Hola a todos y bienvenidos de nuevo.
Ahora, en el video de hoy, vamos a discutir sobre la identidad de acceso de origen en cloud front.
Ahora, uno de los retos que verás en una arquitectura basada en la nube es que las medidas de seguridad que aplicas
a nivel de la nube pueden ser fácilmente eludidas si un atacante está enviando la consulta directamente al
origen.
Por ejemplo, estás en el nivel frontal de la nube.
Usted ha aplicado cierto filtro de restricción geográfica que bloquea la solicitud de un país A y bloquea la
solicitud de un país B, por lo que si un usuario de un país A o B envía una solicitud al amigo de la nube, esta solicitud
se bloqueará automáticamente.
Ahora lo que este atacante puede hacer es que en lugar de enviar la solicitud a la nube frente, porque el atacante sabe
que usted tiene una nube para la distribución y debe haber un origen al que la nube amigo debe ser
el envío de la solicitud.
Así, en lugar de enviar la solicitud al frente de la nube, el atacante decide enviar directamente una
solicitud al origen, que es el bucket de S3.
Y puesto que la solicitud se envía directamente al cubo de S3, todas las restricciones que hayas aplicado en el nivel frontal
de la nube se pasarán por alto fácilmente.
Y esto es algo que realmente no se desea en entornos de producción.
Así que con el fin de superar esto, usted puede hacer uso de una característica llamada como la nube de impresión,
origen, identidad de acceso, y se asegura de que el cubo de S3 que tiene sólo recibe la solicitud de la nube frente en caso de que
si el atacante intenta enviar directamente una solicitud a la cubeta de S3, que la solicitud será denegada.
Así que en el cubo también tiene una política que establece sólo permiten las conexiones de la nube de distribución
con un ID específico de la distribución que tiene en su entorno.
Este es el panorama general.
Veamos una demostración rápida para entenderlo mejor.
Ahora para la demo de hoy, tengo una distribución en la nube que está disponible, y esta distribución
a su vez está asociada con el origen de S3 Bucket.
El nombre del cubo es CFPB's assets Bucket.
Esto es muy similar aquí.
Cubo de activos de laboratorios de CPU.
Ahora de forma similar a como habíamos visto en políticas de bucket muy específicas asociadas a nivel S3.
Examinémoslo también rápidamente.
Así que si voy a los permisos, vamos a ir un poco hacia abajo aquí.
Verás que hay una política específica de cubos.
De hecho, permítanme ampliar lo que hace esta política de cubos específica.
Permite peticiones desde el servicio frontal de la nube.
Así que si se permite desde el servicio de nube y la acción es obtener objeto y tienes el cubo
aquí y dentro de aquí tienes una condición que establece que la fuente debe ser esta.
¿Y qué significa esto?
Tienes la idea de la nube para la distribución.
Así que termina con v v un.
Si vuelves a mirar el identificador de distribución de la nube, termina con v v un.
Así que, independientemente de cuántas distribuciones en la nube tengas en una cuenta, eso no importa.
Sólo la distribución de ejecución en la nube que coincida con este ID específico podrá enviar la solicitud de obtención
de objeto al bucket de S3.
Muy bien, este es un resumen de muy alto nivel sobre la identidad de Origin Access.
De nuevo, una función sencilla, pero muy útil para entornos de producción.
Con esto concluiremos el vídeo de hoy.