diff --git a/src/pentesting-cloud/aws-security/aws-basic-information/README.md b/src/pentesting-cloud/aws-security/aws-basic-information/README.md index 5002c4d77..44bcc8474 100644 --- a/src/pentesting-cloud/aws-security/aws-basic-information/README.md +++ b/src/pentesting-cloud/aws-security/aws-basic-information/README.md @@ -8,23 +8,23 @@ ### Hesaplar -AWS'de bir **root account** vardır, bu da **organizasyonunuz için tüm hesapların ana konteyneridir**. Ancak, kaynakları dağıtmak için bu hesabı kullanmanıza gerek yoktur, **farklı AWS** altyapılarını birbirinden ayırmak için **diğer hesaplar oluşturabilirsiniz**. +AWS'de, **tüm hesapların** **ebeveyn konteyneri** olan bir **root hesabı** vardır. Ancak, kaynakları dağıtmak için bu hesabı kullanmanız gerekmez, **farklı AWS** altyapılarını birbirinden ayırmak için **diğer hesaplar oluşturabilirsiniz**. Bu, **güvenlik** açısından çok ilginçtir, çünkü **bir hesap diğer hesaptan kaynaklara erişemez** (özel köprüler oluşturulmadığı sürece), bu şekilde dağıtımlar arasında sınırlar oluşturabilirsiniz. -Bu nedenle, bir organizasyonda **iki tür hesap vardır** (AWS hesaplarından ve kullanıcı hesaplarından bahsediyoruz): yönetim hesabı olarak belirlenen tek bir hesap ve bir veya daha fazla üye hesabı. +Bu nedenle, bir organizasyonda **iki tür hesap vardır** (AWS hesaplarından bahsediyoruz, Kullanıcı hesaplarından değil): yönetim hesabı olarak belirlenen tek bir hesap ve bir veya daha fazla üye hesabı. -- **Yönetim hesabı (root account)**, organizasyonu oluşturmak için kullandığınız hesaptır. Organizasyonun yönetim hesabından aşağıdakileri yapabilirsiniz: +- **Yönetim hesabı (root hesabı)**, organizasyonu oluşturmak için kullandığınız hesaptır. Organizasyonun yönetim hesabından aşağıdakileri yapabilirsiniz: - Organizasyonda hesaplar oluşturun - Diğer mevcut hesapları organizasyona davet edin - Organizasyondan hesapları kaldırın - Davetleri yönetin -- Organizasyon içindeki varlıklara (root, OU veya hesaplar) politikalar uygulayın +- Organizasyondaki varlıklara (root'lar, OU'lar veya hesaplar) politikalar uygulayın - Organizasyondaki tüm hesaplar arasında hizmet işlevselliği sağlamak için desteklenen AWS hizmetleriyle entegrasyonu etkinleştirin. -- Bu root account/organizasyonu oluşturmak için kullanılan e-posta ve şifre ile root kullanıcı olarak giriş yapmak mümkündür. +- Bu root hesabı/organizasyonu oluşturmak için kullanılan e-posta ve şifre ile root kullanıcı olarak giriş yapmak mümkündür. -Yönetim hesabı, **ödeyici hesabın sorumluluklarına** sahiptir ve üye hesaplar tarafından biriken tüm ücretleri ödemekten sorumludur. Bir organizasyonun yönetim hesabını değiştiremezsiniz. +Yönetim hesabı, **ödeyici hesabının** sorumluluklarına sahiptir ve üye hesaplar tarafından biriken tüm ücretleri ödemekten sorumludur. Bir organizasyonun yönetim hesabını değiştiremezsiniz. - **Üye hesaplar**, bir organizasyondaki tüm diğer hesapları oluşturur. Bir hesap aynı anda yalnızca bir organizasyonun üyesi olabilir. Sadece o hesaba kontroller uygulamak için bir hesaba bir politika ekleyebilirsiniz. - Üye hesaplar **geçerli bir e-posta adresi kullanmalıdır** ve bir **isim** alabilir, genellikle faturalandırmayı yönetemezler (ancak buna erişim verilebilir). @@ -33,7 +33,7 @@ aws organizations create-account --account-name testingaccount --email testingac ``` ### **Organizasyon Birimleri** -Hesaplar **Organizasyon Birimleri (OU)** içinde gruplandırılabilir. Bu şekilde, Organizasyon Birimi için **tüm alt hesaplara uygulanacak** **politikalar** oluşturabilirsiniz. Bir OU'nun altı olarak başka OUlardan oluşabileceğini unutmayın. +Hesaplar **Organizasyon Birimleri (OU)** içinde gruplandırılabilir. Bu şekilde, Organizasyon Birimi için **tüm alt hesaplara uygulanacak** **politikalar** oluşturabilirsiniz. Bir OU'nun altı olarak başka OU'lar da olabileceğini unutmayın. ```bash # You can get the root id from aws organizations list-roots aws organizations create-organizational-unit --parent-id r-lalala --name TestOU @@ -42,18 +42,18 @@ aws organizations create-organizational-unit --parent-id r-lalala --name TestOU Bir **service control policy (SCP)**, SCP'nin etkilediği hesaplarda kullanıcıların ve rollerin kullanabileceği hizmetleri ve eylemleri belirten bir politikadır. SCP'ler, **IAM** izin politikalarına **benzer**, ancak **hiçbir izin vermezler**. Bunun yerine, SCP'ler bir organizasyon, organizasyonel birim (OU) veya hesap için **maksimum izinleri** belirtir. Bir SCP'yi organizasyon kökünüze veya bir OU'ya eklediğinizde, **SCP, üye hesaplardaki varlıklar için izinleri sınırlar**. -Bu, **root kullanıcının bile bir şey yapmasını durdurmanın TEK yoludur**. Örneğin, kullanıcıların CloudTrail'i devre dışı bırakmasını veya yedekleri silmesini engellemek için kullanılabilir.\ -Bunu aşmanın tek yolu, SCP'leri yapılandıran **master hesabı** da tehlikeye atmaktır (master hesap engellenemez). +Bu, **root kullanıcının bile bir şey yapmasını durdurmanın TEK yoludur**. Örneğin, kullanıcıların CloudTrail'i devre dışı bırakmasını veya yedekleri silmesini durdurmak için kullanılabilir.\ +Bunu aşmanın tek yolu, SCP'leri yapılandıran **master account**'u da tehlikeye atmaktır (master account engellenemez). > [!WARNING] -> **SCP'ler yalnızca hesap içindeki ilkeleri kısıtlar**, bu nedenle diğer hesaplar etkilenmez. Bu, bir SCP'nin `s3:GetObject` iznini reddetmesinin, insanların **hesabınızdaki bir kamu S3 bucket'ına erişmesini durdurmayacağı anlamına gelir**. +> **SCP'ler yalnızca hesap içindeki ilkeleri kısıtlar**, bu nedenle diğer hesaplar etkilenmez. Bu, bir SCP'nin `s3:GetObject` iznini reddetmesinin, insanların **hesabınızdaki bir genel S3 bucket'a erişmesini durdurmayacağı anlamına gelir**. SCP örnekleri: - Root hesabını tamamen reddet - Sadece belirli bölgeleri izin ver - Sadece beyaz listeye alınmış hizmetlere izin ver -- GuardDuty, CloudTrail ve S3 Kamu Erişim Engeli'nin devre dışı bırakılmasını reddet +- GuardDuty, CloudTrail ve S3 Public Block Access'in devre dışı bırakılmasını reddet - Güvenlik/olay yanıtı rollerinin silinmesini veya @@ -71,7 +71,7 @@ Bir **resource control policy (RCP)**, **AWS organizasyonunuz içindeki kaynakla Bu, **kaynakların önceden tanımlanmış erişim seviyelerini aşmasını sağlamanın TEK yoludur**—bir kimlik tabanlı veya kaynak tabanlı politika çok izin verici olsa bile. Bu sınırlamaları aşmanın tek yolu, organizasyonunuzun yönetim hesabı tarafından yapılandırılan