{"id":"l-aws-2-2","courseId":"aws-cloud-foundations","lang":"ar","kind":"lesson","summary":"اقرأ أي سياسة IAM عبارةً عبارة، واكتب سياسات بمبدأ أقل الصلاحيات مع ARNs دقيقة، وأضف شروطًا مثل MFA وTLS تضيّق متى ينطبق السماح.","html":"

في الدرس السابق تعلّمت كيف يقرّر IAM. والآن تكتب ما يقرّر بناءً عليه. يحتاج Lantern إلى سياسة للدالة التي تستقبل الملصقات المرفوعة، وسياسة للمطوّرين، وسياسة bucket تحمي الملصقات. والثلاث مكتوبة بلغة JSON الصغيرة نفسها.

\n

تشريح العبارة

\n

إليك سياسة دالة الرفع في Lantern، التي تحفظ الملصقات تحت uploads/ وتسرد أحيانًا ما يوجد هناك:

\n

lantern-upload-policy.json

{\n  \"Version\": \"2012-10-17\",\n  \"Statement\": [\n    {\n      \"Sid\": \"WriteUploads\",\n      \"Effect\": \"Allow\",\n      \"Action\": \"s3:PutObject\",\n      \"Resource\": \"arn:aws:s3:::lantern-posters/uploads/*\"\n    },\n    {\n      \"Sid\": \"ListUploadsOnly\",\n      \"Effect\": \"Allow\",\n      \"Action\": \"s3:ListBucket\",\n      \"Resource\": \"arn:aws:s3:::lantern-posters\",\n      \"Condition\": {\n        \"StringLike\": { \"s3:prefix\": \"uploads/*\" }\n      }\n    }\n  ]\n}

\n

اقرأها من الأعلى إلى الأسفل:

\n

Version دائمًا "2012-10-17"، وهو الإصدار الحالي للغة السياسات. إنه نص ثابت، لا تاريخ اليوم.
Statement قائمة. وكل عبارة تُقيَّم وحدها.
Sid تسمية اختيارية. سمِّ الغرض من العبارة؛ وستشكرك نفسك في المستقبل.
Effect قيمته Allow أو Deny.
Action إجراء واحد أو قائمة، ويُكتب بالشكل service:Operation. الرموز البديلة تعمل (s3:Get*) لكن كل واحد منها يوسّع الباب.
Resource ARN واحد أو قائمة. والرموز البديلة تعمل هنا أيضًا.
Condition اختياري ويضيّق متى تنطبق العبارة.

\n

تضيف السياسات القائمة على المورد، مثل سياسات الـ buckets، عنصر Principal يسمّي من تخصّه العبارة. أما السياسات القائمة على الهوية فلا تحتوي عليه، لأن الهوية المرفقة بها هي الـ principal.

\n

ARN الـ bucket أم ARN الكائن؟

\n

للسياسة أعلاه موردان مختلفان عن قصد. s3:ListBucket عملية على الـ bucket، لذا موردها هو arn:aws:s3:::lantern-posters. وs3:PutObject عملية على الكائنات، لذا موردها ARN الـ bucket متبوعًا بمسار: lantern-posters/uploads/*. بدّل بينهما فلن تطابق أيٌّ من العبارتين أبدًا، وستحصل على AccessDenied مع سياسة تبدو صحيحة.

\n

التمييز نفسه موجود في أماكن أخرى. فالإجراء dynamodb:Query على index في جدول يحتاج إلى ARN الـ index (table/lantern-rsvps/index/by-event)، لا إلى ARN الجدول وحده. عندما تسمح سياسة “بوضوح” بشيء وترفضه AWS، قارن ARN الطلب بـ ARN السياسة حرفًا حرفًا.

\n\n

أقل الصلاحيات عمليًا

\n

أقل الصلاحيات (least privilege) يعني ألّا تمنح إلا الإجراءات والموارد التي تحتاجها المهمة. يبدو هذا بطيئًا، لكن طريقة العمل سريعة:

\n

اكتب ما تفعله المهمة بكلمات بسيطة: “تكتب الملصقات في uploads/، وتسرد تلك البادئة”.
ترجم كل فعل إلى إجراء، وكل اسم إلى ARN دقيق.
انشر واختبر. رسالة AccessDenied تسمّي الإجراء والمورد الناقصين؛ أضف ذلك بالضبط.

\n

بالنسبة إلى الـ roles الموجودة، يعرض IAM معلومات آخر وصول (last accessed) لكل خدمة، ويستطيع IAM Access Analyzer توليد سياسة من الإجراءات التي استخدمها الـ role فعلًا وفق AWS CloudTrail. وكلاهما طريقة جيدة لتقليص سياسة اتّسعت أكثر من اللازم.

