|
|
|
|
@@ -27,7 +27,7 @@ Stoga, postoje **dva tipa računa u organizaciji** (govorimo o AWS računima, a
|
|
|
|
|
Račun za upravljanje ima **odgovornosti računa za plaćanje** i odgovoran je za plaćanje svih troškova koje generišu članovi računi. Ne možete promeniti račun za upravljanje organizacijom.
|
|
|
|
|
|
|
|
|
|
- **Članovi računi** čine sve ostale račune u organizaciji. Račun može biti član samo jedne organizacije u isto vreme. Možete prikačiti politiku na račun kako biste primenili kontrole samo na taj jedan račun.
|
|
|
|
|
- Članovi računi **moraju koristiti važeću email adresu** i mogu imati **ime**, generalno neće moći da upravljaju naplatom (ali im može biti dat pristup).
|
|
|
|
|
- Članovi računi **moraju koristiti važeću email adresu** i mogu imati **ime**, generalno neće moći da upravljaju naplatom (ali im može biti dat pristup tome).
|
|
|
|
|
```
|
|
|
|
|
aws organizations create-account --account-name testingaccount --email testingaccount@lalala1233fr.com
|
|
|
|
|
```
|
|
|
|
|
@@ -42,7 +42,7 @@ aws organizations create-organizational-unit --parent-id r-lalala --name TestOU
|
|
|
|
|
|
|
|
|
|
**Service control policy (SCP)** je politika koja specificira usluge i akcije koje korisnici i uloge mogu koristiti u nalozima na koje SCP utiče. SCP-ovi su **slični IAM** politikama dozvola osim što **ne dodeljuju nikakve dozvole**. Umesto toga, SCP-ovi specificiraju **maksimalne dozvole** za organizaciju, organizacionu jedinicu (OU) ili nalog. Kada prikačite SCP na koren vaše organizacije ili na OU, **SCP ograničava dozvole za entitete u članicama naloga**.
|
|
|
|
|
|
|
|
|
|
Ovo je JEDINI način da se **čak i korisnik sa root privilegijama može sprečiti** da nešto uradi. Na primer, može se koristiti da se spreče korisnici da onemoguće CloudTrail ili obrišu rezervne kopije.\
|
|
|
|
|
Ovo je JEDINI način da se **čak i korisnik sa root privilegijama može sprečiti** da nešto uradi. Na primer, može se koristiti da se spreči korisnike da onemoguće CloudTrail ili obrišu rezervne kopije.\
|
|
|
|
|
Jedini način da se zaobiđe ovo je da se kompromituje i **glavni nalog** koji konfiguriše SCP-ove (glavni nalog ne može biti blokiran).
|
|
|
|
|
|
|
|
|
|
> [!WARNING]
|
|
|
|
|
@@ -59,9 +59,9 @@ biti onemogućeni
|
|
|
|
|
|
|
|
|
|
- Odbijanje uloga za bezbednost/odgovor na incidente od
|
|
|
|
|
|
|
|
|
|
biti obrisane ili
|
|
|
|
|
biti obrisani ili
|
|
|
|
|
|
|
|
|
|
modifikovane.
|
|
|
|
|
modifikovani.
|
|
|
|
|
|
|
|
|
|
- Odbijanje rezervnih kopija od biti obrisane.
|
|
|
|
|
- Odbijanje kreiranja IAM korisnika i pristupnih ključeva
|
|
|
|
|
@@ -116,7 +116,7 @@ Kada prvi put kreirate Amazon Web Services (AWS) nalog, počinjete sa jednim ide
|
|
|
|
|
|
|
|
|
|
Napomena da novi **admin user** ima **manje dozvole od root user-a**.
|
|
|
|
|
|
|
|
|
|
Sa bezbednosnog stanovišta, preporučuje se kreiranje drugih korisnika i izbegavanje korišćenja ovog.
|
|
|
|
|
Sa bezbednosnog stanovišta, preporučuje se da kreirate druge korisnike i izbegavate korišćenje ovog.