RCP'yi de değiştirmektir. > [!WARNING] -> RCP'ler yalnızca kaynakların sahip olabileceği izinleri kısıtlar. Doğrudan ilkelerin ne yapabileceğini kontrol etmezler. Örneğin, bir RCP bir S3 bucket'ına dış erişimi reddederse, bu, bucket'ın izinlerinin belirlenen sınırın ötesinde eylemlere asla izin vermesini sağlar—bir kaynak tabanlı politika yanlış yapılandırılmış olsa bile. +> RCP'ler yalnızca kaynakların sahip olabileceği izinleri kısıtlar. Doğrudan ilkelerin ne yapabileceğini kontrol etmezler. Örneğin, bir RCP bir S3 bucket'a dış erişimi reddederse, bu, bucket'ın izinlerinin belirlenen sınırın ötesinde eylemlere asla izin vermeyeceğini garanti eder—bir kaynak tabanlı politika yanlış yapılandırılmış olsa bile. RCP örnekleri: @@ -108,7 +108,7 @@ IAM, AWS hesabınızdaki kaynaklarınıza kimliklerin kimlik doğrulama, yetkile ### [AWS hesap kök kullanıcısı](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html) -Amazon Web Services (AWS) hesabı oluşturduğunuzda, hesabınızdaki tüm AWS hizmetlerine ve kaynaklarına **tam erişime sahip** tek bir oturum açma kimliği ile başlarsınız. Bu, AWS hesap _**kök kullanıcısı**dır_ ve **hesabı oluşturmak için kullandığınız e-posta adresi ve şifre ile oturum açarak** erişilir. +Amazon Web Services (AWS) hesabı oluşturduğunuzda, hesabınızdaki tüm AWS hizmetlerine ve kaynaklarına **tam erişime sahip** tek bir oturum açma kimliği ile başlarsınız. Bu, AWS hesap _**kök kullanıcısı**dır_ ve hesabı oluşturmak için kullandığınız **e-posta adresi ve şifre ile oturum açarak** erişilir. Yeni bir **admin kullanıcısının kök kullanıcıdan** **daha az izin** alacağını unutmayın. @@ -116,18 +116,18 @@ Güvenlik açısından, diğer kullanıcıları oluşturmanız ve bu kullanıcı ### [IAM kullanıcıları](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) -IAM _kullanıcısı_, AWS'de **AWS ile etkileşimde bulunan kişi veya uygulamayı temsil etmek** için oluşturduğunuz bir varlıktır. AWS'deki bir kullanıcı, bir isim ve kimlik bilgileri (şifre ve en fazla iki erişim anahtarı) içerir. +IAM _kullanıcısı_, AWS'de **kullanıcıyı temsil eden kişi veya uygulama** için oluşturduğunuz bir varlıktır. AWS'deki bir kullanıcı, bir isim ve kimlik bilgileri (şifre ve en fazla iki erişim anahtarı) içerir. Bir IAM kullanıcısı oluşturduğunuzda, ona uygun izin politikaları eklenmiş bir **kullanıcı grubunun üyesi** yaparak (önerilir) veya **doğrudan politikalar ekleyerek** **izinler** verirsiniz. -Kullanıcılar, konsoldan giriş yapmak için **MFA etkinleştirilebilir**. MFA etkinleştirilmiş kullanıcıların API token'ları MFA ile korunmaz. Eğer **MFA kullanarak bir kullanıcının API anahtarlarının erişimini kısıtlamak** istiyorsanız, belirli eylemleri gerçekleştirmek için MFA'nın mevcut olması gerektiğini politikada belirtmelisiniz (örnek [**burada**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). +Kullanıcılar, konsoldan giriş yapmak için **MFA etkinleştirilmiş** olabilir. MFA etkinleştirilmiş kullanıcıların API token'ları MFA ile korunmaz. Eğer **MFA kullanarak bir kullanıcının API anahtarlarının erişimini kısıtlamak** istiyorsanız, belirli eylemleri gerçekleştirmek için MFA'nın mevcut olması gerektiğini politikada belirtmelisiniz (örnek [**burada**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). #### CLI - **Erişim Anahtarı ID**: 20 rastgele büyük harfli alfanümerik karakter, örneğin AKHDNAPO86BSHKDIRYT -- **Gizli erişim anahtarı ID**: 40 rastgele büyük ve küçük harf karakteri: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (kayıp gizli erişim anahtarı ID'lerini geri almak mümkün değildir). +- **Gizli erişim anahtarı ID**: 40 rastgele büyük ve küçük harf karakterleri: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (Kayıp gizli erişim anahtarı ID'leri geri alınamaz). -**Erişim Anahtarını değiştirmek** istediğinizde izlemeniz gereken süreç:\ +Erişim Anahtarını **değiştirmeniz gerektiğinde** izlemeniz gereken süreç:\ _Yeni bir erişim anahtarı oluştur -> Yeni anahtarı sistem/uygulamaya uygula -> Orijinalini pasif olarak işaretle -> Yeni erişim anahtarının çalıştığını test et ve doğrula -> Eski erişim anahtarını sil_ ### MFA - Çok Faktörlü Kimlik Doğrulama @@ -141,8 +141,8 @@ MFA koşulları olan politikalar aşağıdakilere eklenebilir: - Amazon S3 bucket, Amazon SQS kuyruğu veya Amazon SNS konusu gibi bir kaynak - Bir kullanıcının üstlenebileceği bir IAM rolünün güven politikası -Eğer **CLI üzerinden** **MFA kontrolü yapan** bir kaynağa erişmek istiyorsanız, **`GetSessionToken`** çağrısı yapmalısınız. Bu, MFA hakkında bilgi içeren bir token verecektir.\ -**`AssumeRole` kimlik bilgileri bu bilgiyi içermez** olduğunu unutmayın. +Eğer **CLI üzerinden** MFA **kontrol eden** bir kaynağa erişmek istiyorsanız, **`GetSessionToken`** çağrısı yapmalısınız. Bu, MFA hakkında bilgi içeren bir token verecektir.\ +Unutmayın ki **`AssumeRole` kimlik bilgileri bu bilgiyi içermez**. ```bash aws sts get-session-token --serial-number --token-code ``` @@ -159,13 +159,13 @@ Kullanıcı gruplarının bazı önemli özellikleri şunlardır: - Bir **kullanıcı grubu** **birçok kullanıcı** içerebilir ve bir **kullanıcı** **birden fazla gruba** ait olabilir. - **Kullanıcı grupları iç içe geçemez**; yalnızca kullanıcıları içerebilir, diğer kullanıcı gruplarını değil. - AWS hesabındaki tüm kullanıcıları otomatik olarak içeren **varsayılan bir kullanıcı grubu yoktur**. Böyle bir kullanıcı grubuna sahip olmak istiyorsanız, onu oluşturmalı ve her yeni kullanıcıyı ona atamalısınız. -- AWS hesabındaki IAM kaynaklarının sayısı ve boyutu, örneğin grup sayısı ve bir kullanıcının üyesi olabileceği grup sayısı sınırlıdır. Daha fazla bilgi için [IAM ve AWS STS kotalarına](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html) bakın. +- AWS hesabındaki IAM kaynaklarının sayısı ve boyutu, grupların sayısı ve bir kullanıcının üyesi olabileceği grup sayısı gibi, sınırlıdır. Daha fazla bilgi için [IAM ve AWS STS kotaları](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html) sayfasına bakın. ### [IAM rolleri](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) -Bir IAM **rolü**, bir **kullanıcıya** çok **benzer** olup, AWS'de ne yapabileceğini ve ne yapamayacağını belirleyen **izin politikaları ile bir kimliktir**. Ancak, bir rolün **ilişkili olduğu herhangi bir kimlik bilgisi** (şifre veya erişim anahtarları) yoktur. Bir kişiye özgü olarak değil, bir rolün **ihtiyacı olan herkes tarafından üstlenilmesi** amaçlanmıştır (ve