\n

الشروط: متى ينطبق السماح

\n

كتلة الشرط تربط العوامل (operators) بـ المفاتيح (keys) والقيم (values):

\n

JSON

\"Condition\": {\n  \"StringEquals\": { \"aws:RequestedRegion\": [\"eu-west-1\", \"eu-south-2\"] },\n  \"Bool\": { \"aws:MultiFactorAuthPresent\": \"true\" }\n}

\n

قاعدتان تجعلان الشروط قابلة للتوقّع. المفاتيح المنفصلة تُجمع بـ AND: يجب أن يكون الطلب في إحدى تلك الـ Regions وأن يُرسَل باستخدام MFA. والقيم المتعدّدة للمفتاح الواحد تُجمع بـ OR: أيٌّ من الاثنتين تفي بالغرض.

\n

مفاتيح مفيدة لـ Lantern:

\n

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n

المفتاح	استخدمه من أجل
`aws:SecureTransport`	رفض طلبات HTTP العادي
`aws:MultiFactorAuthPresent`	اشتراط MFA للإجراءات الخطرة مثل الحذف
`aws:SourceIp`	قصر الإنسان على نطاق عناوين المكتب أو الـ VPN
`aws:RequestedRegion`	إبقاء العمل داخل الـ Regions الخاصة بـ Lantern
`s3:prefix`	قصر ListBucket على مجلّد واحد

والشروط ممتازة أيضًا كحواجز حماية بـ الرفض. ترفض سياسة الـ bucket في Lantern أي طلب دون TLS، من أي أحد:

\n

lantern-posters-bucket-policy.json

{\n  \"Version\": \"2012-10-17\",\n  \"Statement\": [\n    {\n      \"Sid\": \"DenyInsecureTransport\",\n      \"Effect\": \"Deny\",\n      \"Principal\": \"*\",\n      \"Action\": \"s3:*\",\n      \"Resource\": [\n        \"arn:aws:s3:::lantern-posters\",\n        \"arn:aws:s3:::lantern-posters/*\"\n      ],\n      \"Condition\": { \"Bool\": { \"aws:SecureTransport\": \"false\" } }\n    }\n  ]\n}

\n

ولأن الرفض الصريح ينتصر دائمًا، لا يستطيع أي سماح في أي مكان إلغاءه.

\n

تحقّق قبل أن ترفق

\n

يشغّل محرّر السياسات في console الـ IAM فحوص IAM Access Analyzer أثناء كتابتك: أخطاء الصياغة، والإجراءات غير الصالحة، والتحذيرات الأمنية مثل رمز بديل في pass-role. ومن الطرفية:

\n

Terminal

aws accessanalyzer validate-policy \\\n  --policy-type IDENTITY_POLICY \\\n  --policy-document file://lantern-upload-policy.json \\\n  --query \"findings[].[findingType,issueCode]\" --output table

\n

النتيجة الفارغة تعني عدم وجود ملاحظات. أصلح كل ERROR وSECURITY_WARNING، واقرأ كل WARNING وSUGGESTION.

\n\n

أصبحت تستطيع كتابة صلاحيات محكمة. في الدرس التالي: كيف يحصل عليها الأشخاص دون مستخدمي IAM، وكيف يحصل عليها الكود دون مفاتيح وصول.

\n","toc":[{"id":"sec-1","text":"تشريح العبارة","level":2},{"id":"sec-2","text":"ARN الـ bucket أم ARN الكائن؟","level":2},{"id":"sec-3","text":"أقل الصلاحيات عمليًا","level":2},{"id":"sec-4","text":"الشروط: متى ينطبق السماح","level":2},{"id":"sec-5","text":"تحقّق قبل أن ترفق","level":2}],"takeaways":["العبارة (statement) هي Effect وAction وResource، ويمكن تضييقها اختياريًا بـ Condition؛ وتسمّي السياسات القائمة على المورد Principal أيضًا.","الإجراءات على مستوى الـ bucket مثل s3:ListBucket تأخذ ARN الـ bucket، أما الإجراءات على مستوى الكائن مثل s3:GetObject فتحتاج إلى ARN الـ bucket متبوعًا بـ /* أو بمسار أضيق.","أقل الصلاحيات (least privilege) يعني أن تسرد الإجراءات والموارد المحدّدة التي تحتاجها المهمة، ثم لا توسّعها إلا حين يخبرك خطأ AccessDenied حقيقي بذلك.","مفاتيح الشروط تُجمع بينها بـ AND، والقيم المتعدّدة للمفتاح الواحد تُجمع بـ OR.","تحقّق من كل سياسة قبل إرفاقها باستخدام IAM Access Analyzer، في محرّر الـ console أو عبر aws accessanalyzer validate-policy."],"further":[{"title":"IAM JSON policy element reference","url":"https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html"},{"title":"AWS global condition context keys","url":"https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html"},{"title":"Security best practices in IAM","url":"https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html"},{"title":"Validate policies with IAM Access Analyzer","url":"https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html"}],"quiz":[{"q":"

