Und willkommen zurück in diesem Video, in dem wir jetzt über den AWB-Sicherheitsdienst, auch als
DSD bezeichnet, diskutieren werden, da dies ein ziemlich wichtiger und sehr interessanter Dienst ist.
Und wenn Sie in der Produktionsumgebung in den USA arbeiten. S. , dann sehen Sie sich dies definitiv
direkt oder indirekt an.
Lassen Sie uns also weitermachen und SPSS verstehen.
Bevor wir darüber sprechen, lassen Sie uns kurz über die Funktionsweise von ADM sprechen.
Nehmen wir also an, Sie haben eine einfache zwei Instanzen und Sie haben einen stabilen Bucket und möchten
bestimmte Operationen an diesen drei Buckets ausführen, damit es sich um eine Liste, Portierbarkeit usw. handeln
kann.
Nun gibt es zwei primäre Möglichkeiten, wie einfach und sofort Operationen auf dem S3-Bucket ausgeführt werden können.
Einer ist der Weg der Essensachsenschlüssel.
Also Ihr harter Kern, die langfristigen Zugangsdaten in Ihrer AC2-Instanz, oder Sie können sie verwenden.
Und jetzt wechseln die meisten Unternehmen als Teil der Best Practice zu AM.
Also, was machst du?
Sie machen weiter und erschaffen Abdool, und das wird, wie mir gesagt wurde, bestimmte Richtlinien haben.
Nehmen wir also an, Sie haben drei schreibgeschützte Richtlinien sowie die leicht lesbare Richtlinie und verbinden
diese.
Ich rolle zu den einfachen zwei Instanzen.
So war der Analyst mit der einfachen zwei Instanz verbunden, so dass Sie sehen, dass zwei Instanzen in der
Lage sein werden, die Operationen auszuführen, die in den Richtlinien definiert sind, die dem Ich bin jetzt hinter den Kulissen angehängt waren.
Dies, was ich an die Äquidistanz angehängt habe, bietet bestimmten Zugangscodes eine gewisse Sicherheit und das Stationstoken über die Metadaten zu
den einfachen zu Instant's und dass der geheime Zugriffsschlüssel und der Token von der Seelie verwendet werden,
um alle Ihre Anwendungen durchzuführen, um die Operationen auf der Idalis auszuführen Ressource.
Schauen wir also schnell rein, damit das Bestellkonzept viel klarer wird.
Nun, in der Konsole sehe ich zwei Instanzen, die leicht zu Finanzen führen,
und diese Instanz lässt mich leicht verschwinden.
Wenn Sie sich nun den Anwalt von Amdo ansehen, hat dieser und Will eine Richtlinie, die lautet, dass Amazon drei schreibgeschützten Zugriff
hat.
Verbinden Sie sich also über den Zugriff mit den einfachen zu Instant's.
Wenn Sie schnell etwas mehr ellis' machen, können Sie sehen, dass alles funktioniert, abhängig
von den angehängten Richtlinien.
Nun stellt sich die Frage, wie genau diese Vorgänge von der Wartbarkeit ausgeführt werden können, da
sie sich authentifizieren muss, damit diese Operation funktioniert.
Wie wir wissen, hilft das, was ich tue, hier.
Im Backend werde ich jedoch die Metadaten bereitstellen, die im Wesentlichen den Zugriffsschlüssel, das Geheimnis, den Schlüssel und
das Token enthalten.
Wenn Sie also schnell die Metadaten aufrufen und derzeit sehen, dass wir uns auf den Namensaufruf beziehen,
ist eine SSN erforderlich und wenn Sie drücken und dies die Ausgabe ist, nicht innerhalb der Ausgabe, haben Sie den Zugriff,
Gidi, Sie haben die geheime Abfrage und Sie haben das Token.
Dies sind also die Backend-Dinge, die tatsächlich als Teil der Authentifizierungsaspekte verwendet werden.
Wenn Sie also Ihre Anwendung haben, die in diesem Fall ausgeführt wird, kann sie diese drei
Dinge verwenden, um sich zu authentifizieren.
