كان لدى المستضيف القديم لـ Lantern جواب قصير عن سؤال “من يحافظ على أمان هذا؟”: القائمون على المشروع يتولّون كل ما فوق مقبس الكهرباء. أما AWS فتقسّم المهمة. ومعرفة موضع هذا التقسيم بالضبط تخبرك بما يمكنك التوقف عن القلق بشأنه، وبما لا يمكنك أبدًا أن تُلقيه على غيرك.
\nتسمّي AWS هذا نموذج المسؤولية المشتركة (shared responsibility model). AWS مسؤولة عن أمان السحابة نفسها: مراكز البيانات والحراسة والعتاد والشبكة العالمية وطبقة المحاكاة الافتراضية (virtualisation) والبرمجيات التي تشغّل كل خدمة مُدارة. وأنت مسؤول عن الأمان داخل السحابة: بياناتك، ومن يستطيع الوصول إليها، وكيف تضبط كل خدمة، والكود الذي تنشره.
\nهذا الخط ليس ثابتًا. إنه يتحرّك بحسب مدى إدارة الخدمة.
\nفي EC2 تحدّث أنت نظام التشغيل، تمامًا كما كان الحال على خادم Lantern القديم. في RDS تحدّث AWS محرّك قاعدة البيانات ونظام التشغيل خلال نافذة صيانة تختارها، لكن المخطّط والمستخدمين والوصول الشبكي مسؤوليتك. وفي Lambda تُبقي AWS بيئة التشغيل ونظام التشغيل محدّثين، وأنت تملك الكود وكل حزمة تضمّنها معه. الصف العلوي لا يتحرّك أبدًا: بياناتك ومن يستطيع الوصول إليها مسؤوليتك دائمًا.
\nالحساب الجديد هو أخطر لحظة، لأن الهوية الوحيدة فيه هي مستخدم الجذر ذو الصلاحيات المطلقة. إليك الإعداد الذي يستخدمه Lantern، بالترتيب.
\nعند التسجيل، تعرض AWS (في عام 2026) خطة مجانية (Free plan) وخطة مدفوعة (Paid plan). تبدأ كلتاهما بأرصدة ترويجية، وتتضمّن كلتاهما استخدامًا مجانيًا شهريًا لأكثر من ثلاثين خدمة. تضمن الخطة المجانية عدم فرض أي رسوم، لكنها تقصرك على خدمات مختارة وتغلق الحساب بعد ستة أشهر أو عند نفاد الأرصدة، ما لم ترقِّها. أما الخطة المدفوعة فتفتح كل شيء وتحاسبك على الاستخدام الذي يتجاوز الأرصدة. استخدم الخطة المجانية للتعلّم؛ أما حساب الإنتاج الخاص بـ Lantern فعلى الخطة المدفوعة، ولهذا بالضبط تهمّ الميزانية في الخطوة 4.
\nمستخدم الجذر هو عنوان البريد الذي سجّلت به. يستطيع تغيير بيانات الفوترة وإغلاق الحساب، ولا تستطيع سياسات IAM تقييده. تشترط AWS تفعيل MFA (المصادقة متعددة العوامل) لمستخدمي الجذر؛ سجّل passkey أو مفتاح أمان إن استطعت، لأنها تقاوم التصيّد بطريقة لا تقدر عليها الرموز المكوّنة من ستة أرقام. لا تنشئ مفاتيح وصول للجذر أبدًا. بعد الإعداد، لا تسجّل الدخول بالجذر إلا لحفنة من المهام الحصرية به، مثل تفعيل IAM user and role access to billing information في إعدادات الحساب، كي تتمكّن هوية المدير من رؤية التكاليف.
\nيجري العمل اليومي بهوية منفصلة. في حساب مستقل واحد مثل أول حساب لـ Lantern، تكون هذه الهوية مستخدم IAM له وصول إلى الـ console، وكلمة مرور قوية، وMFA خاص به، وعضوية في مجموعة Admins مرفقة بها السياسة المُدارة AdministratorAccess. يشرح القسم الثاني كل كلمة من هذه الكلمات، وكيف تستخدم الفرق التي لديها عدة حسابات IAM Identity Center بدلًا من ذلك.
في AWS Budgets، أنشئ ميزانية تكلفة شهرية بمبلغ يقلقك، لنقل 20 USD، مع تنبيهات بالبريد عند 80% من الإنفاق الفعلي وعند 100% من الإنفاق المتوقّع. تنبيه التوقّع مهم: إنه ينطلق مبكرًا في الشهر حين يشير الاتجاه إلى أنك ستتجاوز الحد. في الخلفية، الميزانية مستند JSON صغير:
\n{\n \"BudgetName\": \"lantern-monthly\",\n \"BudgetLimit\": { \"Amount\": \"20\", \"Unit\": \"USD\" },\n \"TimeUnit\": \"MONTHLY\",\n \"BudgetType\": \"COST\"\n}ضمن إعدادات الحساب، أضف جهة اتصال للأمان وجهة اتصال للفوترة. عندما ترصد AWS شيئًا مريبًا، مثل بيانات اعتماد مسرّبة، ترسل إليهما بريدًا. وفي مشروع يديره شخص واحد، تنتهي تلك الرسائل بسهولة في صندوق بريد منسي.
