{"id":"l-aws-1-4","courseId":"aws-cloud-foundations","lang":"ar","kind":"lesson","summary":"ثبّت AWS CLI v2، وسجّل الدخول ببيانات اعتماد قصيرة الأمد عبر aws login، وتحقّق من هويتك بالأمر aws sts get-caller-identity، وشكّل المخرجات باستخدام --query و–output.","html":"

لديك حساب آمن وهوية مدير. النقر في أرجاء الـ console يكفي لنظرة أولى، لكن القائمين على Lantern يريدون شيئًا يستطيعون تكراره، ولصقه في دليل تشغيل (runbook)، ومراجعته في pull request. كل زر في الـ console يستدعي API من AWS، وAWS CLI v2 يتيح لك استدعاء الـ APIs نفسها من الطرفية.

\n

الـ console أم الـ CLI؟

\n

استخدم الـ console للاستكشاف، وقراءة لوحات المعلومات، والمهام التي تنفّذها مرة واحدة وتريد رؤيتها بصريًا، مثل النظرة الأولى على فاتورة. واستخدم الـ CLI لكل ما ستفعله مرتين، ولكل ما يجب أن يراجعه زميل، ولكل ما تريد التراجع عنه بدقّة. الأمر في سكربت توثيق؛ أما سلسلة النقرات فمجرد ذكرى.

\n

إذا لم تستطع تثبيت أي شيء، فإن AWS CloudShell يمنحك طرفية في المتصفّح داخل الـ console، فيها الـ CLI مثبّتًا ومسجّل الدخول بهوية الـ console الخاصة بك.

\n

التثبيت والتحقّق من الإصدار

\n

ثبّت من الحزمة الرسمية لنظامك. على Linux x86-64:

\n
Terminal
curl \"https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip\" -o \"awscliv2.zip\"\nunzip awscliv2.zip\nsudo ./aws/install\naws --version
\n

على macOS تنشر AWS مُثبِّتًا بصيغة .pkg، وعلى Windows بصيغة .msi. أيًّا كان ما تستخدمه، يجب أن يطبع aws --version العبارة aws-cli/2. متبوعة برقم الإصدار. تحتاج إلى الإصدار 2.32.0 أو أحدث لأمر تسجيل الدخول أدناه؛ وإذا كان لديك تثبيت قديم من الإصدار 1، فأزله أولًا، لأن الإصدارين يتصرّفان بشكل مختلف.

\n

سجّل الدخول دون مفاتيح وصول

\n

كانت الطريقة القديمة هي aws configure، حيث تلصق معرّف مفتاح وصول طويل الأمد وسرّه في ~/.aws/credentials. هذه المفاتيح لا تنتهي صلاحيتها أبدًا، وتتسرّب عبر النسخ الاحتياطية ولقطات الشاشة والـ commits في Git. أما اليوم فتسجّل الدخول بهوية الـ console الخاصة بك بدلًا من ذلك:

\n
Terminal
aws login --profile lantern-admin
\n

يسألك الـ CLI عن Region افتراضية في المرة الأولى (أدخل الـ Region الخاصة بـ Lantern)، ثم يفتح متصفّحك، وبعد أن تسجّل الدخول بكلمة المرور والـ MFA، يخزّن بيانات اعتماد قصيرة الأمد تتجدّد تلقائيًا لمدة تصل إلى 12 ساعة. يُضاف إلى ملف ~/.aws/config لديك profile كهذا، ولاحظ أنه لا يحتوي على أي سرّ:

\n
~/.aws/config
[profile lantern-admin]\nlogin_session = arn:aws:iam::111122223333:user/amara\nregion = eu-west-1
\n

يحتاج مستخدم IAM إلى صلاحية لاستخدام هذه الطريقة؛ والسياسة AdministratorAccess من الدرس السابق تتضمّنها بالفعل، أما للمستخدمين ذوي الصلاحيات الأضيق فتوفّر AWS السياسة المُدارة SignInLocalDevelopmentAccess. والفرق التي تستخدم IAM Identity Center تسجّل الدخول بدلًا من ذلك عبر aws configure sso وaws sso login، وستتعرّف إليهما في القسم الثاني. وعندما تنتهي، يحذف aws logout --profile lantern-admin بيانات الاعتماد المخزّنة.