yeterli izinlere sahip olunmalıdır). Bir **IAM kullanıcısı, belirli bir görev için geçici olarak** farklı izinler almak üzere bir rolü üstlenebilir. Bir rol, IAM yerine harici bir kimlik sağlayıcı kullanarak oturum açan bir [**federasyon kullanıcısına**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) atanabilir. +Bir IAM **rolü**, **kullanıcıya** çok **benzer** olup, AWS'de ne yapabileceğini ve ne yapamayacağını belirleyen **izin politikaları ile bir kimliktir**. Ancak, bir rolün **ilişkili olduğu herhangi bir kimlik bilgisi** (şifre veya erişim anahtarları) yoktur. Bir kişiye özgü olarak değil, bir rolün **ihtiyacı olan herkes tarafından üstlenilmesi** amaçlanmıştır (ve yeterli izinlere sahip olunmalıdır). Bir **IAM kullanıcısı, belirli bir görev için geçici olarak** farklı izinler almak üzere bir rolü üstlenebilir. Bir rol, IAM yerine harici bir kimlik sağlayıcısı kullanarak oturum açan bir [**federasyon kullanıcısına**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) atanabilir. -Bir IAM rolü, **iki tür politikadan** oluşur: **boş olamaz** olan bir **güven politikası**, rolü **kimin üstlenebileceğini** tanımlar ve **boş olamaz** olan bir **izin politikası**, **neye erişebileceğini** tanımlar. +Bir IAM rolü, **iki tür politika** içerir: **boş olamaz** olan bir **güven politikası**, **rolü kimin üstlenebileceğini** tanımlar ve **boş olamaz** olan bir **izin politikası**, **neye erişebileceğini** tanımlar. #### AWS Güvenlik Token Servisi (STS) @@ -173,16 +173,16 @@ AWS Güvenlik Token Servisi (STS), **geçici, sınırlı ayrıcalıklı kimlik b ### [IAM'de Geçici Kimlik Bilgileri](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) -**Geçici kimlik bilgileri esas olarak IAM rolleri ile kullanılır**, ancak başka kullanımları da vardır. Standart IAM kullanıcınızdan daha kısıtlı bir izin setine sahip geçici kimlik bilgileri talep edebilirsiniz. Bu, daha kısıtlı kimlik bilgileri tarafından **izin verilmeyen görevleri kazara gerçekleştirmenizi** **önler**. Geçici kimlik bilgilerinin bir avantajı, belirli bir süre sonra otomatik olarak süresinin dolmasıdır. Kimlik bilgilerinin geçerlilik süresi üzerinde kontrol sahibisiniz. +**Geçici kimlik bilgileri esas olarak IAM rolleri ile kullanılır**, ancak başka kullanımları da vardır. Standart IAM kullanıcınızdan daha kısıtlı bir izin setine sahip geçici kimlik bilgileri talep edebilirsiniz. Bu, daha kısıtlı kimlik bilgileri tarafından **izin verilmeyen görevleri kazara gerçekleştirmenizi** **önler**. Geçici kimlik bilgilerinin bir avantajı, belirli bir süre sonra otomatik olarak süresinin dolmasıdır. Kimlik bilgilerinin geçerli olduğu süre üzerinde kontrol sahibisiniz. ### Politikalar #### Politika İzinleri -İzinleri atamak için kullanılır. 2 tür vardır: +İzinleri atamak için kullanılır. 