Peta dunia

 

EN

Dunia A2: Kunci & Pengawal

Cara AWS buat keputusan: deny menang

Anda akan belajar: tiga peraturan AWS untuk kata ya atau tidak, dan kenapa Deny sentiasa menang.

Teks BM belum disemak oleh penutur asli.

Disemak dengan AWS 2026-11 pada 1 Nov 2026

Masalahnya

Aina ada kunci yang benarkan simpan menu. Polisi lain kata tidak untuk sambungan biasa yang tak disulitkan. Muat naiknya guna sambungan itu. Ramalkan.

Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

Permintaan

Siapa
Aina (pengguna IAM)arn:aws:iam::111122223333:user/aina
Mahu buat
s3:PutObject
Pada
arn:aws:s3:::kedai-menu/today.json
Fakta permintaan
aws:SecureTransport = false
Identity policy (gugusan kunci) · menu-writer
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::kedai-menu/*"
}
]
}
Identity policy (gugusan kunci) · tls-only
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "s3:*",
"Resource": "*",
"Condition": { "Bool": { "aws:SecureTransport": "false" } }
}
]
}
Tekaan anda:

Tengok

AWS ikut tiga peraturan. Deny bertulis yang padan sentiasa menang: explicit deny: Deny bertulis yang padan dengan permintaan. Ia kalahkan setiap Allow, sentiasa.. Jika tiada, Allow yang padan menang. Jika tiada juga, jawapannya tidak. Susun kes-kes ini.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

      Cuba

      Aina cuba padam fail menu. Satu-satunya polisinya benarkan simpan. Ramalkan.

      Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

      Permintaan

      Siapa
      Aina (pengguna IAM)arn:aws:iam::111122223333:user/aina
      Mahu buat
      s3:DeleteObject
      Pada
      arn:aws:s3:::kedai-menu/today.json
      Identity policy (gugusan kunci) · menu-writer
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::kedai-menu/*"
      }
      ]
      }
      Tekaan anda:

      Teka

      Rakan sepasukan tambah polisi dengan lima puluh Allow untuk Aina. Satu polisi lama masih ada Deny yang padan. Mana menang?

      Semak

      Polisi no-deletes sepatutnya halang padam sahaja. Ia halang semua. Betulkan baris merah jambunya supaya Aina boleh simpan semula.

      Tukar baris merah jambu supaya AWS kata Allow.

      Permintaan

      Siapa
      Aina (pengguna IAM)arn:aws:iam::111122223333:user/aina
      Mahu buat
      s3:PutObject
      Pada
      arn:aws:s3:::kedai-menu/today.json
      Identity policy (gugusan kunci) · menu-writer
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::kedai-menu/*"
      }
      ]
      }
      Identity policy (gugusan kunci) · no-deletes
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Deny",
      "Resource": "*"
      }
      ]
      }

      Anda berjaya!

      Kini anda boleh ramal jawapan AWS: Deny dahulu, kemudian Allow, jika tiada, tidak.

      Nak tahu lebih (pilihan)

      Semakan penuh juga tengok pagar: SCP, resource policy dan permissions boundary. Pelajaran 8 tunjukkannya. Deny di mana-mana tetap menang.

      Latihan sebenar (percuma): dalam konsol IAM, buka policy simulator. Pilih pengguna anda, satu tindakan, dan tengok Allow atau Deny sebelum ubah apa-apa.