Peta dunia

 

EN

Dunia A2: Kunci & Pengawal

Role untuk servis

Anda akan belajar: cara server atau servis pinjam role, supaya tiada kunci disimpan di dalamnya.

Teks BM belum disemak oleh penutur asli.

Disemak dengan AWS 2026-11 pada 1 Nov 2026

Masalahnya

Server web Kedai Kancil mesti baca bucket menu. Macam mana server itu patut dapat kuncinya?

Tengok

Role untuk servis ialah service role: Role yang dipinjam servis AWS untuk buat kerja bagi pihak anda, seperti server membaca menu.. Susun langkah-langkahnya.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Aplikasi minta kunci jangka pendek dari server
  • Buat role yang servis EC2 boleh pinjam
  • Kunci itu diperbaharui sendiri
  • Pasang role itu pada server
  • Beri role itu polisi kebenaran yang kecil

Tengok

Setiap role ada dua nota. trust policy: Nota pada role yang kata siapa boleh pinjam: satu servis, pengguna, atau GitHub Actions. kata siapa boleh pinjam. Polisi kebenaran kata apa yang ia buka. Susun mereka.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

      Cuba

      Pasang polisi menu-reader pada role kedai-web. Bina arahannya.

      Ketik kepingan ikut turutan yang betul.

      …

      Tengok

      bash
      aws iam list-attached-role-policies --role-name SecurityAuditRole
      {
      "AttachedPolicies": [
      {
      "PolicyName": "SecurityAudit",
      "PolicyArn": "arn:aws:iam::aws:policy/SecurityAudit"
      }
      ],
      "IsTruncated": false
      }

      Tanya role apa yang ia pegang. Yang ini pegang satu polisi AWS, SecurityAudit. Semak selepas setiap perubahan.

      Teka

      Server itu, memakai rolenya, cuba ubah menu. Ramalkan.

      Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

      Permintaan

      Siapa
      server kedai-web (sesi role)arn:aws:sts::111122223333:assumed-role/kedai-web/i-0123456789abcdef0
      Mahu buat
      s3:PutObject
      Pada
      arn:aws:s3:::kedai-menu/today.json
      Identity policy (gugusan kunci) · menu-reader
      {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::kedai-menu/*"
      }
      ]
      }
      Tekaan anda:

      Anda berjaya!

      Kini anda boleh beri server satu role, bukan kunci yang disimpan.

      Nak tahu lebih (pilihan)

      Di EC2, role dibawa dalam “instance profile”. Kebanyakan AWS SDK dan CLI jumpa kunci role itu sendiri. Ada servis yang buat service-linked role sendiri.

      Latihan sebenar: hanya bila penggera bajet sudah dipasang. Buat satu role, pasang polisi, kemudian senaraikan. Padam kedua-duanya bila siap (aws iam detach-role-policy, kemudian aws iam delete-role).