diff --git a/src/pentesting-cloud/aws-security/aws-basic-information/README.md b/src/pentesting-cloud/aws-security/aws-basic-information/README.md index 44bcc8474..e7c5150e2 100644 --- a/src/pentesting-cloud/aws-security/aws-basic-information/README.md +++ b/src/pentesting-cloud/aws-security/aws-basic-information/README.md @@ -8,9 +8,9 @@ ### Hesaplar -AWS'de, **tüm hesapların** **ebeveyn konteyneri** olan bir **root hesabı** vardır. Ancak, kaynakları dağıtmak için bu hesabı kullanmanız gerekmez, **farklı AWS** altyapılarını birbirinden ayırmak için **diğer hesaplar oluşturabilirsiniz**. +AWS'de, **tüm hesapların** **ebeveyn konteyneri** olan bir **root hesabı** vardır. Ancak, kaynakları dağıtmak için bu hesabı kullanmanıza gerek yoktur, **farklı AWS** altyapılarını birbirinden ayırmak için **diğer hesaplar oluşturabilirsiniz**. -Bu, **güvenlik** açısından çok ilginçtir, çünkü **bir hesap diğer hesaptan kaynaklara erişemez** (özel köprüler oluşturulmadığı sürece), bu şekilde dağıtımlar arasında sınırlar oluşturabilirsiniz. +Bu, **güvenlik** açısından çok ilginçtir, çünkü **bir hesap diğer hesaptan kaynaklara erişemeyecektir** (özel köprüler oluşturulmadığı sürece), bu şekilde dağıtımlar arasında sınırlar oluşturabilirsiniz. Bu nedenle, bir organizasyonda **iki tür hesap vardır** (AWS hesaplarından bahsediyoruz, Kullanıcı hesaplarından değil): yönetim hesabı olarak belirlenen tek bir hesap ve bir veya daha fazla üye hesabı. @@ -33,7 +33,7 @@ aws organizations create-account --account-name testingaccount --email testingac ``` ### **Organizasyon Birimleri** -Hesaplar **Organizasyon Birimleri (OU)** içinde gruplandırılabilir. Bu şekilde, Organizasyon Birimi için **tüm alt hesaplara uygulanacak** **politikalar** oluşturabilirsiniz. Bir OU'nun altı olarak başka OU'lar da olabileceğini unutmayın. +Hesaplar **Organizasyon Birimleri (OU)** içinde gruplandırılabilir. Bu şekilde, Organizasyon Birimi için **tüm alt hesaplara uygulanacak** **politikalar** oluşturabilirsiniz. Bir OU'nun altı olarak başka OUlardan oluşabileceğini unutmayın. ```bash # You can get the root id from aws organizations list-roots aws organizations create-organizational-unit --parent-id r-lalala --name TestOU @@ -46,7 +46,7 @@ Bu, **root kullanıcının bile bir şey yapmasını durdurmanın TEK yoludur**. Bunu aşmanın tek yolu, SCP'leri yapılandıran **master account**'u da tehlikeye atmaktır (master account engellenemez). > [!WARNING] -> **SCP'ler yalnızca hesap içindeki ilkeleri kısıtlar**, bu nedenle diğer hesaplar etkilenmez. Bu, bir SCP'nin `s3:GetObject` iznini reddetmesinin, insanların **hesabınızdaki bir genel S3 bucket'a erişmesini durdurmayacağı anlamına gelir**. +> **SCP'ler yalnızca hesap içindeki ilkeleri kısıtlar**, bu nedenle diğer hesaplar etkilenmez. Bu, bir SCP'nin `s3:GetObject` iznini reddetmesinin, insanların hesabınızdaki **bir kamu S3 bucket'ına erişmesini durdurmayacağı anlamına gelir**. SCP örnekleri: @@ -71,7 +71,7 @@ Bir **resource control policy (RCP)**, **AWS organizasyonunuz içindeki kaynakla Bu, **kaynakların önceden tanımlanmış erişim seviyelerini aşmasını sağlamanın TEK yoludur**—bir kimlik tabanlı veya kaynak tabanlı politika çok izin verici olsa bile. Bu sınırlamaları aşmanın tek yolu, organizasyonunuzun yönetim hesabı tarafından yapılandırılan RCP'yi de değiştirmektir. > [!WARNING] -> RCP'ler yalnızca kaynakların sahip olabileceği izinleri kısıtlar. Doğrudan ilkelerin ne yapabileceğini kontrol etmezler. Örneğin, bir RCP bir S3 bucket'a dış erişimi reddederse, bu, bucket'ın izinlerinin belirlenen