|
|
|
|
|
|
|
|
|
|
### [IAM users](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) <a href="#id_iam-users" id="id_iam-users"></a>
|
|
|
|
|
|
|
|
|
|
@@ -181,7 +181,7 @@ AWS Security Token Service (STS) je veb servis koji olakšava **izdavanje privre
|
|
|
|
|
|
|
|
|
|
### Politike
|
|
|
|
|
|
|
|
|
|
#### Dozvole politika
|
|
|
|
|
#### Dozvole politike
|
|
|
|
|
|
|
|
|
|
Koriste se za dodeljivanje dozvola. Postoje 2 tipa:
|
|
|
|
|
|
|
|
|
|
@@ -189,7 +189,7 @@ Koriste se za dodeljivanje dozvola. Postoje 2 tipa:
|
|
|
|
|
- Politike koje upravlja korisnik: Konfigurišete ih vi. Možete kreirati politike na osnovu AWS upravljanih politika (modifikujući jednu od njih i kreirajući svoju), koristeći generator politika (GUI prikaz koji vam pomaže u dodeljivanju i odbijanju dozvola) ili pišući svoje.
|
|
|
|
|
|
|
|
|
|
Po **podrazumevanju, pristup** je **odbijen**, pristup će biti odobren ako je eksplicitna uloga navedena.\
|
|
|
|
|
Ako **jedna "Odbij" postoji, ona će nadjačati "Dozvoli"**, osim za zahteve koji koriste korenske bezbednosne akreditive AWS naloga (koji su podrazumevano dozvoljeni).
|
|
|
|
|
Ako **jedna "Deny" postoji, ona će nadjačati "Allow"**, osim za zahteve koji koriste korenske bezbednosne akreditive AWS naloga (koji su podrazumevano dozvoljeni).
|
|
|
|
|
```javascript
|
|
|
|
|
{
|
|
|
|
|
"Version": "2012-10-17", //Version of the policy
|
|
|
|
|
@@ -218,27 +218,27 @@ Specifična polja koja se mogu koristiti za uslove po usluzi su dokumentovana ov
|
|
|
|
|
#### Inline Politike
|
|
|
|
|
|
|
|
|
|
Ova vrsta politika je **direktno dodeljena** korisniku, grupi ili ulozi. Tada se ne pojavljuju na listi politika jer ih može koristiti bilo ko drugi.\
|
|
|
|
|
Inline politike su korisne ako želite da **održite strogu jedan-na-jedan vezu između politike i identiteta** na koji se primenjuju. Na primer, želite da budete sigurni da dozvole u politici nisu nenamerno dodeljene identitetu osim onog za koji su namenjene. Kada koristite inline politiku, dozvole u politici ne mogu biti nenamerno prikačene na pogrešan identitet. Pored toga, kada koristite AWS Management Console za brisanje tog identiteta, politike ugrađene u identitet se takođe brišu. To je zato što su deo glavnog entiteta.
|
|
|
|
|
Inline politike su korisne ako želite da **održite strogu jedan-na-jedan vezu između politike i identiteta** na koji se primenjuju. Na primer, želite da budete sigurni da dozvole u politici nisu nenamerno dodeljene identitetu osim onom za koji su namenjene. Kada koristite inline politiku, dozvole u politici ne mogu biti nenamerno prikačene na pogrešan identitet. Pored toga, kada koristite AWS Management Console za brisanje tog identiteta, politike ugrađene u identitet se takođe brišu. To je zato što su deo glavne entiteta.
|
|
|
|
|
|
|
|
|
|
#### Politike Resursnog Kanta
|
|
|
|
|
|
|
|
|
|
Ovo su **politike** koje se mogu definisati u **resursima**. **Nisu svi resursi AWS-a podržavaju njih**.
|
|
|
|
|
|
|
|
|
|
Ako glavni entitet nema eksplicitnu zabranu na njih, a politika resursa im omogućava pristup, tada su im dozvoljeni.
|
|
|
|
|
Ako glavni entitet nema eksplicitnu zabranu na njih, a politika resursa im daje pristup, tada su im dozvoljeni.
|
|
|
|
|
|
|
|
|
|
### IAM Granice
|
|
|
|
|
|
|
|
|
|
IAM granice se mogu koristiti za **ograničavanje dozvola kojima korisnik ili uloga treba da imaju pristup**. Na ovaj način, čak i ako se korisniku dodeli drugačiji skup dozvola od **druge politike**, operacija će **neuspeti** ako pokuša da ih koristi.