2 türü vardır: -- AWS yönetilen politikaları (AWS tarafından önceden yapılandırılmış) -- Müşteri Yönetilen Politikalar: Siz tarafından yapılandırılmıştır. AWS yönetilen politikalarına (birini değiştirerek ve kendi politikanızı oluşturarak), politika oluşturucu (izinleri vermenize ve reddetmenize yardımcı olan bir GUI görünümü) kullanarak veya kendi yazdığınız politikalarla dayalı politikalar oluşturabilirsiniz. +- AWS yönetilen politikalar (AWS tarafından önceden yapılandırılmış) +- Müşteri Yönetilen Politikalar: Siz tarafından yapılandırılmıştır. AWS yönetilen politikalarına dayalı politikalar oluşturabilirsiniz (bunlardan birini değiştirerek ve kendi politikanızı oluşturarak), politika oluşturucu kullanarak (izinleri vermenize ve reddetmenize yardımcı olan bir GUI görünümü) veya kendi yazdığınız politikaları yazarak. **Varsayılan erişim** **reddedilir**, açık bir rol belirtilirse erişim verilecektir.\ Eğer **tek bir "Reddet" varsa, "İzin Ver"i geçersiz kılacaktır**, AWS hesabının kök güvenlik kimlik bilgilerini kullanan talepler hariç (varsayılan olarak izin verilir). @@ -213,14 +213,14 @@ Eğer **tek bir "Reddet" varsa, "İzin Ver"i geçersiz kılacaktır**, AWS hesab #### Inline Politika -Bu tür politikalar **doğrudan** bir kullanıcıya, gruba veya role atanır. Bu nedenle, başka biri bunları kullanamadığı için Politika listesinde görünmezler.\ +Bu tür politikalar **doğrudan** bir kullanıcıya, gruba veya role atanır. Bu nedenle, başka birinin kullanabileceği Politika listesinde görünmezler.\ Inline politikalar, bir politikanın uygulandığı kimlik ile **katı bir birebir ilişkiyi sürdürmek** istiyorsanız faydalıdır. Örneğin, bir politikanın izinlerinin, amaçlandığı kimlik dışında başka bir kimliğe yanlışlıkla atanmadığından emin olmak istersiniz. Inline politika kullandığınızda, politikanın izinleri yanlış bir kimliğe yanlışlıkla eklenemez. Ayrıca, AWS Yönetim Konsolu'nu kullanarak o kimliği sildiğinizde, kimliğe gömülü politikalar da silinir. Bunun nedeni, bunların ana varlığın bir parçası olmasıdır. #### Kaynak Bucket Politikaları Bunlar, **kaynaklarda** tanımlanabilen **politikalar**dır. **AWS'nin tüm kaynakları bunları desteklemez**. -Eğer bir anahtar üzerinde açık bir reddetme yoksa ve bir kaynak politikası onlara erişim veriyorsa, o zaman izin verilir. +Eğer bir anahtarın üzerinde açık bir red yoksa ve bir kaynak politikası onlara erişim veriyorsa, o zaman izin verilir. ### IAM Sınırları @@ -242,7 +242,7 @@ aws sts assume-role \ [--policy-arns ] [--policy ] ``` -Not edin ki varsayılan olarak **AWS, üçüncü nedenlerden dolayı oluşturulacak oturumlara oturum politikaları ekleyebilir**. Örneğin, [kimlik doğrulaması yapılmamış cognito varsayılan rolleri](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) kullanıldığında (gelişmiş kimlik doğrulaması ile), AWS **oturum politikası ile oturum kimlik bilgileri** oluşturacaktır; bu, oturumun erişebileceği hizmetleri [**aşağıdaki liste ile sınırlar**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). +Not edin ki varsayılan olarak **AWS, üçüncü nedenlerden dolayı oluşturulacak oturumlara oturum politikaları ekleyebilir**. Örneğin, [kimlik doğrulaması yapılmamış cognito varsayılan rolleri](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) için (gelişmiş kimlik doğrulaması kullanarak) AWS, **oturum politikası ile oturum kimlik bilgileri** oluşturacaktır; bu, oturumun erişebileceği hizmetleri [**aşağıdaki liste ile sınırlamaktadır**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). Bu nedenle, bir noktada "... çünkü hiçbir oturum politikası ...'ya izin vermiyor" hatası ile karşılaşırsanız ve rol, eylemi