sınırın ötesinde eylemlere asla izin vermeyeceğini garanti eder—bir kaynak tabanlı politika yanlış yapılandırılmış olsa bile. +> RCP'ler yalnızca kaynakların sahip olabileceği izinleri kısıtlar. Doğrudan ilkelerin ne yapabileceğini kontrol etmezler. Örneğin, bir RCP bir S3 bucket'ına dış erişimi reddederse, bu, bucket'ın izinlerinin belirlenen sınırın ötesinde eylemlere asla izin vermeyeceğini garanti eder—bir kaynak tabanlı politika yanlış yapılandırılmış olsa bile. RCP örnekleri: @@ -104,19 +104,19 @@ IAM, AWS hesabınız içinde **Kimlik Doğrulama**, **Yetkilendirme** ve **Eriş - **Yetkilendirme** - Bir kimliğin, sisteme kimlik doğrulaması yapıldıktan sonra neye erişebileceğini belirler. - **Erişim Kontrolü** - Güvenli bir kaynağa erişimin nasıl verileceği ile ilgili yöntem ve süreçtir. -IAM, AWS hesabınızdaki kaynaklarınıza kimliklerin kimlik doğrulama, yetkilendirme ve erişim kontrol mekanizmalarını yönetme, kontrol etme ve yönetme yeteneği ile tanımlanabilir. +IAM, AWS hesabınızdaki kaynaklarınıza kimliklerin kimlik doğrulama, yetkilendirme ve erişim kontrol mekanizmalarını yönetme, kontrol etme ve yönlendirme yeteneği ile tanımlanabilir. ### [AWS hesap kök kullanıcısı](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html) -Amazon Web Services (AWS) hesabı oluşturduğunuzda, hesabınızdaki tüm AWS hizmetlerine ve kaynaklarına **tam erişime sahip** tek bir oturum açma kimliği ile başlarsınız. Bu, AWS hesap _**kök kullanıcısı**dır_ ve hesabı oluşturmak için kullandığınız **e-posta adresi ve şifre ile oturum açarak** erişilir. +Amazon Web Services (AWS) hesabı oluşturduğunuzda, hesabınızdaki tüm AWS hizmetlerine ve kaynaklarına **tam erişime sahip** tek bir oturum açma kimliği ile başlarsınız. Bu, AWS hesap _**kök kullanıcısı**dır_ ve **hesabı oluşturmak için kullandığınız e-posta adresi ve şifre ile oturum açarak** erişilir. -Yeni bir **admin kullanıcısının kök kullanıcıdan** **daha az izin** alacağını unutmayın. +Yeni bir **admin kullanıcısının**, kök kullanıcıdan **daha az izin** alacağını unutmayın. Güvenlik açısından, diğer kullanıcıları oluşturmanız ve bu kullanıcıyı kullanmaktan kaçınmanız önerilir. ### [IAM kullanıcıları](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) -IAM _kullanıcısı_, AWS'de **kullanıcıyı temsil eden kişi veya uygulama** için oluşturduğunuz bir varlıktır. AWS'deki bir kullanıcı, bir isim ve kimlik bilgileri (şifre ve en fazla iki erişim anahtarı) içerir. +IAM _kullanıcısı_, AWS'de **onu kullanan kişi veya uygulamayı temsil etmek** için oluşturduğunuz bir varlıktır. AWS'deki bir kullanıcı, bir isim ve kimlik bilgileri (şifre ve en fazla iki erişim anahtarı) içerir. Bir IAM kullanıcısı oluşturduğunuzda, ona uygun izin politikaları eklenmiş bir **kullanıcı grubunun üyesi** yaparak (önerilir) veya **doğrudan politikalar ekleyerek** **izinler** verirsiniz. @@ -125,10 +125,10 @@ Kullanıcılar, konsoldan giriş yapmak için **MFA etkinleştirilmiş** olabili #### CLI - **Erişim Anahtarı ID**: 20 rastgele büyük harfli alfanümerik karakter, örneğin AKHDNAPO86BSHKDIRYT -- **Gizli erişim anahtarı ID**: 40 rastgele büyük ve küçük harf karakterleri: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (Kayıp gizli erişim anahtarı ID'leri geri alınamaz). +- **Gizli erişim anahtarı ID**: 40 rastgele büyük ve küçük harf karakterleri: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (kayıp gizli erişim anahtarı ID'lerini geri almak mümkün değildir). -Erişim Anahtarını **değiştirmeniz gerektiğinde** izlemeniz gereken süreç:\ -_Yeni bir erişim anahtarı oluştur -> Yeni