\n

من أنا؟

\n

أكثر الأوامر فائدةً في AWS هو أيضًا أكثرها مللًا:

\n
Terminal
aws sts get-caller-identity --profile lantern-admin
\n
JSON
{\n  \"UserId\": \"AIDAEXAMPLEUSERID1234\",\n  \"Account\": \"111122223333\",\n  \"Arn\": \"arn:aws:iam::111122223333:user/amara\"\n}
\n

لا يحتاج إلى أي صلاحيات ولا يغيّر شيئًا، لذا تستطيع حتى هوية جديدة تمامًا بلا سياسات مرفقة أن تشغّله. إذا فشل، فالمشكلة في بيانات اعتمادك لا في صلاحياتك: جلسة منتهية، أو اسم profile خاطئ، أو لا اتصال بالشبكة. إنه يخبرك بـ الحساب والهوية اللذين سيستخدمهما كل أمر لاحق. شغّله قبل أي شيء مدمّر، وفي السكربتات تحقّق من أن Account هو الحساب الذي تتوقّعه قبل المتابعة.

\n\n

تشكيل المخرجات

\n

الاستجابات بصيغة JSON افتراضيًا، وكثيرًا ما تكون طويلة. يساعدك خياران عامّان:

\n\n
Terminal
aws s3api list-buckets --profile lantern-admin \\\n  --query \"Buckets[].Name\" --output text
\n

يطبع هذا أسماء الـ buckets فقط، مفصولة بمسافات جدولة، وجاهزة لحلقة تكرار في الـ shell. ولأن --query يُنفَّذ محليًا، فهو لا يقلّل ما تعيده AWS ولا تكلفة الاستدعاء؛ بل يقلّل فقط ما عليك قراءته.

\n\n

بهذا يكتمل القسم الأول: تعرف أين تشغّل AWS مواردك، ومن يؤمّن ماذا، وكيف تدير الحساب بأمان. يدخل القسم الثاني إلى أعماق IAM، النظام الذي يقرّر هل يُسمح بكل استدعاء من تلك الاستدعاءات الأخرى. (get-caller-identity هو الاستثناء الوحيد: يعمل حتى لو منعته سياسة.)

\n","toc":[{"id":"sec-1","text":"الـ console أم الـ CLI؟","level":2},{"id":"sec-2","text":"التثبيت والتحقّق من الإصدار","level":2},{"id":"sec-3","text":"سجّل الدخول دون مفاتيح وصول","level":2},{"id":"sec-4","text":"من أنا؟","level":2},{"id":"sec-5","text":"تشكيل المخرجات","level":2}],"takeaways":["الـ console والـ CLI يستدعيان الـ APIs نفسها؛ استخدم الـ console للاستكشاف، والـ CLI لكل ما ستكرّره أو تراجعه.","يحوّل aws login تسجيل دخولك في الـ console إلى بيانات اعتماد قصيرة الأمد للـ CLI تتجدّد تلقائيًا، فلا تبقى مفاتيح وصول طويلة الأمد على حاسوبك.","يعرض aws sts get-caller-identity الحساب والهوية اللذين تعمل بهما أوامرك؛ شغّله قبل أي شيء مدمّر.","الـ profiles المسمّاة مع --profile أو AWS_PROFILE تُبقي العمل في الحسابات المختلفة منفصلًا.","يرشّح --query استجابة JSON على جهازك، ويغيّر --output تنسيقها؛ ولا يغيّر أيٌّ منهما ما تفعله AWS."],"further":[{"title":"Installing or updating to the latest version of the AWS CLI","url":"https://docs.aws.amazon.com/cli/latest/userguide/getting-started-install.html"},{"title":"Login for AWS local development using console credentials","url":"https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-sign-in.html"},{"title":"Filtering output in the AWS CLI","url":"https://docs.aws.amazon.com/cli/latest/userguide/cli-usage-filter.html"},{"title":"get-caller-identity (AWS CLI Command Reference)","url":"https://docs.aws.amazon.com/cli/latest/reference/sts/get-caller-identity.html"}],"quiz":[{"q":"

أنت على وشك حذف bucket في S3 من الطرفية، ولديك profiles لحساب اختبار ولحساب الإنتاج الخاص بـ Lantern. ما الذي يجب أن تشغّله أولًا؟

","options":[{"text":"aws s3 ls لرؤية قائمة الـ buckets","why":"يسرد الـ buckets للهوية النشطة أيًّا كانت، لكنه لا يخبرك بأيّ حساب هي. وقد يكون لحسابين أسماء buckets متشابهة."},{"text":"aws configure لإعادة إدخال بيانات اعتمادك","why":"إعادة إدخال بيانات الاعتماد تغيّر إعدادك بدلًا من التحقّق منه، وتكتب مفاتيح طويلة الأمد لا يُفترض أن تحتاجها."},{"text":"aws sts get-caller-identity لمعرفة الحساب والهوية اللذين سيعمل بهما الأمر","why":"صحيح. يعيد معرّف الحساب والـ ARN للهوية المستخدمة، وهذا بالضبط ما تحتاج إلى التحقّق منه قبل أمر مدمّر."}],"answer":2},{"q":"