gerçekleştirme erişimine sahipse, bunun nedeni **bunu engelleyen bir oturum politikasının olmasıdır**. @@ -283,8 +283,8 @@ Bu nedenle, **`AwsSSOInlinePolicy`** adlı bir satır içi politikaya sahip 2 ro ### Hesaplar Arası Güvenler ve Roller -**Bir kullanıcı** (güvenen), bazı politikalarla bir Hesaplar Arası Rol oluşturabilir ve ardından **başka bir kullanıcıya** (güvenilen) **hesabına erişim izni verebilir**, ancak yalnızca **yeni rol politikalarında belirtilen erişimle**. Bunu oluşturmak için, yeni bir Rol oluşturun ve Hesaplar Arası Rolü seçin. Hesaplar Arası Erişim için roller iki seçenek sunar. Sahip olduğunuz AWS hesapları arasında erişim sağlamak ve sahip olduğunuz bir hesap ile üçüncü taraf bir AWS hesabı arasında erişim sağlamak.\ -**Güvenilen kullanıcıyı belirtmek ve genel bir şey koymamak** önerilir; aksi takdirde, diğer kimlik doğrulaması yapılmış kullanıcılar, federasyon kullanıcıları gibi, bu güveni kötüye kullanabilir. +**Bir kullanıcı** (güvenen), bazı politikalarla bir Hesaplar Arası Rol oluşturabilir ve ardından **başka bir kullanıcının** (güvenilen) **kendi hesabına erişmesine izin verebilir**, ancak yalnızca **yeni rol politikalarında belirtilen erişimle**. Bunu oluşturmak için, yeni bir Rol oluşturun ve Hesaplar Arası Rolü seçin. Hesaplar Arası Erişim için roller iki seçenek sunar. Sahip olduğunuz AWS hesapları arasında erişim sağlamak ve sahip olduğunuz bir hesap ile üçüncü taraf bir AWS hesabı arasında erişim sağlamak.\ +**Güvenilen kullanıcıyı belirtmek ve genel bir şey koymamak** önerilir; aksi takdirde, federasyon kullanıcıları gibi diğer kimlik doğrulama yapılmış kullanıcılar da bu güveni kötüye kullanabilir. ### AWS Basit AD @@ -293,7 +293,7 @@ Desteklenmiyor: - Güven İlişkileri - AD Yönetim Merkezi - Tam PS API desteği -- AD Geri Dönüş Kutusu +- AD Geri Dönüşüm Kutusu - Grup Yönetilen Hizmet Hesapları - Şema Uzantıları - OS veya Örnekler için Doğrudan erişim yok @@ -305,7 +305,7 @@ Uygulama, geçici kimlik bilgileri oluşturmak için AssumeRoleWithWebIdentity k ### Diğer IAM seçenekleri - **Şifre politikası ayarlarını** minimum uzunluk ve şifre gereksinimleri gibi seçeneklerle **ayarlayabilirsiniz**. -- Mevcut kimlik bilgileri hakkında bilgi içeren bir **"Kimlik Bilgisi Raporu"** **indirebilirsiniz** (kullanıcı oluşturma zamanı, şifrenin etkin olup olmadığı gibi...). Bir kimlik bilgisi raporu, her **dört saatte bir** kadar sık oluşturulabilir. +- Mevcut kimlik bilgileri hakkında bilgi içeren bir **"Kimlik Bilgisi Raporu"** **indirebilirsiniz** (kullanıcı oluşturma zamanı, şifrenin etkin olup olmadığı gibi...). Bir kimlik bilgisi raporu, her **dört saatte bir** kadar sık bir şekilde oluşturulabilir. AWS Kimlik ve Erişim Yönetimi (IAM), AWS genelinde **ince ayrıntılı erişim kontrolü** sağlar. IAM ile, **kimin hangi hizmetlere ve kaynaklara erişebileceğini** ve hangi koşullar altında erişebileceğini belirtebilirsiniz. IAM politikaları ile, iş gücünüze ve sistemlerinize **en az ayrıcalık izinlerini** sağlamak için izinleri yönetirsiniz. @@ -313,20 +313,20 @@ AWS Kimlik ve Erişim Yönetimi (IAM), AWS genelinde **ince ayrıntılı erişim [**bu sayfada**](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html#identifiers-unique-ids) anahtarların