Olá a todos, e bem-vindos de volta.
Agora, no vídeo de hoje, vamos discutir sobre a identidade de acesso à origem na frente das nuvens.
Agora, um dos desafios que você verá em uma arquitetura baseada em nuvem é que as medidas de segurança que você aplica
em nível de nuvem podem ser facilmente contornadas se um atacante estiver enviando a consulta diretamente para
a origem.
Por exemplo, você está no nível da frente das nuvens.
Você aplicou certo filtro de restrição geográfica que bloqueia o pedido de um país A e bloqueia o pedido
do país B. Portanto, se um usuário de um país A ou B enviar um pedido ao amigo da Nuvem, este pedido
será automaticamente bloqueado.
Agora o que este atacante pode fazer é que ao invés de enviar o pedido para a frente da nuvem, porque o atacante sabe
que você tem uma nuvem para distribuição e deve haver uma origem para a qual o amigo da nuvem
deve estar enviando o pedido.
Assim, em vez de enviar o pedido para a frente da nuvem, o atacante decide enviar diretamente
um pedido para a origem, que é o balde S3.
E como o pedido está sendo enviado diretamente para o balde S3, todas as restrições que você aplicou no nível frontal
da nuvem serão facilmente contornadas.
E isto é algo que você não quer realmente em ambientes de produção.
Assim, para superar isso, você pode fazer uso de um recurso chamado como impressão na nuvem, origem,
identidade de acesso, e ele garante que o balde S3 que você tem só receba o pedido da frente da nuvem no caso de
o atacante tentar enviar diretamente um pedido para o balde S3, esse pedido será negado.
Portanto, no balde você também tem uma política que diz que só permite as conexões da nuvem de distribuição com uma identificação
específica da distribuição que você tem em seu ambiente.
Portanto, esta é a visão geral de alto nível.
Vamos saltar para a demonstração rápida para entender isto em termos melhores.
Agora, para a demonstração de hoje, tenho uma distribuição de nuvens que está disponível, e esta distribuição,
por sua vez, está associada à origem do S3 Bucket.
O nome do balde é CFPB's assets Bucket.
Isto aqui é muito semelhante.
Balde de ativos de laboratórios de CPU.
Agora, semelhante a como tínhamos visto em políticas de balde muito específicas associadas ao nível S3.
Analisemo-lo também rapidamente.
Portanto, se eu for para as permissões, vamos um pouco para baixo aqui.
Você vê que existe uma política de balde específica.
Na verdade, deixe-me ampliar o que esta política específica de balde faz.
Ele permite solicitações do serviço de frente de nuvem.
Portanto, se é permitido a partir do serviço de nuvem e a ação é obter objeto e você tem
o balde aqui e dentro dele você tem uma condição que diz que a fonte deve ser esta.
E o que isso significa?
Você tem a idéia da nuvem para distribuição.
Portanto, termina com v v un.
Se você olhar novamente para o id de distribuição de nuvens, ele termina com v v un.
Portanto, independentemente de quantas distribuições de nuvens você tenha em uma conta, isso não importa.
Somente a distribuição de nuvens que corresponder a esta identificação específica será permitida para enviar o pedido
de objeto get para o balde S3.
Muito bem, então esta é uma visão geral de alto nível sobre a identidade de Acesso à Origem.
Mais uma vez, uma característica simples, mas que é muito útil para ambientes de produção.
Assim, com isto, o vídeo de hoje será concluído.