|
|
|
|
|
|
|
|
|
|
Granica je samo politika prikačena korisniku koja **ukazuje na maksimalni nivo dozvola koje korisnik ili uloga mogu imati**. Dakle, **čak i ako korisnik ima Administrator pristup**, ako granica ukazuje da može samo da čita S· kante, to je maksimum što može da uradi.
|
|
|
|
|
Granica je samo politika prikačena za korisnika koja **ukazuje na maksimalni nivo dozvola koje korisnik ili uloga mogu imati**. Dakle, **čak i ako korisnik ima Administrator pristup**, ako granica ukazuje da može samo da čita S· kante, to je maksimum što može da uradi.
|
|
|
|
|
|
|
|
|
|
**Ovo**, **SCP-ovi** i **pridržavanje principa najmanjih privilegija** su načini da se kontroliše da korisnici nemaju više dozvola nego što im je potrebno.
|
|
|
|
|
**Ovo**, **SCP-ovi** i **pridržavanje principa minimalnih privilegija** su načini da se kontroliše da korisnici nemaju više dozvola nego što im je potrebno.
|
|
|
|
|
|
|
|
|
|
### Politike Sesije
|
|
|
|
|
|
|
|
|
|
Politika sesije je **politika postavljena kada se neka uloga preuzme** na neki način. Ovo će biti kao **IAM granica za tu sesiju**: To znači da politika sesije ne dodeljuje dozvole, već **ograničava ih na one koje su navedene u politici** (maksimalne dozvole su one koje uloga ima).
|
|
|
|
|
|
|
|
|
|
Ovo je korisno za **mere bezbednosti**: Kada administrator preuzima veoma privilegovanu ulogu, mogao bi da ograniči dozvolu samo na one koje su navedene u politici sesije u slučaju da sesija bude kompromitovana.
|
|
|
|
|
Ovo je korisno za **mere bezbednosti**: Kada administrator preuzima veoma privilegovanu ulogu, može ograničiti dozvolu samo na one koje su navedene u politici sesije u slučaju da sesija bude kompromitovana.
|
|
|
|
|
```bash
|
|
|
|
|
aws sts assume-role \
|
|
|
|
|
--role-arn <value> \
|
|
|
|
|
@@ -246,48 +246,48 @@ aws sts assume-role \
|
|
|
|
|
[--policy-arns <arn_custom_policy1> <arn_custom_policy2>]
|
|
|
|
|
[--policy <file://policy.json>]
|
|
|
|
|
```
|
|
|
|
|
Napomena da po defaultu **AWS može dodati politike sesije sesijama** koje će biti generisane zbog trećih razloga. Na primer, u [neautentifikovanim cognito pretpostavljenim rolama](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) po defaultu (koristeći poboljšanu autentifikaciju), AWS će generisati **akreditive sesije sa politikom sesije** koja ograničava usluge kojima sesija može pristupiti [**na sledeću listu**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services).
|
|
|
|
|
Napomena da po defaultu **AWS može dodati politike sesije sesijama** koje će biti generisane zbog trećih razloga. Na primer, u [neautentifikovanim cognito pretpostavljenim rolama](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) po defaultu (koristeći poboljšanu autentifikaciju), AWS će generisati **akreditiv sesije sa politikom sesije** koja ograničava usluge kojima sesija može pristupiti [**na sledeću listu**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services).
|
|
|
|
|
|
|
|
|
|
Stoga, ako se u nekom trenutku suočite sa greškom "... jer nijedna politika sesije ne dozvoljava ...", a uloga ima pristup za izvršenje akcije, to je zato što **postoji politika sesije koja to sprečava**.