anahtarı sistem/uygulamaya uygula -> Orijinalini pasif olarak işaretle -> Yeni erişim anahtarının çalıştığını test et ve doğrula -> Eski erişim anahtarını sil_ +**Erişim Anahtarını değiştirmek** istediğinizde izlemeniz gereken süreç:\ +_Yeni bir erişim anahtarı oluşturun -> Yeni anahtarı sistem/uygulamaya uygulayın -> Orijinalini pasif olarak işaretleyin -> Yeni erişim anahtarının çalıştığını test edin ve doğrulayın -> Eski erişim anahtarını silin_ ### MFA - Çok Faktörlü Kimlik Doğrulama @@ -141,7 +141,7 @@ MFA koşulları olan politikalar aşağıdakilere eklenebilir: - Amazon S3 bucket, Amazon SQS kuyruğu veya Amazon SNS konusu gibi bir kaynak - Bir kullanıcının üstlenebileceği bir IAM rolünün güven politikası -Eğer **CLI üzerinden** MFA **kontrol eden** bir kaynağa erişmek istiyorsanız, **`GetSessionToken`** çağrısı yapmalısınız. Bu, MFA hakkında bilgi içeren bir token verecektir.\ +Eğer **CLI üzerinden** MFA'yı **kontrol eden** bir kaynağa erişmek istiyorsanız, **`GetSessionToken`** çağrısı yapmalısınız. Bu, MFA hakkında bilgi içeren bir token verecektir.\ Unutmayın ki **`AssumeRole` kimlik bilgileri bu bilgiyi içermez**. ```bash aws sts get-session-token --serial-number --token-code @@ -157,15 +157,15 @@ Bir **kimlik tabanlı politikayı bir kullanıcı grubuna** ekleyebilirsiniz, b Kullanıcı gruplarının bazı önemli özellikleri şunlardır: - Bir **kullanıcı grubu** **birçok kullanıcı** içerebilir ve bir **kullanıcı** **birden fazla gruba** ait olabilir. -- **Kullanıcı grupları iç içe geçemez**; yalnızca kullanıcıları içerebilir, diğer kullanıcı gruplarını değil. +- **Kullanıcı grupları iç içe olamaz**; yalnızca kullanıcıları içerebilir, diğer kullanıcı gruplarını değil. - AWS hesabındaki tüm kullanıcıları otomatik olarak içeren **varsayılan bir kullanıcı grubu yoktur**. Böyle bir kullanıcı grubuna sahip olmak istiyorsanız, onu oluşturmalı ve her yeni kullanıcıyı ona atamalısınız. -- AWS hesabındaki IAM kaynaklarının sayısı ve boyutu, grupların sayısı ve bir kullanıcının üyesi olabileceği grup sayısı gibi, sınırlıdır. Daha fazla bilgi için [IAM ve AWS STS kotaları](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html) sayfasına bakın. +- AWS hesabındaki IAM kaynaklarının sayısı ve boyutu, grupların sayısı ve bir kullanıcının üyesi olabileceği grup sayısı gibi, sınırlıdır. Daha fazla bilgi için [IAM ve AWS STS kotalarına](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html) bakın. ### [IAM rolleri](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) -Bir IAM **rolü**, **kullanıcıya** çok **benzer** olup, AWS'de ne yapabileceğini ve ne yapamayacağını belirleyen **izin politikaları ile bir kimliktir**. Ancak, bir rolün **ilişkili olduğu herhangi bir kimlik bilgisi** (şifre veya erişim anahtarları) yoktur. Bir kişiye özgü olarak değil, bir rolün **ihtiyacı olan herkes tarafından üstlenilmesi** amaçlanmıştır (ve yeterli izinlere sahip olunmalıdır). Bir **IAM kullanıcısı, belirli bir görev için geçici olarak** farklı izinler almak üzere bir rolü üstlenebilir. Bir rol, IAM yerine harici bir kimlik sağlayıcısı kullanarak oturum açan bir [**federasyon kullanıcısına**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) atanabilir. +Bir IAM **rolü**, bir **kullanıcıya** çok **benzer** olup, AWS'de ne yapabileceğini ve ne yapamayacağını belirleyen **izin politikaları ile bir kimliktir**. Ancak, bir rolün **ilişkili olduğu herhangi bir kimlik bilgisi** (şifre veya erişim anahtarları) yoktur. Bir kişiye özgü olarak değil, bir rolün **ihtiyacı olan herkes tarafından üstlenilmesi** amaçlanmıştır (ve yeterli izinlere sahip olunmalıdır). Bir **IAM kullanıcısı, belirli bir görev için geçici olarak** farklı izinler almak üzere bir rolü üstlenebilir. Bir rol, IAM yerine harici bir kimlik sağlayıcısı kullanarak oturum açan bir [**federasyon kullanıcısına**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) atanabilir. -Bir IAM rolü, **iki tür politika** içerir: **boş olamaz** olan bir **güven politikası**, **rolü kimin üstlenebileceğini** tanımlar ve **boş olamaz** olan bir **izin politikası**, **neye erişebileceğini** tanımlar. +Bir IAM rolü, **iki tür politikadan** oluşur: **boş olamaz** olan bir **güven politikası**, rolü **kimin üstlenebileceğini** tanımlar ve **boş olamaz** olan bir **izin politikası**, **neye erişebileceğini** tanımlar. #### AWS Güvenlik Token Servisi (STS) @@ -179,10 +179,10 @@ AWS Güvenlik Token Servisi (STS), **geçici, sınırlı ayrıcalıklı kimlik b #### Politika İzinleri -İzinleri atamak için kullanılır. 2 türü vardır: +İzinleri atamak için kullanılır. 2 tür vardır: -- AWS yönetilen politikalar (AWS tarafından önceden yapılandırılmış) -- Müşteri Yönetilen Politikalar: Siz tarafından yapılandırılmıştır. AWS yönetilen politikalarına dayalı politikalar oluşturabilirsiniz (bunlardan birini değiştirerek ve kendi politikanızı oluşturarak), politika oluşturucu kullanarak (izinleri vermenize ve reddetmenize yardımcı olan bir GUI görünümü) veya kendi yazdığınız politikaları yazarak. +- AWS yönetilen politikaları (AWS tarafından önceden yapılandırılmış) +- Müşteri Yönetilen Politikalar: Siz tarafından yapılandırılmıştır. AWS yönetilen politikalarına (birini değiştirerek ve kendi politikanızı oluşturarak), politika oluşturucu (izinleri vermenize ve reddetmenize yardımcı olan bir GUI görünümü) kullanarak veya kendi yazdığınız politikalar oluşturabilirsiniz. **Varsayılan erişim** **reddedilir**, açık bir rol belirtilirse erişim verilecektir.\ Eğer **tek bir "Reddet" varsa, "İzin Ver"i geçersiz kılacaktır**, AWS hesabının kök güvenlik kimlik bilgilerini kullanan talepler hariç (varsayılan olarak izin verilir). @@ -220,7 +220,7 @@ Inline politikalar, bir politikanın uygulandığı kimlik ile **katı bir bireb Bunlar, **kaynaklarda** tanımlanabilen **politikalar**dır. **AWS'nin tüm kaynakları bunları desteklemez**. -Eğer bir anahtarın üzerinde açık bir red yoksa ve bir kaynak politikası onlara erişim veriyorsa, o zaman izin verilir. +Eğer bir anahtarın üzerinde açık bir reddetme yoksa ve bir kaynak politikası onlara erişim veriyorsa, o zaman izin verilir. ### IAM Sınırları @@ -244,16 +244,16 @@ aws sts assume-role \ ``` Not edin ki varsayılan olarak **AWS, üçüncü nedenlerden dolayı oluşturulacak oturumlara oturum politikaları ekleyebilir**. Örneğin, [kimlik doğrulaması yapılmamış cognito varsayılan rolleri](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) için (gelişmiş kimlik doğrulaması kullanarak) AWS, **oturum politikası ile oturum kimlik bilgileri** oluşturacaktır; bu, oturumun erişebileceği hizmetleri [**aşağıdaki liste ile sınırlamaktadır**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). -Bu nedenle, bir noktada "... çünkü hiçbir oturum politikası ...'ya izin vermiyor" hatası ile karşılaşırsanız ve rol, eylemi gerçekleştirme erişimine sahipse, bunun nedeni **bunu engelleyen bir oturum politikasının olmasıdır**. +Bu nedenle, bir noktada "... çünkü hiçbir oturum politikası ...'ya izin vermiyor" hatası ile karşılaşırsanız ve rol, eylemi gerçekleştirme erişimine sahipse, bunun nedeni **bunu engelleyen bir oturum politikası olmasıdır**. ### Kimlik Federasyonu Kimlik federasyonu, **AWS'ye dışarıdan gelen kimlik sağlayıcılarından kullanıcıların** AWS kaynaklarına güvenli bir şekilde erişmesini sağlar; bu, geçerli bir IAM kullanıcı hesabından AWS kullanıcı kimlik bilgilerini sağlamayı gerektirmez.