AWS / الأساسي: نطاق السحابة وحدودها / الدرس 2

أدوار IAM وتقييم السياسات

تتبع الفاعل والفعل والمورد والسياق عبر السياسات دون خلط الهوية بالإذن الفعال.

وقت القراءة التقريبي: 3 دقيقةتاريخ مراجعة المحتوى 2026-10-25

في هذه الصفحة

أهداف الدرس

اشرح افتراضات ومسؤوليات ومفاضلات موضوع «أدوار IAM وتقييم السياسات».
فسر المثالين وميز النية المعلنة والدليل المتحقق.
شخص الإخفاقات وعلل القرارات المشروحة دون استخدام حساب AWS أواعتماد أوخدمة حقيقية.

تحديد الفاعل والجلسة

تصف IAM الهويات والأذونات. يفترض الدور بعلاقة ثقة مصرح بها ويقدم جلسة مؤقتة، وتختلف الثقة عن الأفعال. فضّل الاتحاد أوأدوار الحمل على مفاتيح دائمة بالشيفرة. سجل الجلسة والهدف بدليل لا اسم ملف شخصي. لا تثبت المصادقة إذن الفعل وقد تقيد الفاعل طبقات لا تظهر بوثيقة واحدة.

قراءة مجموعة الطلب كاملة

يعتمد القرار على الفاعل والفعل والمورد والشروط. يمنح المثال قراءة بادئة اصطناعية بإصدار اللغة 2012-10-17 لا تاريخ النشر أوبيئة تشغيل. تختلف موارد الحاوية والكائن ولا يمنح GetObject القائمة أوفك KMS أوالثقة تلقائيا. المرجع خيالي ولا يتصل به أويربط السياسة بهوية.

json سياسة هوية IAM ضيقة توضيحية

{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"s3:GetObject","Resource":"arn:aws:s3:::course-lab-evidence-only/reports/*"}]}

المورد بادئة خيالية بالقسم التجاري ولا تمنح القائمة أو KMS أوالثقة ولا تطبق.

جمع طبقات السياسة بحذر

تهم الهوية والمورد والحد والجلسة والتنظيم والخدمة. يغلب المنع الصريح السماح المنطبق عادة، ولا يمنح حد أو SCP إذنا وحده. للتعامل بين الحسابات والجلسات تفاصيل لا تختزل لاتحاد عام. تحاكي الشيفرة سماحا ومنعا محدودين فقط؛ وافحص بالحقيقة كل طبقة وشكل الفاعل والنطاق والشروط.

python نموذج أولوية سياسة غير مؤذ

def narrow_model(allow, explicit_deny):
    return allow and not explicit_deny
print(narrow_model(True, False))
print(narrow_model(True, True))
print("not a complete AWS policy evaluator")

الناتج المتوقع

True
False
not a complete AWS policy evaluator

توضح المخرجات قاعدة منع واحدة وتغيب الشروط والمورد والحد والجلسة والتنظيم والخدمة.

تقييد الامتياز واستخدام الاعتماد

امنح المطلوب واحم التصعيد ومن يمرر أويفترض الأدوار. قد يقوض قراءة ضيقة إذن تعديل سياسة أوتشغيل حمل بدور أقوى. تعالج MFA والاتحاد والتدوير وحماية الجذر مخاطر مختلفة بإجراء خاص. لا تسجل المفاتيح والرموز وتفاصيل التوقيع لتشخيص AccessDenied؛ ابدأ بأفعال ومراجع وأخطاء وتدقيق آمن.

التحقق من السماح والمنع دون إصلاح واسع

اختبر المسموح والمحظور المجاور بعزلة مصرح بها. للمحاكي والمراجعة حدود ولا يثبتان كل خدمة وشرط. لا تجري الدورة طلب AWS أومحاكيها؛ والحساب محلي اصطناعي. احفظ السياق وافحص العقد لا تضف الإدارة اختصارا. يحافظ على أقل امتياز مع تغير المهام ولا يضمنه اسم محدود.

الأخطاء الشائعة وإصلاحها

يُعد تصريح سماح كافيا

لماذا يحدث؟: لم تراجع الموانع والضوابط.
كيف تصلحه؟: افحص الطلب وطبقاته.
كيف تتجنب تكراره؟: احفظ مصفوفة فعالة بحالات سلبية.

تختلط ثقة الدور بإذن الخدمة

لماذا يحدث؟: دمج إذن الافتراض والفعل.
كيف تصلحه؟: راجع الثقة والمستدعي والجلسة والوصول مستقلة.
كيف تتجنب تكراره؟: وثق طريق الهوية كاملا.

تصبح الإدارة إصلاح المنع

لماذا يحدث؟: تجاوز العقد بدل تشخيصه.
كيف تصلحه؟: حدد الفعل الضيق والمالك.
كيف تتجنب تكراره؟: راجع التصعيد وألغ المؤقت.

اختبر فهمك

1. تسمح السياسة GetObject للتقارير. هل تسمح قائمة الحاوية؟

اعرض الحل المشروح

لا؛ للقائمة فعل ومورد آخر، وافحص التشفير والباقي للقراءة. لا توسع لكل أفعال S3 لحاجة واحدة موثقة.

2. لماذا لا ينشئ حد الأذونات وصولا وحده؟