\n\nأصبح الحساب آمنًا للاستخدام. في الدرس التالي ستديره من الطرفية عبر AWS CLI v2، وتتحقّق من الهوية التي تستخدمها.
\n","toc":[{"id":"sec-1","text":"أمان السحابة، والأمان داخل السحابة","level":2},{"id":"sec-2","text":"أمّن الحساب بإحكام قبل أن تبني","level":2},{"id":"sec-3","text":"1. اختر خطة الحساب المناسبة","level":3},{"id":"sec-4","text":"2. احمِ مستخدم الجذر","level":3},{"id":"sec-5","text":"3. أنشئ مديرًا للعمل اليومي","level":3},{"id":"sec-6","text":"4. اضبط ميزانية قبل أي شيء آخر","level":3},{"id":"sec-7","text":"5. املأ جهات الاتصال البديلة","level":3}],"takeaways":["AWS مسؤولة عن أمان السحابة نفسها (المباني والعتاد والشبكة وبرمجيات الخدمات)؛ وأنت مسؤول عن الأمان داخل السحابة (البيانات والوصول والإعدادات والكود).","كلما كانت الخدمة أكثر إدارةً، زاد ما تحدّثه AWS من طبقات، لكن بياناتك وصلاحياتك والكود الخاص بك تبقى دائمًا مسؤوليتك.","يستطيع مستخدم الجذر (root user) فعل أي شيء، بما في ذلك إغلاق الحساب، لذا امنحه passkey أو مفتاح أمان، ولا تنشئ له مفاتيح وصول أبدًا، ولا تستخدمه إلا للمهام الحصرية بالجذر.","أنجز عملك اليومي بهوية مدير منفصلة لها MFA خاص بها، لا بمستخدم الجذر.","ينبّهك تنبيه AWS Budgets قبل أن تفاجئك الفاتورة، لكنه لا يوقف الإنفاق من تلقاء نفسه."],"further":[{"title":"Shared Responsibility Model","url":"https://aws.amazon.com/compliance/shared-responsibility-model/"},{"title":"Root user best practices for your AWS account","url":"https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html"},{"title":"Choosing a Free Tier account plan","url":"https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/free-tier-plans.html"},{"title":"Managing your costs with AWS Budgets","url":"https://docs.aws.amazon.com/cost-management/latest/userguide/budgets-managing-costs.html"}],"quiz":[{"q":"يعمل الـ API الخاص بـ Lantern على AWS Lambda. وصل تحذير أمني بشأن حزمة npm مضمّنة في الدالة. من يحدّثها؟
","options":[{"text":"AWS، لأن Lambda خدمة مُدارة وتطبّق تحديثات بيئة التشغيل.","why":"تحدّث AWS بيئة التشغيل المُدارة (Node.js نفسه ونظام التشغيل تحته). أما الاعتماديات التي تضمّنها فهي جزء من الكود الخاص بك."},{"text":"فريق Lantern، لأن الحزم المضمّنة مع كود الدالة جزء من كود العميل.","why":"صحيح. وفق نموذج المسؤولية المشتركة، الكود الخاص بك واعتمادياته مسؤوليتك دائمًا، في كل خدمة."},{"text":"لا أحد يحتاج إلى ذلك، لأن دوال Lambda تعمل في بيئات معزولة.","why":"العزل يحدّ من نطاق الضرر بين العملاء. لكنه لا يمنع استغلال مكتبة مصابة بثغرة عبر الـ API الخاص بك."}],"answer":1},{"q":"أيّ مهمة يجب أن تنفّذها وأنت مسجّل الدخول بمستخدم الجذر؟
","options":[{"text":"إنشاء الـ bucket الخاص بـ Lantern في S3، لأن مستخدم الجذر يملك الحساب.","why":"أي هوية مدير تستطيع إنشاء buckets. واستخدام الجذر في العمل اليومي يعرّض أقوى بيانات اعتماد دون أي مكسب."},{"text":"إنشاء مفاتيح وصول للجذر لتتمكّن السكربتات من إدارة الحساب.","why":"مفاتيح وصول الجذر أسوأ بيانات اعتماد يمكن أن تتسرّب، لأن لا شيء يستطيع تقييدها. توصي AWS بعدم إنشائها أبدًا."},{"text":"تفعيل وصول مستخدمي IAM والـ roles إلى معلومات الفوترة كي يرى مستخدمك المدير التكاليف.","why":"صحيح. هذا الإعداد من إعدادات الحساب من المهام القليلة التي لا ينفّذها إلا مستخدم الجذر."},{"text":"نشر دوال Lambda، لأن الجذر يتجنّب أخطاء الصلاحيات.","why":"تجنّب أخطاء الصلاحيات باستخدام وصول غير محدود يخفي مشكلات التصميم ويضخّم كل خطأ."}],"answer":2},{"q":"لدى Lantern ميزانية تكلفة شهرية في AWS Budgets قدرها 20 USD مع تنبيه بالبريد عند 100%. تسبّبت instance منسيّة في رفع الإنفاق إلى 35 USD. ماذا يحدث؟