\ Bir kimlik sağlayıcısına örnek, kendi kurumsal **Microsoft Active Directory**'niz ( **SAML** aracılığıyla) veya **OpenID** hizmetleridir ( **Google** gibi). Federasyon erişimi, içindeki kullanıcıların AWS'ye erişmesine izin verecektir. -Bu güveni yapılandırmak için, **diğer platforma güvenen bir IAM Kimlik Sağlayıcısı (SAML veya OAuth)** oluşturulur. Ardından, en az bir **IAM rolü (kimlik sağlayıcıya güvenen) atanır**. Güvenilen platformdan bir kullanıcı AWS'ye eriştiğinde, belirtilen rol olarak erişim sağlayacaktır. +Bu güveni yapılandırmak için, **diğer platforma güvenen bir IAM Kimlik Sağlayıcısı (SAML veya OAuth)** oluşturulur. Ardından, en az bir **IAM rolü (kimlik sağlayıcıya güvenen) atanır**. Güvenilen platformdan bir kullanıcı AWS'ye erişirse, belirtilen rol olarak erişecektir. -Ancak, genellikle **üçüncü taraf platformdaki kullanıcının grubuna bağlı olarak farklı bir rol vermek** istersiniz. Bu durumda, birkaç **IAM rolü üçüncü taraf Kimlik Sağlayıcıya güvenebilir** ve üçüncü taraf platform, kullanıcıların bir rolü veya diğerini üstlenmesine izin verecektir. +Ancak, genellikle **üçüncü taraf platformdaki kullanıcının grubuna bağlı olarak farklı bir rol vermek** istersiniz. Bu durumda, birkaç **IAM rolü üçüncü taraf Kimlik Sağlayıcısına güvenebilir** ve üçüncü taraf platform, kullanıcıların bir rolü veya diğerini üstlenmesine izin verecektir.
@@ -283,7 +283,7 @@ Bu nedenle, **`AwsSSOInlinePolicy`** adlı bir satır içi politikaya sahip 2 ro ### Hesaplar Arası Güvenler ve Roller -**Bir kullanıcı** (güvenen), bazı politikalarla bir Hesaplar Arası Rol oluşturabilir ve ardından **başka bir kullanıcının** (güvenilen) **kendi hesabına erişmesine izin verebilir**, ancak yalnızca **yeni rol politikalarında belirtilen erişimle**. Bunu oluşturmak için, yeni bir Rol oluşturun ve Hesaplar Arası Rolü seçin. Hesaplar Arası Erişim için roller iki seçenek sunar. Sahip olduğunuz AWS hesapları arasında erişim sağlamak ve sahip olduğunuz bir hesap ile üçüncü taraf bir AWS hesabı arasında erişim sağlamak.\ +**Bir kullanıcı** (güvenen), bazı politikalarla bir Hesaplar Arası Rol oluşturabilir ve ardından **başka bir kullanıcıya** (güvenilen) **hesabına erişmesine izin verebilir**, ancak yalnızca **yeni rol politikalarında belirtilen erişimle**. Bunu oluşturmak için, yeni bir Rol oluşturun ve Hesaplar Arası Rolü seçin. Hesaplar Arası Erişim için roller iki seçenek sunar. Sahip olduğunuz AWS hesapları arasında erişim sağlamak ve sahip olduğunuz bir hesap ile üçüncü taraf bir AWS hesabı arasında erişim sağlamak.\ **Güvenilen kullanıcıyı belirtmek ve genel bir şey koymamak** önerilir; aksi takdirde, federasyon kullanıcıları gibi diğer kimlik doğrulama yapılmış kullanıcılar da bu güveni kötüye kullanabilir. ### AWS Basit AD @@ -293,7 +293,7 @@ Desteklenmiyor: - Güven İlişkileri - AD Yönetim Merkezi - Tam PS API desteği -- AD Geri Dönüşüm Kutusu +- AD Geri Dönüş Kutusu - Grup Yönetilen Hizmet Hesapları - Şema Uzantıları - OS veya Örnekler için Doğrudan erişim yok @@ -305,7 +305,7 @@ Uygulama, geçici kimlik bilgileri oluşturmak için AssumeRoleWithWebIdentity k ### Diğer IAM seçenekleri - **Şifre politikası ayarlarını** minimum uzunluk ve şifre gereksinimleri gibi seçeneklerle **ayarlayabilirsiniz**. -- Mevcut kimlik bilgileri hakkında bilgi içeren bir **"Kimlik