -| AIDA | Mtumiaji wa IAM | -| AIPA | Profaili ya mfano wa Amazon EC2 | -| AKIA | Funguo ya ufikiaji | -| ANPA | Sera iliyosimamiwa | -| ANVA | Toleo katika sera iliyosimamiwa | -| APKA | Funguo ya umma | -| AROA | Jukumu | -| ASCA | Cheti | -| ASIA | [Funguo za ufikiaji za muda (AWS STS)](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) hutumia awali hii, lakini ni za kipekee tu kwa mchanganyiko na funguo ya siri ya ufikiaji na tokeni ya kikao. | +| ACCA | Context-specific credential | +| AGPA | User group | +| AIDA | IAM user | +| AIPA | Amazon EC2 instance profile | +| AKIA | Access key | +| ANPA | Managed policy | +| ANVA | Version in a managed policy | +| APKA | Public key | +| AROA | Role | +| ASCA | Certificate | +| ASIA | [Temporary (AWS STS) access key IDs](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) hutumia viambatisho hivi, lakini ni maalum tu kwa mchanganyiko na funguo ya siri ya ufikiaji na tokeni ya kikao. | ### Ruhusa zinazopendekezwa kukagua akaunti @@ -379,7 +379,7 @@ aws --profile acc2 ... ``` Ikiwa unatafuta kitu **kama** hiki lakini kwa **browser** unaweza kuangalia **extension** [**AWS Extend Switch Roles**](https://chrome.google.com/webstore/detail/aws-extend-switch-roles/jpmkfafbacpgapdghgdpembnojdlgkdl?hl=en). -## Marejeleo +## Marejeo - [https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html) - [https://aws.amazon.com/iam/](https://aws.amazon.com/iam/) diff --git a/src/pentesting-cloud/azure-security/az-services/az-sql.md b/src/pentesting-cloud/azure-security/az-services/az-sql.md index 883145a20..26e5f2728 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-sql.md +++ b/src/pentesting-cloud/azure-security/az-services/az-sql.md @@ -10,36 +10,36 @@ Azure SQL inajumuisha ofa kuu nne: 1. **Azure SQL Server**: Seva inahitajika kwa **kupeleka na kusimamia** databases za SQL Server. 2. **Azure SQL Database**: Hii ni **huduma ya database inayodhibitiwa kikamilifu**, ambayo inakuwezesha kuhifadhi databases binafsi katika wingu la Azure. -3. **Azure SQL Managed Instance**: Hii ni kwa ajili ya matumizi makubwa, kupeleka kwa kiwango cha SQL Server nzima. -4. **Azure SQL Server kwenye Azure VMs**: Hii ni bora kwa usanifu ambapo unataka **udhibiti juu ya mfumo wa uendeshaji** na mfano wa SQL Server. +3. **Azure SQL Managed Instance**: Hii ni kwa ajili ya matumizi makubwa, kupeleka kwa kiwango cha SQL Server instance nzima. +4. **Azure SQL Server kwenye Azure VMs**: Hii ni bora kwa usanifu ambapo unataka **udhibiti juu ya mfumo wa uendeshaji** na SQL Server instance. ### Vipengele vya Usalama wa SQL Server **Upatikanaji wa Mtandao:** -- Kiwango cha umma (kinaweza kupunguza upatikanaji kwa mitandao maalum). +- Kiwango cha umma (inaweza kupunguza upatikanaji kwa mitandao maalum). - Kiwango cha kibinafsi. - Pia inawezekana kupunguza muunganisho kulingana na majina ya kikoa. - Pia inawezekana kuruhusu huduma za Azure kuipata (kama kutumia mhariri wa Maswali katika lango au kuruhusu Azure VM kuungana). **Mbinu za Uthibitishaji:** -- Uthibitishaji wa Microsoft **Entra pekee**: Unahitaji kuonyesha wahusika wa Entra ambao watakuwa na upatikanaji wa huduma. +- Uthibitishaji wa Microsoft **Entra-only**: Unahitaji kuashiria wahusika wa Entra ambao watakuwa na upatikanaji wa huduma. - **Uthibitishaji wa SQL na Microsoft Entra**: Uthibitishaji wa jadi wa SQL na jina la mtumiaji na nenosiri pamoja na Microsoft Entra. - **Uthibitishaji wa SQL pekee**: Ruhusu upatikanaji tu kupitia watumiaji wa database. -Kumbuka kwamba ikiwa uthibitishaji wowote wa SQL unaruhusiwa mtumiaji wa admin (jina la mtumiaji + nenosiri) anahitaji kuonyeshwa na ikiwa uthibitishaji wa Entra ID umechaguliwa inahitajika pia kuonyesha angalau wahusika mmoja mwenye upatikanaji wa admin. +Kumbuka kwamba ikiwa uthibitishaji wowote wa SQL unaruhusiwa mtumiaji wa admin (jina la mtumiaji + nenosiri) anahitaji kuashiriwa na ikiwa uthibitishaji wa Entra ID umechaguliwa inahitajika pia kuashiria angalau wahusika mmoja mwenye upatikanaji wa admin. **Ushifishaji:** - Inaitwa "Ushifishaji wa data wa wazi" na inashifisha databases, nakala za akiba, na kumbukumbu wakati wa kupumzika. -- Kama kawaida, funguo za usimamizi wa Azure zinatumika kwa chaguo-msingi lakini funguo za ushirikiano wa mteja (CMEK) zinaweza