","options":[{"text":"توقف AWS الـ instance عندما يبلغ الإنفاق 20 USD.","why":"الميزانية العادية تكتفي بالتنبيه. إيقاف الموارد يحتاج إلى إجراء ميزانية (budget action) أو أتمتة تضبطها بشكل منفصل."},{"text":"يُعلَّق الحساب حتى ترفع الميزانية.","why":"الميزانيات لا تعلّق الحساب أبدًا. إنها أداة مراقبة، لا سقف للإنفاق."},{"text":"تصلك رسالة بريد عندما يتجاوز الإنفاق 20 USD، وتظل الـ instance تعمل وتكلّف مالًا حتى يتصرّف أحد.","why":"صحيح. التنبيه يمنحك وقتًا للتصرّف. لكن يظل على أحدٍ أن يقرأه ويحذف المورد."}],"answer":2}],"exercise":{"kind":"choice","multiple":true,"options":["ec2-os","disk-swap","sg-port","lambda-runtime","bucket-policy","rds-engine-hw"],"correct":["ec2-os","sg-port","bucket-policy"],"title":"مسؤولية من؟","prompt":"خلال عملية النقل، يشغّل Lantern عاملًا (worker) على Amazon EC2، وقاعدة بيانات الفعاليات على Amazon RDS، والـ API الخاص بتأكيد الحضور على AWS Lambda، والملصقات في Amazon S3. اختر كل مهمة تقع على فريق Lantern وفق نموذج المسؤولية المشتركة.
\n","hints":["تخيّل الطبقات في الشكل المرفق بالدرس. أيّ الطبقات بنفسجية (مسؤوليتك) في كل خدمة؟","العتاد المادي ليس مسؤوليتك أبدًا. أما من يستطيع الوصول إلى بياناتك فمسؤوليتك دائمًا.","ثلاث مهام تقع على Lantern: واحدة تخص نظام تشغيل، واثنتان تخصان الوصول."],"explanation":"في EC2 تملك نظام التشغيل الضيف، فتثبيت التحديثات الأمنية عليه مهمة Lantern. وقواعد الوصول الشبكي، مثل العناوين التي تستطيع الوصول إلى منفذ قاعدة البيانات، هي إعدادات، وبالتالي مسؤوليتك في كل خدمة. ومن يحق له قراءة الـ bucket الخاص بالملصقات إعداد أيضًا، فسياسة الـ bucket مسؤوليتك. أما AWS فتستبدل الأقراص المادية المعطوبة، وتُبقي بيئة تشغيل Lambda المُدارة محدّثة، وتشغّل العتاد الذي تقوم عليه RDS.
\n","checkLabels":{},"optionText":{"ec2-os":{"text":"تثبيت التحديثات الأمنية على نظام تشغيل Linux في الـ instance الخاصة بـ EC2.","why":"مسؤوليتك. في EC2 يقع نظام التشغيل الضيف فوق الخط؛ ولا تشغّل AWS سوى العتاد والـ hypervisor تحته."},"disk-swap":{"text":"استبدال قرص مادي معطوب في مركز البيانات الذي يستضيف قاعدة بيانات RDS.","why":"مسؤولية AWS. العتاد المادي والمنشآت من أمان السحابة نفسها دائمًا. لن تلمس قرصًا في مركز بيانات أبدًا."},"sg-port":{"text":"التأكّد من أن منفذ قاعدة البيانات لا يقبل الاتصالات إلا من تطبيق Lantern، لا من الإنترنت كله.","why":"مسؤوليتك. الوصول الشبكي إعداد تتحكّم فيه عبر مجموعات الأمان (security groups)، ويغطّيها القسم الثالث."},"lambda-runtime":{"text":"تحديث بيئة تشغيل Node.js التي تعمل عليها دالة Lambda.","why":"مسؤولية AWS، في بيئات التشغيل المُدارة مع التحديثات التلقائية الافتراضية. أما حزم npm التي تضمّنها فتبقى مسؤوليتك."},"bucket-policy":{"text":"تحديد من يُسمح له بقراءة الكائنات في الـ bucket الخاص بالملصقات.","why":"مسؤوليتك. تمنحك AWS إعدادات افتراضية آمنة مثل Block Public Access، لكن كل قرار وصول إلى بياناتك مسؤوليتك."},"rds-engine-hw":{"text":"إبقاء الخوادم التي تقوم عليها قاعدة بيانات RDS مزوّدة بالكهرباء والتبريد.","why":"مسؤولية AWS. الكهرباء والتبريد والأمن المادي أوضح أمثلة على أمان السحابة نفسها."}}},"words":641,"readMinutes":4}