Bilgisi Raporu"** **indirebilirsiniz** (kullanıcı oluşturma zamanı, şifrenin etkin olup olmadığı gibi...). Bir kimlik bilgisi raporu, her **dört saatte bir** kadar sık bir şekilde oluşturulabilir. +- Mevcut kimlik bilgileri hakkında bilgi içeren bir **"Kimlik Bilgisi Raporu"** **indirebilirsiniz** (kullanıcı oluşturma zamanı, şifrenin etkin olup olmadığı gibi...). Bir kimlik bilgisi raporu, her **dört saatte bir** kadar sık oluşturulabilir. AWS Kimlik ve Erişim Yönetimi (IAM), AWS genelinde **ince ayrıntılı erişim kontrolü** sağlar. IAM ile, **kimin hangi hizmetlere ve kaynaklara erişebileceğini** ve hangi koşullar altında erişebileceğini belirtebilirsiniz. IAM politikaları ile, iş gücünüze ve sistemlerinize **en az ayrıcalık izinlerini** sağlamak için izinleri yönetirsiniz. @@ -323,7 +323,7 @@ AWS Kimlik ve Erişim Yönetimi (IAM), AWS genelinde **ince ayrıntılı erişim | AIPA | Amazon EC2 örnek profili | | AKIA | Erişim anahtarı | | ANPA | Yönetilen politika | -| ANVA | Yönetilen politikadaki sürüm | +| ANVA | Yönetilen politikada sürüm | | APKA | Genel anahtar | | AROA | Rol | | ASCA | Sertifika | @@ -347,7 +347,7 @@ Aşağıdaki ayrıcalıklar, çeşitli meta verilerin okunmasına izin verir: ### CLI Kimlik Doğrulaması Bir normal kullanıcının CLI aracılığıyla AWS'ye kimlik doğrulaması yapabilmesi için **yerel kimlik bilgilerine** sahip olması gerekir. Varsayılan olarak, bunları `~/.aws/credentials` dosyasında **manuel olarak** yapılandırabilir veya **çalıştırarak** `aws configure` yapabilirsiniz.\ -O dosyada birden fazla profil bulundurabilirsiniz; eğer **hiçbir profil** belirtilmezse, **aws cli** kullanarak, o dosyadaki **`[default]`** adlı profil kullanılacaktır.\ +O dosyada birden fazla profil bulundurabilirsiniz; eğer **hiçbir profil** belirtilmemişse, **aws cli** kullanarak o dosyadaki **`[default]`** adlı profil kullanılacaktır.\ Birden fazla profil içeren kimlik bilgisi dosyası örneği: ``` [default] @@ -361,7 +361,7 @@ region = eu-west-2 ``` Eğer **farklı AWS hesaplarına** erişmeniz gerekiyorsa ve profilinize **bu hesaplar içinde bir rol üstlenme** yetkisi verildiyse, her seferinde STS'yi manuel olarak çağırmanıza gerek yoktur (`aws sts assume-role --role-arn --role-session-name sessname`) ve kimlik bilgilerini yapılandırmanıza gerek yoktur. -`~/.aws/config` dosyasını kullanarak [**üstlenilecek rolleri belirtmek**](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html) mümkündür ve ardından `--profile` parametresini her zamanki gibi kullanabilirsiniz (rol üstlenme işlemi kullanıcı için şeffaf bir şekilde gerçekleştirilecektir).\ +`~/.aws/config` dosyasını kullanarak [**üstlenilecek rolleri belirtmek**](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html) ve ardından `--profile` parametresini her zamanki gibi kullanabilirsiniz (rol üstlenme, kullanıcı için şeffaf bir şekilde gerçekleştirilecektir).\ Bir yapılandırma dosyası örneği: ``` [profile acc2] diff --git a/src/pentesting-cloud/azure-security/az-services/az-sql.md b/src/pentesting-cloud/azure-security/az-services/az-sql.md index 80f4468f5..319696d71 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-sql.md +++ b/src/pentesting-cloud/azure-security/az-services/az-sql.md @@ -24,7 +24,7 @@ Azure SQL, dört ana teklifi içerir: **Kimlik Doğrulama Yöntemleri:** -- Microsoft **Entra-sadece** kimlik doğrulaması: Hizmete erişimi olacak Entra ilkelerini belirtmeniz gerekir. +- Microsoft **Entra-only** kimlik doğrulaması: Hizmete erişimi olacak Entra ilkelerini belirtmeniz gerekir. - **Hem SQL hem de Microsoft Entra** kimlik