ما الميزة الأمنية الرئيسية لـ aws login مقارنةً بلصق مفتاح وصول في aws configure؟

","options":[{"text":"يمنحك صلاحيات أكثر مما يمنحه مفتاح الوصول.","why":"الصلاحيات تأتي من سياسات الهوية، لا من طريقة تسجيل الدخول. لا يمنح aws login أي شيء إضافي."},{"text":"بيانات الاعتماد قصيرة الأمد وتتجدّد تلقائيًا، فلا يوجد سرّ طويل الأمد في ملف على حاسوبك.","why":"صحيح. مفتاح الوصول المسرّب يظل يعمل حتى يحذفه أحد. أما بيانات اعتماد تسجيل الدخول فتنتهي صلاحيتها خلال ساعات."},{"text":"يمنع أي أحد من قراءة ملف ~/.aws/config الخاص بك.","why":"ملف الإعداد ملف نصي عادي ويظل قابلًا للقراءة. الفائدة أنه لا يحتوي على سرّ طويل الأمد."},{"text":"يعمل دون اتصال بالإنترنت.","why":"كل استدعاء في AWS CLI يمرّ عبر الشبكة إلى API من AWS، وتسجيل الدخول يحتاج أيضًا إلى خطوات في المتصفّح."}],"answer":1},{"q":"

ماذا يطبع هذا الأمر؟

\n
Terminal
aws ec2 describe-availability-zones --region eu-west-1 \\\n  --query \"AvailabilityZones[].ZoneName\" --output text
\n","options":[{"text":"أسماء مناطق التوافر في سطر واحد تفصل بينها مسافات جدولة (tabs)، مثل eu-west-1a eu-west-1b eu-west-1c","why":"صحيح. يُبقي --query قيم ZoneName فقط، ويطبعها --output text مفصولة بمسافات جدولة دون أقواس JSON."},{"text":"استجابة JSON كاملة، لأن --query لا يعمل إلا مع --output json","why":"يعمل --query مع كل تنسيقات المخرجات. وهو يُنفَّذ على جهازك قبل التنسيق."},{"text":"خطأ، لأن الاستعلام يجب أن يبدأ بعلامة الدولار","why":"تستخدم AWS CLI لغة JMESPath، التي تبدأ من المفاتيح العليا في الاستجابة، دون علامة دولار."}],"answer":0}],"exercise":{"kind":"fill","language":"bash","template":"# 1. Sign in with your console identity (short-term credentials)\naws {{0}} --profile lantern-admin\n\n# 2. Confirm which account and identity you are using\naws {{1}} get-caller-identity --profile lantern-admin\n\n# 3. List bucket names only, as plain text, in Lantern's Region\naws s3api list-buckets --profile lantern-admin \\\n --{{2}} eu-west-1 \\\n --query \"Buckets[].Name\" --output {{3}}","blanks":[{"answers":["login"]},{"answers":["sts"]},{"answers":["region"]},{"answers":["text"]}],"title":"أول ثلاثة أوامر لك في الـ CLI","prompt":"

أكمل روتين بداية اليوم الخاص بـ Lantern باستخدام AWS CLI v2. الخطوة 1 تسجّل الدخول دون مفاتيح وصول، والخطوة 2 تثبت في أيّ حساب أنت، والخطوة 3 تسرد أسماء الـ buckets كنص عادي مفصول بمسافات جدولة في الـ Region الخاصة بـ Lantern (eu-west-1).

\n","hints":["أمر تسجيل الدخول كلمة واحدة، ويحتاج إلى الـ CLI بالإصدار 2.32.0 أو أحدث.","ينتمي get-caller-identity إلى خدمة Security Token Service.","الخيار العام الذي يتجاوز الـ Region المحفوظة في الـ profile هو --region؛ وتنسيق المخرجات النصي العادي هو الذي يناسب حلقات التكرار في الـ shell."],"explanation":"

ينشئ aws login بيانات اعتماد قصيرة الأمد من تسجيل دخولك في الـ console، فلا يُخزَّن أي مفتاح وصول سرّي. ويعيد aws sts get-caller-identity معرّف الحساب والـ ARN للهوية المستخدمة، وهو ما تتحقّق منه قبل فعل أي شيء يغيّر الموارد. ويتجاوز --region الـ Region المحفوظة في الـ profile لأمر واحد، ويطبع --output text القيم التي اختارها --query دون أقواس JSON، مع مسافة جدولة واحدة بين كل اسم وآخر.

\n","checkLabels":{}},"words":647,"readMinutes":4}