Peta dunia

 

EN

Dunia A2: Kunci & Pengawal

Permission boundary dan SCP

Anda akan belajar: dua pagar yang hadkan kunci, dan kenapa pagar tak pernah buka pintu sendiri.

Teks BM belum disemak oleh penutur asli.

Disemak dengan AWS 2026-11 pada 1 Nov 2026

Masalahnya

Polisi bucket laman itu sendiri kata role CI boleh muat naik. Tetapi role itu ada pagar yang benarkan ECR sahaja. Ramalkan.

Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

Permintaan

Siapa
ci-deployer (sesi role)arn:aws:sts::111122223333:assumed-role/ci-deployer/run-42
Mahu buat
s3:PutObject
Pada
arn:aws:s3:::kedai-site/index.html
Resource policy (papan tanda unit) · kedai-site
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:role/ci-deployer"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::kedai-site/*"
}
]
}
Permissions boundary (pagar) · ecr-only
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "ecr:*",
"Resource": "*"
}
]
}
Tekaan anda:

Tengok

Pagar itu ialah permissions boundary: Pagar sekeliling satu pengguna atau role. Mereka tak boleh buat lebih daripada yang dibenarkannya.: had paling tinggi untuk satu pengguna atau role. SCP (service control policy): Pagar sekeliling seluruh akaun dalam organisasi. Ia tak pernah beri kunci; ia hadkan sahaja. pula pagar sekeliling seluruh akaun. Susun fakta ini.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

      Cuba

      Pagar menghadkan. Kunci membuka. Betul, atau perlu dibaiki?

      Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

      1 / 4

      Boundary sahaja sudah benarkan role baca S3.

      Teka

      SCP organisasi anda benarkan s3:*. Aina tiada polisi IAM untuk S3. Boleh dia baca bucket menu?

      Semak

      Akaun kedai mesti kekal di Region Malaysia. Satu SCP di root menguatkuasakannya. Aina muat naik ke bucket di us-east-1. Ramalkan.

      Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

      Permintaan

      Siapa
      Aina (pengguna IAM)arn:aws:iam::111122223333:user/aina
      Mahu buat
      s3:PutObject
      Pada
      arn:aws:s3:::kedai-backup/today.json
      Fakta permintaan
      aws:RequestedRegion = us-east-1
      Identity policy (gugusan kunci) · menu-writer
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::kedai-*"
      }
      ]
      }
      SCP di root (peraturan pemilik mall) · FullAWSAccess
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
      }
      ]
      }
      SCP di root (peraturan pemilik mall) · malaysia-only
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
      "StringNotEquals": {
      "aws:RequestedRegion": "ap-southeast-5"
      }
      }
      }
      ]
      }
      Tekaan anda:

      Anda berjaya!

      Kini anda boleh bezakan kunci dan pagar, dan ramal bila pagar kata tidak.

      Nak tahu lebih (pilihan)

      Di mana cerita ini tak tepat: kunci besi buka mangganya selamanya. AWS semak setiap permintaan dari awal, terhadap semua kunci dan pagar serentak. Robot pula boleh pinjam kunci untuk beberapa minit sahaja.

      SCP sebenar selalunya kecualikan servis global daripada peraturan Region. Baca contoh SCP dalam panduan Organizations sebelum menulisnya.