AWS एक्सपोज़ेबल संसाधन

इस रेपो का लक्ष्य उन सभी AWS संसाधनों की एक सूची बनाए रखना है जिन्हें सार्वजनिक रूप से उजागर किया जा सकता है, और अंततः, उन संसाधनों को जिन्हें अविश्वसनीय खातों के साथ साझा किया जा सकता है (वह अनुभाग अभी विकास में है और यहाँ अभी तक शामिल नहीं है)।

इस सूची में निम्नलिखित अवधारणाएँ लागू की गई हैं:

• वे संसाधन जो किसी अन्य संसाधन के माध्यम से अप्रत्यक्ष रूप से उजागर हो सकते हैं, शामिल नहीं हैं। उदाहरण के लिए, CloudTrail लॉग को एक सार्वजनिक S3 बकेट में भेजा जा सकता है, लेकिन यह S3 बकेट है जो गलत कॉन्फ़िगर किया गया है, इसलिए CloudTrail को एक ऐसे संसाधन के रूप में सूचीबद्ध नहीं किया गया है जिसे सार्वजनिक किया जा सकता है।
• कुछ संसाधनों को सार्वजनिक माने जाने के लिए कई चीजों को एक निश्चित तरीके से कॉन्फ़िगर करने की आवश्यकता हो सकती है। उदाहरण के लिए, एक Secrets Manager सीक्रेट जो KMS के साथ एन्क्रिप्ट किया गया है, उसे सीक्रेट तक पहुँचने के लिए सीक्रेट और KMS कुंजी दोनों को सार्वजनिक होना आवश्यक होगा। इस सूची के प्रयोजनों के लिए, मैं केवल सीक्रेट संसाधन नीति पर विचार करता हूँ। इसी तरह, Managed ElasticSearch क्लस्टर के लिए, आपको सार्वजनिक पहुँच की अनुमति देने के लिए संसाधन नीति और एक गैर-VPC IP दोनों की आवश्यकता होती है। मैं केवल संसाधन नीति पर विचार करता हूँ। एक EC2 के लिए, आप सार्वजनिक IP के साथ एक EC2 बना सकते हैं, लेकिन इसे एक प्रतिबंधित सुरक्षा समूह से जोड़ सकते हैं जो बाद में सार्वजनिक पहुँच की अनुमति देने के लिए खोला जा सकता है। मैं EC2 को सार्वजनिक IP के साथ बनाने को रुचि की कार्रवाई के रूप में देखता हूँ, न कि सुरक्षा समूह के संशोधन को।

रोडमैप

मैं चाहूँगा कि इस रेपो में अंततः निम्नलिखित शामिल हों:

• निजी और सार्वजनिक दोनों संसाधन बनाने के लिए नमूना CLI कमांड
• इन दो घटनाओं के लिए संबंधित CloudTrail लॉग ताकि आप मॉनिटरिंग समाधान बना और परीक्षण कर सकें। उदाहरण के लिए, आप StreamAlert के लिए नमूना CloudTrail ईवेंट यहाँ देख सकते हैं।
• संसाधनों पर संबंधित Describe कॉल यह दिखाने के लिए कि जब ये संसाधन सार्वजनिक होते हैं तो कैसा दिखता है। उदाहरण के लिए, आप CloudMapper के परीक्षण डेटा में नमूना JSON प्रतिक्रियाएँ यहाँ देख सकते हैं।

संसाधन जिन्हें संसाधन नीतियों के माध्यम से सार्वजनिक किया जा सकता है

ECR रिपॉजिटरी

क्रियाएँ:

• ecr set-repository-policy

Lambda

फ़ंक्शन को आमंत्रित करने की अनुमति देता है

क्रियाएँ:

• lambda add-permission

Lambda लेयर

क्रियाएँ:

• lambda add-layer-version-permission

सर्वरलेस एप्लिकेशन रिपॉजिटरी

क्रियाएँ:

• serverlessrepo put-application-policy

बैकअप

दस्तावेज़

क्रियाएँ:

• backup put-backup-vault-access-policy

EFS

TODO: पुष्टि करने की आवश्यकता है कि इसे वास्तव में अन्य खातों के साथ साझा किया जा सकता है। कुछ दस्तावेज़ शब्दों से मुझे लगता है कि यह केवल एक खाते के अंतर्गत प्रिंसिपल्स के साथ साझा किया जा सकता है।

क्रियाएँ:

• efs put-file-system-policy

ग्लेशियर

क्रियाएँ:

• glacier set-vault-access-policy

S3

S3 बकेट नीतियों और ACL के माध्यम से सार्वजनिक हो सकते हैं। S3 ऑब्जेक्ट ACL के माध्यम से सार्वजनिक हो सकते हैं। ACL को बकेट या ऑब्जेक्ट निर्माण के समय सेट किया जा सकता है।

क्रियाएँ:

• s3api create-bucket
• s3api put-bucket-policy
• s3api put-bucket-acl
• s3api put-object
• s3api put-object-acl

IAM भूमिका

क्रियाएँ:

• iam create-role
• iam update-assume-role-policy

KMS कुंजियाँ

क्रियाएँ:

• kms create-key
• kms create-grant
• kms put-key-policy

सीक्रेट्स मैनेजर

क्रियाएँ:

• secretsmanager put-resource-policy

CloudWatch लॉग्स

क्रियाएँ:

• logs put-resource-policy
• logs put-destination-policy

EventBridge

केवल एक खाते में डेटा भेजने की अनुमति देता है

क्रियाएँ:

• events put-permission

MediaStore

दस्तावेज़

क्रियाएँ:

• mediastore put-container-policy

ElasticSearch

क्रियाएँ:

• es create-elasticsearch-domain
• es update-elasticsearch-domain-config

Glue

क्रियाएँ:

• glue put-resource-policy

SNS

क्रियाएँ:

• sns create-topic
• sns add-permission

SQS

क्रियाएँ:

• sqs create-queue
• sqs add-permission

SES

दस्तावेज़

क्रियाएँ:

• ses put-identity-policy

वे संसाधन जिन्हें साझाकरण API के माध्यम से सार्वजनिक किया जा सकता है

AMI

क्रियाएँ:

• ec2 modify-image-attribute

FPGA छवि

क्रियाएँ:

• ec2 modify-fpga-image-attribute

EBS स्नैपशॉट

क्रियाएँ:

• ec2 modify-snapshot-attribute