Selbst wenn Sie sagen, dass ich beim Entrinden wirklich mit der C2-Instanz verbunden bin, haben Sie immer noch den Zugangsschlüssel, das Geheimnis,
den Schlüssel und das Token.
Denken Sie jedoch daran, dass sich diese Dinge von den langfristigen Anmeldeinformationen unterscheiden, die normalerweise für
die Amusa generiert werden.
Zurück zu unserer Folie: Die Verantwortung für die Generierung dieser temporären Anmeldeinformationen, die das
von Tolkan erlangte Zugriffsschlüsselgeheimnis waren, liegt in der Verantwortung dieses sicheren Token-Dienstes.
Der SD ist also tatsächlich für die Generierung dieser Anmeldeinformationen verantwortlich.
Lassen Sie uns nun weitermachen und mehr über testiest jetzt nach den Begriffen unserer Definition diskutieren.
Eatables Espers ist ein Webdienst, mit dem Sie temporäre, eingeschränkte, privilegierte Anmeldeinformationen für die IAM-Benutzer oder
für die Verbundbenutzer anfordern können, die möglicherweise in der Organisation vorhanden sind.
Ein wichtiger Teil, an den Sie sich hier erinnern sollten, ist dieses Wort vorübergehend.
So sind Ihnen die befristeten Sicherheitsfreigaben kurzfristig und verfallen nach einer bestimmten Dauer.
Alle Anmeldeinformationen, die wir gerade von der SSA gesehen haben, um diese Anmeldeinformationen zu löschen, sind temporär.
Und nach einer gewissen Dauer werden sie automatisch durch die neueren Zugangsdaten ersetzt.
Da sie eine begrenzte Lebensdauer haben, ist diese Rotation nicht mehr explizit.
Nun, im Allgemeinen, wenn Sie großartige Zugangsdaten erstellen, die bei Siskind heimlich
mit der Amusa in Verbindung gebracht werden, gibt es viele Beschwerden, dass nach drei Monaten alle
Benutzer ihre AmExs aus Sicherheitsgründen ersetzen sollten, hauptsächlich weil die anderen langfristigen Zugangsdaten andere
Zugangsdaten haben, die mit der kurzfristig generiert, was bedeutet, dass sich diese Intelligenz vielleicht nach ein paar Stunden ändern würde.
Das ist der Hauptunterschied zwischen einer langfristigen und einer kurzfristigen Vereinbarung.
Denken Sie daran, dass diese Freigaben definitiv funktionieren.
Wenn Sie also diese Anmeldeinformationen auf Ihren Laptop kopieren, können Sie alle Operationen ausführen, die
mit der IBM-Regel verbunden waren.
Lassen Sie uns das also schnell herausfinden.
Ich bin in meinem Seela in meinem Laptop, also lass uns die Idalis-Anmeldeinformationen hier öffnen.
Und Sie haben die Standardeinstellung, den Zugriff und das Geheimnis.
Dies sind also im Grunde die langfristigen Anmeldeinformationen.
Dies ist also etwas, mit dem wir uns derzeit nicht wirklich befassen, und übersehen, dass es sich um kurzfristige
Referenzen handelt.
Nennen wir dieses Profil also ein Leerzeichen.
Und zuerst definieren wir die Eatables-Zugriffsachse, die den geheimen Eatables-Zugriffsschlüssel definiert und auch die
Verwüstung definiert.
Als erstes kopieren wir diesen Zugang zu Kiddi.
Als nächstes wird die Sicherheit kopiert.
Und der letzte ist der Stationsmarker.
Lass Scoppetta.
Und werde hier sein.
Also sage ich es jetzt, wenn Sie es schnell mit der Historie und dem Profil einer CD tun, sehen Sie, dass Sie
in der Lage sind, die Operationen durchzuführen.
Und diese Operation ist hauptsächlich auf diesen Zugriffsschlüssel zurückzuführen, den geheimen Schlüssel in diesem Organ.