دالة لها هذه السياسة تستدعي GetObject على posters/2026/festival.jpg في الـ bucket المسمّى lantern-posters فتحصل على AccessDenied. لماذا؟

\n

JSON

{\n  \"Effect\": \"Allow\",\n  \"Action\": \"s3:GetObject\",\n  \"Resource\": \"arn:aws:s3:::lantern-posters\"\n}

\n","options":[{"text":"يجب أن يكون الـ Action هو s3:Get* لأن GetObject ليس اسم إجراء حقيقيًا.","why":"الإجراء s3:GetObject حقيقي. والرمز البديل سيوسّع السياسة فقط دون أن يصلح المشكلة الفعلية."},{"text":"الـ Resource هو الـ bucket، لكن GetObject يعمل على الكائنات، فيحتاج إلى arn:aws:s3:::lantern-posters/*.","why":"صحيح. إجراءات الكائنات تطابق ARNs الكائنات. ومن دون /* (أو مسار أضيق) لا تطابق العبارة الطلب أبدًا."},{"text":"يجب أن تتضمّن سياسات S3 عنصر Principal، لذا تُتجاهل العبارة.","why":"السياسات القائمة على الهوية ليس فيها Principal؛ فالهوية المرفقة بها هي الـ principal. السياسات القائمة على المورد وحدها تحتاج إليه."},{"text":"سطر Version مفقود، لذا يرفض IAM السياسة كلها.","why":"من دون Version يعود IAM إلى لغة 2008 القديمة وتتوقف متغيّرات السياسات عن العمل، لكن عبارة بسيطة كهذه تظل تطابق."}],"answer":1},{"q":"

أيّ الطلبات يسمح بها هذا الشرط؟

\n

JSON

\"Condition\": {\n  \"StringEquals\": { \"aws:RequestedRegion\": [\"eu-west-1\", \"eu-south-2\"] },\n  \"Bool\": { \"aws:SecureTransport\": \"true\" }\n}

\n","options":[{"text":"الطلبات إلى أيٍّ من الـ Regions المذكورة، سواء استخدمت TLS أم لا.","why":"المفتاحان يُجمعان بـ AND، لذا يظل فحص TLS منطبقًا على كل طلب."},{"text":"الطلبات التي تستخدم TLS، إلى أي Region.","why":"المفاتيح المختلفة تُجمع بـ AND. ويظل على مفتاح الـ Region أن يطابق إحدى القيم المدرجة له."},{"text":"الطلبات إلى eu-west-1 أو eu-south-2 التي تستخدم TLS أيضًا.","why":"صحيح. القيم داخل المفتاح الواحد تُجمع بـ OR (أيٌّ من الاثنتين)، والمفاتيح المنفصلة تُجمع بـ AND (مع TLS)."}],"answer":2},{"q":"

تحتاج إلى سياسة لدالة تغيير حجم الملصقات في Lantern، لكنك لست متأكّدًا من إجراءات S3 التي تستدعيها. ما أفضل نقطة بداية؟

","options":[{"text":"امنح s3:* على * وضيّقها لاحقًا حين يتوفّر الوقت.","why":"نادرًا ما يأتي ذلك اللاحق، وفي الأثناء يستطيع أي خطأ أو اختراق في الدالة أن يمسّ كل bucket في الحساب."},{"text":"امنح الإجراءات التي تعرف أنها تحتاجها على مسار الـ bucket الدقيق، ثم لا تضف إجراءات إلا حين يُظهر AccessDenied حقيقي أنها ناقصة.","why":"صحيح. أخطاء AccessDenied تسمّي الإجراء الناقص، فالتوسيع بناءً على الدليل سريع ويُبقي السياسة محكمة."},{"text":"أرفق السياسة المُدارة من AWS AmazonS3FullAccess لأن AWS تتولّى صيانتها.","why":"تتولّى AWS صيانة نص السياسة، لا مدى ملاءمتها لمهمتك. الوصول الكامل إلى كل bucket أوسع بكثير مما تحتاجه دالة واحدة."}],"answer":1},{"q":"