|
|
|
|
|
|
|
|
|
|
### Identitetna federacija
|
|
|
|
|
### Federacija identiteta
|
|
|
|
|
|
|
|
|
|
Identitetna federacija **omogućava korisnicima iz identitetskih provajdera koji su eksterni** za AWS da sigurno pristupaju AWS resursima bez potrebe da dostavljaju AWS korisničke akreditive iz važećeg IAM korisničkog naloga.\
|
|
|
|
|
Primer identitetskog provajdera može biti vaša vlastita korporativna **Microsoft Active Directory** (putem **SAML**) ili **OpenID** usluga (kao što je **Google**). Federisani pristup će tada omogućiti korisnicima unutar njega da pristupaju AWS-u.
|
|
|
|
|
Federacija identiteta **omogućava korisnicima iz provajdera identiteta koji su eksterni** za AWS da sigurno pristupaju AWS resursima bez potrebe da dostavljaju AWS korisničke akreditive iz važećeg IAM korisničkog naloga.\
|
|
|
|
|
Primer provajdera identiteta može biti vaša vlastita korporativna **Microsoft Active Directory** (putem **SAML**) ili **OpenID** usluga (kao što je **Google**). Federisani pristup će tada omogućiti korisnicima unutar njega da pristupaju AWS-u.
|
|
|
|
|
|
|
|
|
|
Da biste konfigurisali ovo poverenje, generiše se **IAM identitetski provajder (SAML ili OAuth)** koji će **verovati** **drugoj platformi**. Zatim, najmanje jedna **IAM uloga se dodeljuje (verujući) identitetskom provajderu**. Ako korisnik iz poverene platforme pristupi AWS-u, pristupaće kao pomenuta uloga.
|
|
|
|
|
Da biste konfigurisali ovo poverenje, generiše se **IAM provajder identiteta (SAML ili OAuth)** koji će **verovati** **drugoj platformi**. Zatim, najmanje jedna **IAM uloga se dodeljuje (verujući) provajderu identiteta**. Ako korisnik iz poverene platforme pristupi AWS-u, on će pristupati kao pomenuta uloga.
|
|
|
|
|
|
|
|
|
|
Međutim, obično ćete želeti da dodelite **različitu ulogu u zavisnosti od grupe korisnika** na trećoj strani. Tada, nekoliko **IAM uloga može verovati** trećem identitetskom provajderu, a treća platforma će biti ta koja će omogućiti korisnicima da preuzmu jednu ili drugu ulogu.
|
|
|
|
|
Međutim, obično ćete želeti da dodelite **različitu ulogu u zavisnosti od grupe korisnika** na trećoj platformi. Tada, nekoliko **IAM uloga može verovati** trećem provajderu identiteta, a treća platforma će biti ta koja omogućava korisnicima da preuzmu jednu ili drugu ulogu.
|
|
|
|
|
|
|
|
|
|
<figure><img src="../../../images/image (247).png" alt=""><figcaption></figcaption></figure>
|
|
|
|
|
|
|
|
|
|
### IAM Identitetni Centar
|
|
|
|
|
### IAM Identity Center
|
|
|
|
|
|
|
|
|
|
AWS IAM Identitetni Centar (naslednik AWS Single Sign-On) proširuje mogućnosti AWS upravljanja identitetom i pristupom (IAM) kako bi pružio **centralno mesto** koje okuplja **administraciju korisnika i njihov pristup AWS** nalozima i cloud aplikacijama.
|
|
|
|
|
AWS IAM Identity Center (naslednik AWS Single Sign-On) proširuje mogućnosti AWS upravljanja identitetima i pristupom (IAM) kako bi pružio **centralno mesto** koje okuplja **administraciju korisnika i njihov pristup AWS** nalozima i cloud aplikacijama.
|
|
|
|
|
|
|
|
|
|
Domen za prijavu će biti nešto poput `<user_input>.awsapps.com`.
|
|
|
|
|
|
|
|
|
|
Da bi se prijavili korisnici, mogu se koristiti 3 izvora identiteta:
|
|
|
|
|
|
|
|
|
|
- Identitetni Centar Direktorijum: Redovni AWS korisnici
|
|
|
|
|
- Identity Center Directory: Redovni AWS korisnici
|
|
|
|
|
- Active Directory: Podržava različite konektore
|
|
|
|
|
- Eksterni identitetski provajder: Svi korisnici i grupe dolaze iz eksternog identitetskog provajdera (IdP)
|
|
|
|
|
- Eksterni provajder identiteta: Svi korisnici i grupe dolaze iz eksternog provajdera identiteta (IdP)
|
|
|
|
|
|
|
|
|
|
<figure><img src="../../../images/image (279).png" alt=""><figcaption></figcaption></figure>
|
|
|
|
|
|
|
|
|
|
U najjednostavnijem slučaju direktorijuma Identitetnog Centra, **Identitetni Centar će imati listu korisnika i grupa** i moći će da **dodeli politike** njima za **bilo koji od naloga** organizacije.
