اختبار الوحدة: الهوية والأمان

السؤال 1 من 5

{
  "Effect": "Allow",
  "Action": "s3:ListBucket",
  "Resource": "arn:aws:s3:::lantern-posters/*"
}

• يعمل s3:ListBucket على الـ bucket، لذا يجب أن يكون الـ Resource هو arn:aws:s3:::lantern-posters دون /*.
• يحتاج السرد إلى s3:GetObject أيضًا.
• تحتاج العبارة إلى عنصر Principal.
• السرد في S3 يتطلّب MFA دائمًا.

السؤال 2 من 5

• تخزين مفتاح وصول مستخدم IAM وسرّه كأسرار في المستودع.
• استخدام جلسة aws login الخاصة بمستخدم المدير من حاسوب أحد القائمين على المشروع.
• جعل الـ bucket الخاص بالموقع قابلًا للكتابة العامة كي لا يحتاج الـ workflow إلى بيانات اعتماد.
• إضافة GitHub كمزوّد هوية OpenID Connect في IAM وترك الـ workflow يتقمّص role للنشر تسمّي سياسة الثقة الخاصة به المستودعَ.

السؤال 3 من 5

{
  "Effect": "Deny",
  "Action": "ec2:*",
  "Resource": "*",
  "Condition": { "StringNotEquals": { "aws:RequestedRegion": "eu-west-1" } }
}

• ينجح، لأن الـ Allow لـ ec2:* كُتب أولًا.
• ينجح، لأن الشروط لا تنطبق إلا على عبارات Allow.
• يُرفض، لأن الـ Region في الطلب ليست eu-west-1، فتطابق عبارة الـ Deny الصريحة.
• يُرفض، لأن ec2:* ليس نمط إجراء صالحًا.

السؤال 4 من 5

• احذف الـ roles في IAM المسمّاة باسم المتطوّع في كل حساب.
• عطّل مستخدم المتطوّع في Identity Center أو احذفه، فيُزال وصوله إلى كل حساب مُسند إليه.
• دوّر مفاتيح الوصول لكل مستخدمي IAM في الحسابين.
• غيّر كلمة مرور مستخدم الجذر في الحسابين.

السؤال 5 من 5

• احذف المستودع كي لا يجد أحد آخر المفتاح.
• تحقّق من تاريخ آخر استخدام للمفتاح وقرّر بناءً عليه.
• افتح طلب دعم وانتظر أن تلغيه AWS.
• عطّل المفتاح فورًا، ثم راجع CloudTrail لمعرفة فيمَ استُخدم، واستبدله بـ role.