doğasına bağlı olarak **IAM ID ön eklerini** bulabilirsiniz: -| Tanımlayıcı Kodu | Açıklama | -| ---- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -| ABIA | [AWS STS hizmet taşıyıcı belirteci](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) | +| Tanımlayıcı Kodu | Açıklama | +| --------------- | ----------------------------------------------------------------------------------------------------------- | +| ABIA | [AWS STS hizmet taşıyıcı belirteci](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) | -| ACCA | Bağlama özgü kimlik bilgisi | -| AGPA | Kullanıcı grubu | -| AIDA | IAM kullanıcısı | -| AIPA | Amazon EC2 örnek profili | -| AKIA | Erişim anahtarı | -| ANPA | Yönetilen politika | -| ANVA | Yönetilen politikadaki sürüm | -| APKA | Genel anahtar | -| AROA | Rol | -| ASCA | Sertifika | +| ACCA | Bağlama özel kimlik bilgisi | +| AGPA | Kullanıcı grubu | +| AIDA | IAM kullanıcısı | +| AIPA | Amazon EC2 örnek profili | +| AKIA | Erişim anahtarı | +| ANPA | Yönetilen politika | +| ANVA | Yönetilen politikadaki sürüm | +| APKA | Genel anahtar | +| AROA | Rol | +| ASCA | Sertifika | | ASIA | [Geçici (AWS STS) erişim anahtar kimlikleri](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) bu ön eki kullanır, ancak yalnızca gizli erişim anahtarı ve oturum belirteci ile birleştirildiğinde benzersizdir. | ### Hesapları denetlemek için önerilen izinler @@ -347,7 +347,7 @@ Aşağıdaki ayrıcalıklar, çeşitli meta verilerin okunmasına izin verir: ### CLI Kimlik Doğrulaması Bir normal kullanıcının CLI aracılığıyla AWS'ye kimlik doğrulaması yapabilmesi için **yerel kimlik bilgilerine** sahip olması gerekir. Varsayılan olarak, bunları `~/.aws/credentials` dosyasında **manuel olarak** yapılandırabilir veya **çalıştırarak** `aws configure` yapabilirsiniz.\ -O dosyada birden fazla profil bulundurabilirsiniz; eğer **hiçbir profil** belirtilmezse, **aws cli** kullanılarak o dosyadaki **`[default]`** adlı profil kullanılacaktır.\ +O dosyada birden fazla profil bulundurabilirsiniz; eğer **hiçbir profil** belirtilmezse, **aws cli** kullanarak, o dosyadaki **`[default]`** adlı profil kullanılacaktır.\ Birden fazla profil içeren kimlik bilgisi dosyası örneği: ``` [default] @@ -361,7 +361,7 @@ region = eu-west-2 ``` Eğer **farklı AWS hesaplarına** erişmeniz gerekiyorsa ve profilinize **bu hesaplar içinde bir rol üstlenme** yetkisi verildiyse, her seferinde STS'yi manuel olarak çağırmanıza gerek yoktur (`aws sts assume-role --role-arn --role-session-name sessname`) ve kimlik bilgilerini yapılandırmanıza gerek yoktur. -`~/.aws/config` dosyasını kullanarak[ **üstlenilecek rolleri belirtmek**](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html) ve ardından `--profile` parametresini her zamanki gibi kullanabilirsiniz (rol üstlenme, kullanıcı için şeffaf bir şekilde gerçekleştirilecektir).\ +`~/.aws/config` dosyasını kullanarak [**üstlenilecek rolleri belirtmek**](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html) mümkündür ve ardından `--profile` parametresini her zamanki gibi kullanabilirsiniz (rol üstlenme işlemi kullanıcı için şeffaf bir şekilde gerçekleştirilecektir).\ Bir yapılandırma dosyası örneği: ``` [profile acc2]