|
|
|
|
|
U najjednostavnijem slučaju direktorijuma Identity Center, **Identity Center će imati listu korisnika i grupa** i moći će da **dodeli politike** njima za **bilo koji od naloga** organizacije.
|
|
|
|
|
|
|
|
|
|
Da biste omogućili pristup korisniku/grupi Identitetnog Centra nalogu, biće kreiran **SAML identitetski provajder koji veruje Identitetnom Centru**, a **uloga koja veruje identitetskom provajderu sa navedenim politikama biće kreirana** u odredišnom nalogu.
|
|
|
|
|
Da biste dali pristup korisniku/grupi Identity Center-a nalogu, biće kreiran **SAML provajder identiteta koji veruje Identity Center-u**, a **uloga koja veruje provajderu identiteta sa navedenim politikama biće kreirana** u odredišnom nalogu.
|
|
|
|
|
|
|
|
|
|
#### AwsSSOInlinePolicy
|
|
|
|
|
|
|
|
|
|
Moguće je **dati dozvole putem inline politika rolama kreiranim putem IAM Identitetnog Centra**. Uloge kreirane u nalozima koje dobijaju **inline politike u AWS Identitetnom Centru** će imati te dozvole u inline politici pod nazivom **`AwsSSOInlinePolicy`**.
|
|
|
|
|
Moguće je **dati dozvole putem inline politika rolama kreiranim putem IAM Identity Center**. Uloge kreirane u nalozima koje dobijaju **inline politike u AWS Identity Center** će imati te dozvole u inline politici pod nazivom **`AwsSSOInlinePolicy`**.
|
|
|
|
|
|
|
|
|
|
Stoga, čak i ako vidite 2 uloge sa inline politikom pod nazivom **`AwsSSOInlinePolicy`**, to **ne znači da imaju iste dozvole**.
|
|
|
|
|
|
|
|
|
|
### Cross Account Trusts and Roles
|
|
|
|
|
|
|
|
|
|
**Korisnik** (verujući) može kreirati Cross Account ulogu sa nekim politikama i zatim, **dozvoliti drugom korisniku** (pouzdani) da **pristupi njegovom nalogu** ali samo **imajući pristup naveden u novim politikama uloge**. Da biste to kreirali, jednostavno kreirajte novu ulogu i izaberite Cross Account ulogu. Uloge za pristup između naloga nude dve opcije. Pružanje pristupa između AWS naloga koje posedujete, i pružanje pristupa između naloga koji posedujete i trećeg AWS naloga.\
|
|
|
|
|
**Korisnik** (verujući) može kreirati Cross Account Role sa nekim politikama i zatim, **dozvoliti drugom korisniku** (pouzdano) da **pristupi njegovom nalogu** ali samo **imajući pristup naveden u novim politikama uloge**. Da biste to kreirali, jednostavno kreirajte novu ulogu i izaberite Cross Account Role. Uloge za pristup između naloga nude dve opcije. Pružanje pristupa između AWS naloga koje posedujete, i pružanje pristupa između naloga koji posedujete i trećeg AWS naloga.\
|
|
|
|
|
Preporučuje se da **specificirate korisnika koji je poveren i ne stavljate nešto generičko** jer u suprotnom, drugi autentifikovani korisnici poput federisanih korisnika će takođe moći da zloupotrebe ovo poverenje.