doğrulaması: Kullanıcı adı ve şifre ile birlikte geleneksel SQL kimlik doğrulaması. - **Sadece SQL** kimlik doğrulaması: Erişimi yalnızca veritabanı kullanıcıları aracılığıyla sağlamak. @@ -33,14 +33,14 @@ Herhangi bir SQL kimlik doğrulamasına izin verilirse, bir yönetici kullanıc **Şifreleme:** - “Şeffaf veri şifrelemesi” olarak adlandırılır ve veritabanlarını, yedeklemeleri ve dinlenme halindeki günlükleri şifreler. -- Her zamanki gibi, varsayılan olarak bir Azure yönetilen anahtar kullanılır, ancak bir müşteri yönetilen şifreleme anahtarı (CMEK) da kullanılabilir. +- Her zamanki gibi, varsayılan olarak bir Azure yönetilen anahtar kullanılır, ancak bir müşteri yönetilen şifreleme anahtarı (CMEK) de kullanılabilir. **Yönetilen Kimlikler:** -- Sistem ve kullanıcı yönetilen MI'lerin atanması mümkündür. +- Sistem ve kullanıcı yönetilen MI'ler atamak mümkündür. - Şifreleme anahtarına (CMEK kullanılıyorsa) ve veritabanlarından diğer hizmetlere erişmek için kullanılır. - Veritabanından erişilebilecek Azure hizmetlerinin bazı örnekleri için [bu belge sayfasına](https://learn.microsoft.com/en-us/sql/t-sql/statements/create-external-data-source-transact-sql) bakın. -- Birden fazla UMI atanmışsa, kullanılacak varsayılan olanı belirtmek mümkündür. -- Çapraz kiracı erişimi için bir federasyonlu istemci kimliği yapılandırmak mümkündür. +- Birden fazla UMI atandığında, kullanılacak varsayılan olanı belirtmek mümkündür. +- Çapraz kiracı erişimi için bir federasyon istemci kimliği yapılandırmak mümkündür. Bir SQL veritabanından bir blob depolama içindeki bilgilere erişmek için bazı komutlar: ```sql @@ -97,27 +97,27 @@ Bir SQL veritabanı oluşturmak için, barındırılacağı SQL sunucusunu belir - **Veri yedekliliği:** Seçenekler yerel, bölge, Coğrafi veya Coğrafi-Bölge yedekli. - **Defter:** Verilerin bütünlüğünü kriptografik olarak doğrular, herhangi bir müdahalenin tespit edilmesini sağlar. Finansal, tıbbi ve hassas verileri yöneten herhangi bir organizasyon için faydalıdır. -Bir SQL veritabanı, **esnek Havuz**'un bir parçası olabilir. Esnek havuzlar, birden fazla veritabanını yönetmek için yapılandırılabilir hesaplama (eDTUs) ve depolama kaynaklarını paylaşarak maliyet etkin bir çözüm sunar; fiyatlandırma yalnızca tahsis edilen kaynaklara dayanır, veritabanı sayısına değil. +Bir SQL veritabanı, **esnek Havuz**'un bir parçası olabilir. Esnek havuzlar, yapılandırılabilir hesaplama (eDTUs) ve depolama kaynaklarını paylaşarak birden fazla veritabanını yönetmek için maliyet etkin bir çözümdür; fiyatlandırma yalnızca tahsis edilen kaynaklara dayanmaktadır, veritabanı sayısına değil. -#### Azure SQL Sütun Seviyesi Güvenliği (Maskeleme) & Satır Seviyesi Güvenliği +#### Azure SQL Sütun Seviyesi Güvenlik (Maskeleme) & Satır Seviyesi Güvenlik -**Azure SQL'in dinamik** veri maskelemesi, **hassas bilgileri yetkisiz kullanıcılardan gizleyerek korumaya yardımcı olan** bir özelliktir. Gerçek verileri değiştirmek yerine, görüntülenen verileri dinamik olarak maskeleyerek, kredi kartı numaraları gibi hassas ayrıntıların gizli kalmasını sağlar. +**Azure SQL'in dinamik** veri maskeleme özelliği, **hassas bilgileri yetkisiz kullanıcılardan gizleyerek korumaya yardımcı olur**. Gerçek verileri değiştirmek yerine, görüntülenen verileri dinamik olarak maskeleyerek, kredi kartı numaraları gibi hassas ayrıntıların gizli kalmasını sağlar. -**Dinamik Veri Maskelemesi**, maskelemeyen (bu kullanıcılar belirtilmelidir) ve yöneticiler dışındaki tüm kullanıcıları etkiler. Dinamik veri maskelemesinden muaf olan SQL kullanıcılarını belirten