Wie Sie jetzt besprechen, handelt es sich um temporäre Anmeldeinformationen, die nach einiger Zeit rotiert werden.
Es zeigt Ihnen also auch an, wann das letzte Mal aktualisiert wurde.
Und es zeigt Ihnen auch die Ablaufzeit, die mit dem Grün der Diskriminierung verbunden ist.
Ich hoffe also auf einem hohen Niveau oder Sie haben verstanden, was ein Speer tut.
Schauen wir uns also die architektonische Perspektive an, wo Sie die AYAM-Benutzer haben können, Sie können
die gefilterten Benutzer haben.
Das sind also die beiden Beispiele, die wir genommen haben und die sie beim Spionagedienst anfordern können.
Daher generiert dieser MSDS-Dienst diese temporären Sicherheitsanmeldeinformationen und diese Anmeldeinformationen werden an
die Endbenutzer zurückgegeben.
Sehen wir uns also auch die Möglichkeit an, wie ich als Benutzer den Ask-Dienst aufrufen kann, um temporäre Sicherheitsanmeldeinformationen
zu generieren.
Schauen wir uns das auch an.
Wenn Sie also in die Befehlszeilenreferenz gehen, haben Sie die SD und es sind bestimmte Befehle verfügbar oder Sie
sind derjenige, der uns interessiert, hier ist die Torstation KUKAN.
Wenn Sie sich also die Beschreibung, das Token der Gate-Station, ansehen, gibt es einen Satz temporärer Anmeldeinformationen dafür
zurück.
Amusa ist der Architektur so ähnlich, dass derselbe Benutzer einen Satz temporärer
Anmeldeinformationen anfordert und der SD-Dienst ihn zurückgibt.
Bei dieser Art von Architektur benötigt der IAM-Benutzer nun einen langfristigen Berechtigungsnachweis.
Er benötigt also den Zugriff in geheimen Schlüsseln im Rahmen der Authentifizierung sowie des
autorisierungsbezogenen Aspekts für SD Green.
Um auf CLIA zurückzukommen, habe ich derzeit ein langfristiges Interesse an ihren Standardprofilen
und diese sind mit dem IAM-Benutzer verknüpft, der über Administratorrechte verfügt, und wir halten es vorerst
einfach.
Also lassen Sie uns dieses Jahr loslegen.
Ich sehe es also als ein Zeichen für eine Stop-Gap-Entscheidung.
Und wenn Sie nach unten gehen, können Sie auch die Dauer festlegen.
Wie wir gerade besprechen, generiert SPSS die temporären Sicherheitsfreigaben, das bedeutet, dass es
abläuft und Sie die Dauer dieses Ablaufs festlegen können.
Wenn Sie sich also diese spezielle Option oder dieses Jahr ansehen, beträgt die minimale Zeit 15 Minuten und die maximale
Zeit 36 Stunden, die Sie definieren können.
Derzeit sind all dies optionale Parameter.
Wenn wir also nur diesen Befehl ausführen, sollten Sie die Anmeldeinformationen hier jetzt wie erwartet erhalten und denen des Arbeitgebers
sehr ähnlich sind.
Sie haben einen geheimen Schlüssel.
Sie haben das Sitzungstoken sowie den Zugriffsschlüssel erhalten.
Dies sind also im Grunde die Anmeldeinformationen, die von den CDs generiert wurden.
Wenn Sie also sehen, dass es auch das damit verbundene Ablaufdatum hat.
Das ist also die High-Level-Architektur.
Nun noch einmal die, über die wir gerade gesprochen haben, bei der der Benutzer seine langfristigen Anmeldeinformationen verwendet,
um temporäre Anmeldeinformationen zu generieren.
Dies wird im Allgemeinen nicht in der Produktionsumgebung verwendet.
Es gibt andere Möglichkeiten wie Single Sign-On und gleiche Authentifizierung, die im Allgemeinen verwendet und verwendet werden, die für das
heutige Video nicht in der Schule sind.