|
|
|
|
|
|
|
|
|
|
### AWS Simple AD
|
|
|
|
|
@@ -295,34 +295,34 @@ Preporučuje se da **specificirate korisnika koji je poveren i ne stavljate neš
|
|
|
|
|
Nije podržano:
|
|
|
|
|
|
|
|
|
|
- Odnos poverenja
|
|
|
|
|
- AD Admin Centar
|
|
|
|
|
- AD Admin Center
|
|
|
|
|
- Puna PS API podrška
|
|
|
|
|
- AD Recycle Bin
|
|
|
|
|
- Grupa upravljanih servisnih naloga
|
|
|
|
|
- Ekstenzije šeme
|
|
|
|
|
- Nema direktnog pristupa OS-u ili instancama
|
|
|
|
|
- Proširenja šeme
|
|
|
|
|
- Nema direktan pristup OS-u ili instancama
|
|
|
|
|
|
|
|
|
|
#### Web Federacija ili OpenID Autentifikacija
|
|
|
|
|
#### Web Federation or OpenID Authentication
|
|
|
|
|
|
|
|
|
|
Aplikacija koristi AssumeRoleWithWebIdentity za kreiranje privremenih akreditiva. Međutim, ovo ne omogućava pristup AWS konzoli, samo pristup resursima unutar AWS-a.
|
|
|
|
|
Aplikacija koristi AssumeRoleWithWebIdentity za kreiranje privremenih akreditiva. Međutim, ovo ne daje pristup AWS konzoli, samo pristup resursima unutar AWS-a.
|
|
|
|
|
|
|
|
|
|
### Ostale IAM opcije
|
|
|
|
|
### Other IAM options
|
|
|
|
|
|
|
|
|
|
- Možete **postaviti podešavanje politike lozinke** kao što su minimalna dužina i zahtevi za lozinkom.
|
|
|
|
|
- Možete **preuzeti "Izveštaj o akreditivima"** sa informacijama o trenutnim akreditivima (kao što su vreme kreiranja korisnika, da li je lozinka omogućena...). Možete generisati izveštaj o akreditivima čak i jednom svaka **četiri sata**.
|
|
|
|
|
- Možete **preuzeti "Izveštaj o akreditivima"** sa informacijama o trenutnim akreditivima (kao što su vreme kreiranja korisnika, da li je lozinka omogućena...). Možete generisati izveštaj o akreditivima koliko često želite, čak i svaka **četiri sata**.
|
|
|
|
|
|
|
|
|
|
AWS upravljanje identitetom i pristupom (IAM) pruža **fino podešenu kontrolu pristupa** širom celog AWS-a. Sa IAM-om, možete specificirati **ko može pristupiti kojim uslugama i resursima**, i pod kojim uslovima. Sa IAM politikama, upravljate dozvolama za vašu radnu snagu i sisteme kako biste **osigurali dozvole sa najmanjim privilegijama**.
|
|
|
|
|
AWS upravljanje identitetima i pristupom (IAM) pruža **fino podešavanje kontrole pristupa** širom celog AWS-a. Sa IAM-om, možete specificirati **ko može pristupiti kojim uslugama i resursima**, i pod kojim uslovima. Sa IAM politikama, upravljate dozvolama za vašu radnu snagu i sisteme kako biste **osigurali dozvole sa najmanjim privilegijama**.