bir yapılandırma seçeneği vardır; **yöneticiler her zaman hariçtir**. +**Dinamik Veri Maskeleme**, maskelemeyen (bu kullanıcılar belirtilmelidir) ve yöneticiler dışındaki tüm kullanıcıları etkiler. Dinamik veri maskelemeden muaf olan SQL kullanıcılarını belirten bir yapılandırma seçeneği vardır; **yöneticiler her zaman hariçtir**. -**Azure SQL Satır Seviyesi Güvenliği (RLS)**, **bir kullanıcının hangi satırları görüntüleyebileceğini veya değiştirebileceğini kontrol eden** bir özelliktir; her kullanıcının yalnızca kendileriyle ilgili verileri görmesini sağlar. Filtre veya engelleme yargıları ile güvenlik politikaları oluşturarak, organizasyonlar veritabanı düzeyinde ince ayrıntılı erişimi zorlayabilirler. +**Azure SQL Satır Seviyesi Güvenlik (RLS)**, bir kullanıcının hangi satırları görüntüleyebileceğini veya değiştirebileceğini **kontrol eden** bir özelliktir; her kullanıcının yalnızca kendileriyle ilgili verileri görmesini sağlar. Filtre veya engelleme yargıları ile güvenlik politikaları oluşturarak, organizasyonlar veritabanı düzeyinde ince ayar erişim uygulayabilirler. -### Azure SQL Yönetilen Örneği +### Azure SQL Yönetilen Örnek -**Azure SQL Yönetilen Örnekleri**, daha büyük ölçekli, tüm SQL Server örneği kapsamındaki dağıtımlar içindir. En son SQL Server yerel (Enterprise Edition) Veritabanı Motoru ile neredeyse %100 uyumluluk sağlar; bu, yaygın güvenlik endişelerini ele alan yerel sanal ağ (VNet) uygulaması sunar ve yerel SQL Server müşterileri için uygun bir iş modeli sağlar. +**Azure SQL Yönetilen Örnekler**, daha büyük ölçekli, tüm SQL Server örneği kapsamındaki dağıtımlar içindir. En son SQL Server yerel (Enterprise Edition) Veritabanı Motoru ile neredeyse %100 uyumluluk sağlar; bu, yaygın güvenlik endişelerini ele alan yerel sanal ağ (VNet) uygulaması sunar ve yerel SQL Server müşterileri için uygun bir iş modeli sağlar. ### Azure SQL Sanal Makineleri **Azure SQL Sanal Makineleri**, **işletim sistemini** ve SQL Server örneğini kontrol etme imkanı sunar; çünkü bir VM, SQL sunucusunu çalıştıran VM hizmetinde oluşturulacaktır. Bir SQL Sanal Makinesi oluşturulduğunda, SQL sunucusunu barındıracak VM'nin **tüm ayarlarını seçmek mümkündür** (VM dersinde gösterildiği gibi). -- Bu, VM'nin bazı VNet'lere erişeceği, **Yönetilen Kimliklerin eklenmiş olabileceği**, dosya paylaşımlarının bağlanabileceği anlamına gelir... bu da SQL'den VM'ye geçişi oldukça ilginç hale getirir. -- Ayrıca, SQL'nin belirli bir anahtar kasasına erişmesine **izin vermek için** bir uygulama kimliği ve sırrı yapılandırmak mümkündür; bu, hassas bilgileri içerebilir. +- Bu, VM'nin bazı VNet'lere erişeceği, **Yönetilen Kimliklerin eklenmiş olabileceği**, dosya paylaşımlarının bağlanabileceği anlamına gelir... bu da SQL'den VM'ye **geçişi** oldukça ilginç hale getirir. +- Ayrıca, SQL'in belirli bir anahtar kasasına erişmesine **izin vermek için** bir uygulama kimliği ve sırrı yapılandırmak mümkündür; bu, hassas bilgileri içerebilir. Ayrıca, **otomatik SQL güncellemeleri**, **otomatik yedeklemeler**, **Entra ID kimlik doğrulaması** ve diğer SQL hizmetlerinin çoğu özelliği gibi şeyleri yapılandırmak da mümkündür. @@ -258,7 +258,7 @@ Get-AzSqlVM {{#endtab}} {{#endtabs}} -Ayrıca, veritabanındaki Dinamik Veri Maskeleme ve Satır Düzeyi politikalarını listelemek istiyorsanız, sorgulayabilirsiniz: +Ayrıca, veritabanındaki Dinamik Veri Maskesi ve Satır Düzeyi politikalarını listelemek istiyorsanız, sorgulayabilirsiniz: ```sql --Enumerates the masked columns SELECT @@ -321,7 +321,7 @@ sqlcmd -S .database.windows.net -U -P