نموذج المسؤولية المشتركة وحساب آمن

كان لدى المستضيف القديم لـ Lantern جواب قصير عن سؤال “من يحافظ على أمان هذا؟”: القائمون على المشروع يتولّون كل ما فوق مقبس الكهرباء. أما AWS فتقسّم المهمة. ومعرفة موضع هذا التقسيم بالضبط تخبرك بما يمكنك التوقف عن القلق بشأنه، وبما لا يمكنك أبدًا أن تُلقيه على غيرك.

أمان السحابة، والأمان داخل السحابة

تسمّي AWS هذا نموذج المسؤولية المشتركة (shared responsibility model). AWS مسؤولة عن أمان السحابة نفسها: مراكز البيانات والحراسة والعتاد والشبكة العالمية وطبقة المحاكاة الافتراضية (virtualisation) والبرمجيات التي تشغّل كل خدمة مُدارة. وأنت مسؤول عن الأمان داخل السحابة: بياناتك، ومن يستطيع الوصول إليها، وكيف تضبط كل خدمة، والكود الذي تنشره.

هذا الخط ليس ثابتًا. إنه يتحرّك بحسب مدى إدارة الخدمة.

في EC2 تحدّث أنت نظام التشغيل، تمامًا كما كان الحال على خادم Lantern القديم. في RDS تحدّث AWS محرّك قاعدة البيانات ونظام التشغيل خلال نافذة صيانة تختارها، لكن المخطّط والمستخدمين والوصول الشبكي مسؤوليتك. وفي Lambda تُبقي AWS بيئة التشغيل ونظام التشغيل محدّثين، وأنت تملك الكود وكل حزمة تضمّنها معه. الصف العلوي لا يتحرّك أبدًا: بياناتك ومن يستطيع الوصول إليها مسؤوليتك دائمًا.

أمّن الحساب بإحكام قبل أن تبني

الحساب الجديد هو أخطر لحظة، لأن الهوية الوحيدة فيه هي مستخدم الجذر ذو الصلاحيات المطلقة. إليك الإعداد الذي يستخدمه Lantern، بالترتيب.

1. اختر خطة الحساب المناسبة

عند التسجيل، تعرض AWS (في عام 2026) خطة مجانية (Free plan) وخطة مدفوعة (Paid plan). تبدأ كلتاهما بأرصدة ترويجية، وتتضمّن كلتاهما استخدامًا مجانيًا شهريًا لأكثر من ثلاثين خدمة. تضمن الخطة المجانية عدم فرض أي رسوم، لكنها تقصرك على خدمات مختارة وتغلق الحساب بعد ستة أشهر أو عند نفاد الأرصدة، ما لم ترقِّها. أما الخطة المدفوعة فتفتح كل شيء وتحاسبك على الاستخدام الذي يتجاوز الأرصدة. استخدم الخطة المجانية للتعلّم؛ أما حساب الإنتاج الخاص بـ Lantern فعلى الخطة المدفوعة، ولهذا بالضبط تهمّ الميزانية في الخطوة 4.

2. احمِ مستخدم الجذر

مستخدم الجذر هو عنوان البريد الذي سجّلت به. يستطيع تغيير بيانات الفوترة وإغلاق الحساب، ولا تستطيع سياسات IAM تقييده. تشترط AWS تفعيل MFA (المصادقة متعددة العوامل) لمستخدمي الجذر؛ سجّل passkey أو مفتاح أمان إن استطعت، لأنها تقاوم التصيّد بطريقة لا تقدر عليها الرموز المكوّنة من ستة أرقام. لا تنشئ مفاتيح وصول للجذر أبدًا. بعد الإعداد، لا تسجّل الدخول بالجذر إلا لحفنة من المهام الحصرية به، مثل تفعيل IAM user and role access to billing information في إعدادات الحساب، كي تتمكّن هوية المدير من رؤية التكاليف.

3. أنشئ مديرًا للعمل اليومي

يجري العمل اليومي بهوية منفصلة. في حساب مستقل واحد مثل أول حساب لـ Lantern، تكون هذه الهوية مستخدم IAM له وصول إلى الـ console، وكلمة مرور قوية، وMFA خاص به، وعضوية في مجموعة Admins مرفقة بها السياسة المُدارة AdministratorAccess. يشرح القسم الثاني كل كلمة من هذه الكلمات، وكيف تستخدم الفرق التي لديها عدة حسابات IAM Identity Center بدلًا من ذلك.

4. اضبط ميزانية قبل أي شيء آخر

في AWS Budgets، أنشئ ميزانية تكلفة شهرية بمبلغ يقلقك، لنقل 20 USD، مع تنبيهات بالبريد عند 80% من الإنفاق الفعلي وعند 100% من الإنفاق المتوقّع. تنبيه التوقّع مهم: إنه ينطلق مبكرًا في الشهر حين يشير الاتجاه إلى أنك ستتجاوز الحد. في الخلفية، الميزانية مستند JSON صغير:

{
  "BudgetName": "lantern-monthly",
  "BudgetLimit": { "Amount": "20", "Unit": "USD" },
  "TimeUnit": "MONTHLY",
  "BudgetType": "COST"
}

5. املأ جهات الاتصال البديلة

ضمن إعدادات الحساب، أضف جهة اتصال للأمان وجهة اتصال للفوترة. عندما ترصد AWS شيئًا مريبًا، مثل بيانات اعتماد مسرّبة، ترسل إليهما بريدًا. وفي مشروع يديره شخص واحد، تنتهي تلك الرسائل بسهولة في صندوق بريد منسي.

أصبح الحساب آمنًا للاستخدام. في الدرس التالي ستديره من الطرفية عبر AWS CLI v2، وتتحقّق من الهوية التي تستخدمها.