Peta dunia

 

EN

Dunia A2: Kunci & Pengawal

Keistimewaan minimum

Anda akan belajar: beri kunci yang kerja itu perlu sahaja, dan cara kecilkan kunci yang terlalu besar.

Teks BM belum disemak oleh penutur asli.

Disemak dengan AWS 2026-11 pada 1 Nov 2026

Masalahnya

Tukang cuci datang waktu malam untuk kemas stor. Kunci mana yang anda beri?

Tengok

Idea itu ialah keistimewaan minimum (least privilege) (least privilege): Beri kunci yang kerja itu perlu sahaja: tindakan ini, pada benda ini. Tiada lebih.: tindakan ini, pada benda ini, tiada lebih. Padan dengan idea itu, atau terlalu banyak?

Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

1 / 4

Robot menu boleh letak fail dalam kedai-menu sahaja.

Cuba

Robot menu tak boleh padam langsung. Kuncinya benarkan semua tindakan S3. Kecilkan baris merah jambu supaya padam dapat Deny.

Tukar baris merah jambu supaya AWS kata Deny.

Permintaan

Siapa
robot menu (pengguna IAM)arn:aws:iam::111122223333:user/menu-robot
Mahu buat
s3:DeleteObject
Pada
arn:aws:s3:::kedai-menu/today.json
Identity policy (gugusan kunci) · menu-robot
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Resource": "arn:aws:s3:::kedai-menu/*"
}
]
}

Teka

AWS sediakan managed policy siap guna, seperti ReadOnlyAccess. Adakah ia keistimewaan minimum untuk robot anda?

Semak

Kunci yang terlalu besar dikecilkan secara berperingkat. Susun ikut urutan.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Tulis apa yang kerja itu betul-betul buat
  • Semak data last accessed untuk hak yang tak diguna
  • Mula dengan polisi kecil untuk itu
  • Buang yang tak pernah diguna
  • Uji: baca sebarang ralat AccessDenied

Anda berjaya!

Kini anda boleh kecilkan polisi kepada apa yang kerja itu perlu sahaja.

Nak tahu lebih (pilihan)

IAM Access Analyzer boleh baca log aktiviti anda (CloudTrail). Ia tulis draf polisi daripada apa yang betul-betul diguna. Anggap draf itu permulaan, kemudian semak.

Latihan sebenar (percuma): dalam konsol IAM, buka tab “Last accessed” pengguna admin anda. Servis mana yang tak pernah disentuh?