ماذا تفعل عبارة سياسة الـ bucket هذه؟

\n

JSON

{\n  \"Effect\": \"Deny\",\n  \"Principal\": \"*\",\n  \"Action\": \"s3:*\",\n  \"Resource\": [\"arn:aws:s3:::lantern-posters\", \"arn:aws:s3:::lantern-posters/*\"],\n  \"Condition\": { \"Bool\": { \"aws:SecureTransport\": \"false\" } }\n}

\n","options":[{"text":"تحجب كل طلب إلى الـ bucket، بما في ذلك طلبات المديرين.","why":"يقصرها الشرط على الطلبات التي تكون فيها SecureTransport بقيمة false، أي HTTP العادي. طلبات HTTPS لا تتأثّر."},{"text":"تحجب أي طلب يُرسَل عبر HTTP العادي، من أي أحد.","why":"صحيح. إنها حاجز حماية قياسي. ومع قاعدة الرفض الصريح، لا يستطيع أحد القراءة من الـ bucket أو الكتابة فيه دون TLS."},{"text":"تسمح للمستخدمين المجهولين بقراءة الـ bucket عبر HTTPS.","why":"عبارة Deny لا تمنح أي شيء أبدًا. الوصول العام يحتاج إلى Allow وإلى إيقاف Block Public Access."}],"answer":1}],"exercise":{"kind":"spot-bug","language":"json","code":"{\n \"Version\": \"2012-10-17\",\n \"Statement\": [\n {\n \"Sid\": \"ReadWriteRsvps\",\n \"Effect\": \"Allow\",\n \"Action\": \"dynamodb:*\",\n \"Resource\": \"arn:aws:dynamodb:eu-west-1:111122223333:table/lantern-rsvps\"\n },\n {\n \"Sid\": \"ReadPosters\",\n \"Effect\": \"Allow\",\n \"Action\": \"s3:GetObject\",\n \"Resource\": \"arn:aws:s3:::lantern-posters\"\n },\n {\n \"Sid\": \"DeletePostersOnlyWithMfa\",\n \"Effect\": \"Allow\",\n \"Action\": \"s3:DeleteObject\",\n \"Resource\": \"arn:aws:s3:::lantern-posters/*\",\n \"Condition\": {\n \"Bool\": { \"aws:MultiFactorAuthPresent\": \"false\" }\n }\n }\n ]\n}","bugLines":[7,14,22],"title":"راجع سياسة Developers","prompt":"

كتب أحد زملائك هذه السياسة القائمة على الهوية لمجموعة Developers في Lantern. والمقصود، بحسب التذكرة: يستطيع المطوّرون قراءة تأكيدات الحضور وكتابتها (get وput وquery للعناصر) في جدول lantern-rsvps، وقراءة أي ملصق في الـ bucket المسمّى lantern-posters، وحذف الملصقات فقط عند تسجيل الدخول باستخدام MFA. اختر كل سطر يخالف هذا المقصود.

\n","hints":["قارن كل Action بالأفعال الواردة في التذكرة. هل يوجد شيء أوسع مما طُلب؟","هل s3:GetObject إجراء على مستوى الـ bucket أم على مستوى الكائن؟ تحقّق من الـ Resource الخاص به.","اقرأ شرط MFA بصوت عالٍ: تنطبق العبارة حين يكون وجود MFA … ماذا؟"],"explanation":"

السطر 7 يمنح dynamodb:*، وهذا يشمل DeleteTable وUpdateTable؛ والتذكرة لا تحتاج إلا إلى dynamodb:GetItem وdynamodb:PutItem وdynamodb:Query، فاسردها هي. السطر 14 يستخدم ARN الـ bucket مع s3:GetObject، وهو إجراء على مستوى الكائن، فلا تطابق العبارة أي تنزيل حقيقي أبدًا؛ إنها تحتاج إلى arn:aws:s3:::lantern-posters/*. السطر 22 يعكس الشرط: يسمح بالحذف فقط عندما يكون MFA غائبًا. يجب أن يكون "aws:MultiFactorAuthPresent": "true". الأسطر بعد الإصلاح:

\n

JSON

\"Action\": [\"dynamodb:GetItem\", \"dynamodb:PutItem\", \"dynamodb:Query\"],\n\"Resource\": \"arn:aws:s3:::lantern-posters/*\"\n\"Bool\": { \"aws:MultiFactorAuthPresent\": \"true\" }

\n

قد يرصد التحقّق من السياسات بعض هذه الأخطاء، لكن شرط MFA المعكوس JSON صالح تمامًا وسياسة صالحة تمامًا. لا تكشفه إلا قراءة السياسة ومقارنتها بالمقصود.

\n","checkLabels":{}},"words":632,"readMinutes":4}