pia kutumika. +- Kama kawaida, funguo za usimamizi wa Azure zinatumika kwa chaguo-msingi lakini funguo za ushirikiano wa ushirikiano wa mteja (CMEK) pia zinaweza kutumika. **Identities Zinazosimamiwa:** - Inawezekana kutoa MIs zinazodhibitiwa na mfumo na mtumiaji. - Inatumika kupata funguo za ushirikishaji (ikiwa CMEK inatumika) na huduma nyingine kutoka kwa databases. - Kwa baadhi ya mifano ya huduma za Azure ambazo zinaweza kupatikana kutoka kwa database angalia [ukurasa huu wa hati](https://learn.microsoft.com/en-us/sql/t-sql/statements/create-external-data-source-transact-sql) -- Ikiwa UMI zaidi ya moja imetolewa, inawezekana kuonyesha ile ya chaguo-msingi ya kutumia. +- Ikiwa zaidi ya UMI mmoja umepewa, inawezekana kuashiria ile ya chaguo-msingi kutumia. - Inawezekana kuunda kitambulisho cha mteja kilichounganishwa kwa upatikanaji wa wapangaji tofauti. Amri zingine za kupata taarifa ndani ya uhifadhi wa blob kutoka kwa database ya SQL: @@ -94,16 +94,16 @@ Ili kuunda database ya SQL inahitajika kuashiria seva ya SQL ambapo itakuwa ikih - Usimbaji - Backups - … -- **Ukarabati wa data:** Chaguo ni za ndani, eneo, Geo au Geo-Zone redundant. +- **Ukarabati wa data:** Chaguzi ni za ndani, eneo, Geo au Geo-Zone redundant. - **Ledger:** Inathibitisha kwa njia ya cryptographic uaminifu wa data, kuhakikisha kwamba mabadiliko yoyote yanagundulika. Inatumika kwa kifedha, matibabu na shirika lolote linalosimamia data nyeti. Database ya SQL inaweza kuwa sehemu ya **elastic Pool**. Mifuko ya elastic ni suluhisho la gharama nafuu kwa usimamizi wa databases nyingi kwa kushiriki rasilimali za kompyuta zinazoweza kubadilishwa (eDTUs) na uhifadhi kati yao, huku bei ikitegemea rasilimali zilizotolewa badala ya idadi ya databases. #### Azure SQL Column Level Security (Masking) & Row Level Security -**Azure SQL's dynamic** data masking ni kipengele kinachosaidia **kulinda taarifa nyeti kwa kuzificha** kutoka kwa watumiaji wasioidhinishwa. Badala ya kubadilisha data halisi, inaficha data inayonyeshwa kwa njia ya kiotomatiki, kuhakikisha kwamba maelezo nyeti kama nambari za kadi za mkopo yanatiliwa mbali. +**Azure SQL's dynamic** data masking ni kipengele kinachosaidia **kulinda taarifa nyeti kwa kuzificha** kutoka kwa watumiaji wasioidhinishwa. Badala ya kubadilisha data halisi, inaficha data inayonyeshwa kwa njia ya dynamic, kuhakikisha kwamba maelezo nyeti kama nambari za kadi za mkopo yanatiliwa mbali. -**Dynamic Data Masking** inawagusa watumiaji wote isipokuwa wale ambao hawajafichwa (watumiaji hawa wanahitaji kuashiriwa) na wasimamizi. Ina chaguo la usanidi linaloeleza ni watumiaji gani wa SQL wanaotengwa kutoka kwa dynamic data masking, huku **wasimamizi wakitengwa kila wakati**. +**Dynamic Data Masking** inawagusa watumiaji wote isipokuwa wale ambao hawajafichwa (watumiaji hawa wanahitaji kuashiriwa) na wasimamizi. Ina chaguo la usanidi linaloeleza ni watumiaji wa SQL gani wanaondolewa kwenye dynamic data masking, huku **wasimamizi wakitengwa kila wakati**. **Azure SQL Row Level Security (RLS)** ni kipengele kinachodhibiti **ni mistari ipi mtumiaji anaweza kuona au kubadilisha**, kuhakikisha kila mtumiaji anaona tu data inayohusiana nao. Kwa kuunda sera za usalama zenye vichujio au vikwazo, mashirika yanaweza kutekeleza ufikiaji wa kina katika ngazi ya database. @@ -285,7 +285,7 @@ ON sp.object_id = sp2.object_id; ``` ### Connect and run SQL queries -Unaweza kupata mfuatano wa muunganisho (ukijumuisha akidi) kutoka mfano [kuhesabu Az WebApp](az-app-services.md): +Unaweza kupata mfuatano wa muunganisho (ukijumuisha akidi) kutoka kwa mfano [kuhesabu Az WebApp](az-app-services.md): ```bash function invoke-sql{ param($query) @@ -304,7 +304,7 @@ $Connection.Close() invoke-sql 'Select Distinct TABLE_NAME From information_schema.TABLES;' ``` -Unaweza pia kutumia sqlcmd kufikia hifadhidata. Ni muhimu kujua kama seva inaruhusu muunganisho wa umma `az sql server show --name --resource-group `, na pia kama sheria ya firewall inaruhusu IP yetu kufikia: +Unaweza pia kutumia sqlcmd kufikia hifadhidata. Ni muhimu kujua ikiwa seva inaruhusu muunganisho wa umma `az sql server show --name --resource-group `, na pia ikiwa sheria ya moto inaruhusu IP yetu kufikia: ```bash sqlcmd -S .database.windows.net -U -P -d ```