Bỏ qua tới nội dung
CloudDojo
SAA-C03 Lớp 2 · Security & Identity IAM + Organizations
  1. Phân tích phạm vi quyền của một policyWorking out the permissions a policy grants
  2. Policy evaluation logic: các loại policy tham gia đánh giá requestPolicy evaluation logic: the policy types that evaluate a request
  3. IAM role cho ứng dụng thay cho access keyIAM roles for applications instead of access keys
  4. Quản lý nhiều AWS account bằng AWS OrganizationsManaging multiple AWS accounts with AWS Organizations
  5. Quản lý truy cập tập trung cho nhân sự bằng IAM Identity CenterCentralized workforce access with IAM Identity Center
  6. Security best practices cho AWS accountSecurity best practices for an AWS account
  7. Phân biệt nhanh: các công cụ IAM dễ nhầm lẫnQuick comparison: IAM tools that are easy to confuse
  8. Phân loại chức năng theo loại policySort the functions by policy type
Bài tập · 2 phút

Phân loại chức năng theo loại policy

Phân loại từng chức năng vào loại policy tương ứng. Trên thiết bị di động: chọn thẻ, sau đó chọn ô đích.

Giới hạn cả root của member account
Không ảnh hưởng service-linked role
Chặn thay đổi CloudTrail tại mọi account dev
Chặn developer tự gắn AdministratorAccess
Gắn cho từng IAM user hoặc role
Bucket policy cấp quyền đọc cho account khác
Trust policy của IAM role
SCPGiới hạn tối đa cho toàn bộ account
Permissions boundaryGiới hạn tối đa cho một user/role
Resource policyGắn vào tài nguyên

Câu hỏi kiểm tra

Với vai trò người thiết kế hệ thống MFTECH, chọn phương án phù hợp.

1. Ứng dụng của MFTECH trên EC2 instance cần đọc ảnh trên S3 và đơn hàng trên DynamoDB. Phương án cấp quyền nào an toàn nhất?
2. Một policy cho phép ec2:RunInstances với điều kiện aws:RequestedRegion = eu-west-1. Developer của MFTECH đang ở Việt Nam. Nhận định nào đúng?
3. IAM policy của một developer cho phép xóa log group, nhưng SCP của account dev không cho phép thao tác này. Kết quả là gì?
4. MFTECH cho phép developer tự gắn managed policy khi cần, nhưng developer không được tự nâng quyền lên admin. Cơ chế nào đáp ứng yêu cầu?
5. Một công ty con của MFTECH quản lý nhân sự trên Okta và có 8 account trong Organizations. Phương án nào cấp quyền theo nhóm với ít công vận hành nhất?
Exercise · 2 phút

Sort the functions by policy type

Sort each function into the matching policy type. On a mobile device: select a card, then select the target box.

Restricts even the root user of a member account
Does not affect service-linked roles
Blocks CloudTrail changes in every dev account
Stops developers attaching AdministratorAccess to themselves
Set on an individual IAM user or role
Bucket policy granting read access to another account
Trust policy of an IAM role
SCPMaximum for a whole account
Permissions boundaryMaximum for one user/role
Resource policyAttached to a resource

Câu hỏi kiểm tra

Với vai trò người thiết kế hệ thống MFTECH, chọn phương án phù hợp.

1. MFTECH's application on an EC2 instance needs to read images on S3 and orders in DynamoDB. Which way of granting permissions is the most secure?
2. A policy allows ec2:RunInstances with the condition aws:RequestedRegion = eu-west-1. A MFTECH developer is in Vietnam. Which statement is correct?
3. A developer's IAM policy allows deleting log groups, but the dev account's SCP does not allow this action. What is the result?
4. MFTECH lets developers attach managed policies themselves when needed, but developers must not be able to escalate themselves to admin. Which mechanism meets the requirement?
5. A MFTECH subsidiary manages its staff in Okta and has 8 accounts in Organizations. Which option grants group-based access with the least operational effort?