|
|
|
|
|
|
|
|
|
|
### IAM ID Prefiksi
|
|
|
|
|
### IAM ID Prefixes
|
|
|
|
|
|
|
|
|
|
Na [**ovoj stranici**](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html#identifiers-unique-ids) možete pronaći **IAM ID prefikse** ključeva u zavisnosti od njihove prirode:
|
|
|
|
|
|
|
|
|
|
| Identifikator Koda | Opis |
|
|
|
|
|
| Identifier Code | Description |
|
|
|
|
|
| --------------- | ----------------------------------------------------------------------------------------------------------- |
|
|
|
|
|
| ABIA | [AWS STS servisni nosilac tokena](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) |
|
|
|
|
|
| ABIA | [AWS STS service bearer token](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) |
|
|
|
|
|
|
|
|
|
|
| ACCA | Kontekstualni akreditiv |
|
|
|
|
|
| AGPA | Korisnička grupa |
|
|
|
|
|
| ACCA | Kontekst-specifični akreditiv |
|
|
|
|
|
| AGPA | Grupa korisnika |
|
|
|
|
|
| AIDA | IAM korisnik |
|
|
|
|
|
| AIPA | Amazon EC2 profil instance |
|
|
|
|
|
| AKIA | Pristupni ključ |
|
|
|
|
|
@@ -333,7 +333,7 @@ Na [**ovoj stranici**](https://docs.aws.amazon.com/IAM/latest/UserGuide/referenc
|
|
|
|
|
| ASCA | Sertifikat |
|
|
|
|
|
| ASIA | [Privremeni (AWS STS) pristupni ključevi ID](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) koriste ovaj prefiks, ali su jedinstveni samo u kombinaciji sa tajnim pristupnim ključem i tokenom sesije. |
|
|
|
|
|
|
|
|
|
|
### Preporučene dozvole za reviziju naloga
|
|
|
|
|
### Recommended permissions to audit accounts
|
|
|
|
|
|
|
|
|
|
Sledeće privilegije daju različit pristup metapodacima:
|
|
|
|
|
|
|
|
|
|
@@ -346,12 +346,12 @@ Sledeće privilegije daju različit pristup metapodacima:
|
|
|
|
|
- `directconnect:DescribeConnections`
|
|
|
|
|
- `dynamodb:ListTables`
|
|
|
|
|
|
|
|
|
|
## Razno
|
|
|
|
|
## Misc
|
|
|
|
|
|
|
|
|
|
### CLI Autentifikacija
|
|
|
|
|
### CLI Authentication
|
|
|
|
|
|
|
|
|
|
Da bi običan korisnik autentifikovao na AWS putem CLI, potrebno je imati **lokalne akreditive**. Po defaultu, možete ih konfigurisati **ručno** u `~/.aws/credentials` ili **pokretanjem** `aws configure`.\
|
|
|
|
|
U toj datoteci možete imati više od jednog profila, ako **nije specificiran profil** koristeći **aws cli**, koristiće se onaj pod nazivom **`[default]`** u toj datoteci.\
|
|
|
|
|
Da bi regularni korisnik autentifikovao na AWS putem CLI, potrebno je imati **lokalne akreditive**. Po defaultu, možete ih konfigurisati **ručno** u `~/.aws/credentials` ili **pokretanjem** `aws configure`.\
|
|
|
|
|
U toj datoteci možete imati više od jednog profila, ako **nije specificiran profil** koristeći **aws cli**, koristiće se onaj nazvan **`[default]`** u toj datoteci.\
|
|
|
|
|
Primer datoteke akreditiva sa više od 1 profila:
|
|
|
|
|
```
|
|
|
|
|
[default]
|
|
|
|
|
@@ -381,9 +381,9 @@ aws --profile acc2 ...
|
|
|
|
|
```
|
|
|
|
|
Ako tražite nešto **slično** ovome, ali za **pregledač**, možete proveriti **ekstenziju** [**AWS Extend Switch Roles**](https://chrome.google.com/webstore/detail/aws-extend-switch-roles/jpmkfafbacpgapdghgdpembnojdlgkdl?hl=en).
|
|
|
|
|
|
|
|
|
|
#### Automatizacija privremenih kredencijala
|
|
|
|
|
#### Automatizacija privremenih akreditiva
|
|
|
|
|
|
|
|
|
|
Ako eksploatišete aplikaciju koja generiše privremene kredencijale, može biti zamorno ažurirati ih u vašem terminalu svake nekoliko minuta kada isteknu. Ovo se može rešiti korišćenjem `credential_process` direktive u konfiguracionom fajlu. Na primer, ako imate neku ranjivu web aplikaciju, mogli biste uraditi:
|
|
|
|
|
Ako eksploatišete aplikaciju koja generiše privremene akreditive, može biti zamorno ažurirati ih u vašem terminalu svake nekoliko minuta kada isteknu. Ovo se može rešiti korišćenjem `credential_process` direktive u konfiguracionom fajlu. Na primer, ako imate neku ranjivu web aplikaciju, mogli biste uraditi:
|
|
|
|
|
```toml
|
|
|
|
|
[victim]
|
|
|
|
|
credential_process = curl -d 'PAYLOAD' https://some-site.com
|
|
|
|
|
|
Translator