Hai, semuanya, dan selamat datang kembali.
Nah, dalam video kali ini, kita akan membahas tentang identitas akses asal di cloud front.
Sekarang, salah satu tantangan yang akan Anda lihat dalam arsitektur berbasis cloud adalah langkah-langkah keamanan
yang Anda terapkan di tingkat cloud dapat dengan mudah dilewati jika penyerang mengirimkan kueri langsung ke sumbernya.
Misalnya, Anda berada di tingkat depan awan.
Anda telah menerapkan filter pembatasan geografis tertentu yang memblokir permintaan dari negara A dan memblokir
permintaan dari negara B. Jadi, jika pengguna dari negara A atau B mengirimkan permintaan ke Cloud friend, permintaan
ini akan secara otomatis diblokir.
Sekarang apa yang dapat dilakukan oleh penyerang ini adalah alih-alih mengirimkan permintaan ke cloud front, karena penyerang
tahu bahwa Anda memiliki cloud untuk distribusi dan harus ada tujuan awal ke mana teman cloud harus
mengirimkan permintaan.
Jadi, alih-alih mengirimkan permintaan ke cloud front, penyerang memutuskan untuk langsung mengirimkan
permintaan ke sumbernya, yaitu bucket S3.
Dan karena permintaan dikirim langsung ke bucket S3, semua pembatasan yang Anda terapkan di tingkat
cloud front akan dengan mudah dilewati.
Dan ini adalah sesuatu yang tidak Anda inginkan dalam lingkungan produksi.
Jadi untuk mengatasi hal ini, Anda dapat menggunakan fitur yang disebut sebagai cloud print, origin,
access identity, dan memastikan bahwa S3 bucket yang Anda miliki hanya menerima permintaan dari cloud front jika penyerang
mencoba untuk langsung mengirimkan permintaan ke S3 bucket, permintaan tersebut akan ditolak.
Jadi, di dalam bucket juga Anda memiliki kebijakan yang menyatakan hanya mengizinkan koneksi dari cloud dari distribusi
dengan ID tertentu dari distribusi yang Anda miliki di lingkungan Anda.
Jadi, itulah gambaran umum tingkat tinggi.
Mari kita masuk ke dalam demo singkat untuk memahami hal ini secara lebih baik.
Sekarang untuk demo hari ini, saya memiliki distribusi cloud yang tersedia, dan distribusi ini pada
gilirannya terkait dengan asal mula S3 Bucket.
Nama ember tersebut adalah ember aset CFPB.
Hal ini sangat mirip di sini.
Ember aset laboratorium CPU.
Sekarang mirip dengan bagaimana kita telah melihat pada kebijakan bucket yang sangat spesifik yang terkait di tingkat S3.
Mari kita lihat lebih jauh lagi.
Jadi, jika saya pergi ke izin, mari kita pergi sedikit ke sini.
Anda tahu bahwa ada kebijakan ember tertentu.
Bahkan, izinkan saya memperbesar apa yang dilakukan oleh kebijakan bucket khusus ini.
Ini memungkinkan permintaan dari layanan cloud front.
Jadi, jika diizinkan dari layanan cloud dan aksinya adalah get object dan Anda memiliki bucket di
sini dan di dalam sini Anda memiliki kondisi yang menyatakan bahwa sumbernya harus ini.
Dan apa artinya ini?
Anda memiliki gagasan tentang cloud untuk distribusi.
Jadi diakhiri dengan v v un.
Jika Anda melihat ke dalam id distribusi cloud lagi, id tersebut diakhiri dengan v v un.
Jadi, terlepas dari berapa banyak distribusi cloud yang Anda miliki dalam akun, itu tidak masalah.
Hanya distribusi cloud run yang cocok dengan ID spesifik ini yang akan diizinkan untuk mengirim permintaan
get object ke bucket S3.
Baiklah, ini adalah gambaran umum tingkat tinggi tentang identitas Origin Access.
Sekali lagi, fitur yang sederhana, tetapi sangat berguna untuk lingkungan produksi.
Jadi dengan ini akan menyimpulkan video hari ini.