Also halten wir es einfach, damit wir die architektonische Perspektive verstehen.
Nun, eine andere beliebte Architektur, die Speicherplatz verwendet, ist im Grunde der Cross-Around-Zugriff, bei dem Sie
die Regel in Konto 1 haben und dass ich mich einschreibe, eine Vertrauensbeziehung mit einem anderen Cross-Konto hat.
Ich bin ein Konto für ein Konto, und von diesem aus melde ich mich an.
Sie können die Anmeldeinformationen, die den Regeln im Konto zugeordnet sind, auf ähnliche Weise zu einem Konto abrufen.
Nehmen wir an, Sie haben Amusa auf Konto eins und es besteht eine Vertrauensbeziehung zwischen Konto eins und Konto
zwei.
Dieser IAM-Benutzer kann also den Ausubel-Vorgang auf dem schreibgeschützten oder Facundo und dem Administrator des Kontos ausführen, und er
kann die mit diesen Regeln verbundenen temporären Anmeldeinformationen abrufen, um bestimmte
Vorgänge auszuführen.
Schauen wir uns diese kurz an.
Zur Zeit in einem anderen Browser, habe ich hier ein neues Konto.
Lassen Sie uns schnell fortfahren und eine kontoübergreifende Regel erstellen.
Innerhalb des Landes zu vertrauen, habe ich das Konto durch das Konto angegeben, eines innerhalb der Erlaubnis.
Geben wir schnell die Straße, auf die er nur zugreifen würde, und nennen wir sie kontoübergreifend schreibgeschützt, und wir erstellen
eine Regel.
Also, was wir im Konto gemacht haben, haben wir weitergemacht und eine schreibgeschützte Regel erstellt.
Und innerhalb des Treuhandverhältnisses hatten wir, wie Sie wissen, die mit diesem Konto verknüpfte Kontonummer
hinzugefügt.
Von diesem Augenzeugenkonto aus können wir diese Rolle übernehmen und uns den temporären Anmeldeinformationen stellen, die
der schreibgeschützten Rolle des Buchhalters zugewiesen wurden.
Um dies zu tun, öffnen wir den Fall erneut.
Und Sie haben das Kommando von Azuma.
Lassen Sie uns dies erkunden.
Also wieder, es nutzt den Nachlass, so dass Sie die Rolle des Idealisten übernehmen und dann den Regelbereich angeben müssen
und die Regeln sagen Sinem.
Dies sind also die einzigen beiden Dinge, die erforderlich sind.
Also probieren wir es aus.
Ich sehe also, dass die besten ESPs hier eine Rolle übernehmen, gefolgt von der Regel. Nein, die Regel, Aaron, muss den Regelbereich
holen.
Dies ist also die Regel des Buchhalters, und Sie müssen auch die Regeln festlegen.
Sagen Sie Namen, nennen wir es Espin.
Und wie erwartet hat es uns im Grunde wieder den geheimen Zugang gegeben, die Station zusammengehalten und
diesen Zugangsschlüssel.
Diese Anmeldeinformationen, die wir hier besprochen haben, sind auch die Anmeldeinformationen, die mit dem schreibgeschützten Rohloff-Konto
verknüpft sind.
Mit diesen Anmeldeinformationen können Sie die Vorgänge für das Konto ausführen.
Nun, eine der gängigen Architekturen, die Sie in Produktionsumgebungen vieler Unternehmen sehen werden,
ist nicht die des Endbenutzers, sondern die von Amron.
Sie haben also, was Sie sehen, zwei Instanzen, die es im Ausland haben werden.
Und wenn Ihre Anwendung innerhalb dieses einfachen Beispiels bestimmte Operationen für ein
Land ausführen möchte, dann würden Sie die Architektur erstellen, die wir gerade besprochen haben.
Also gebe ich Ihnen einen Fall mit echten Werten.
Also, wissen Sie, eine der Organisationen, mit denen ich innerhalb des
Kontos zusammengearbeitet habe, wir hatten einen speziellen Schwachstellen-Scanner, der die Container-Images von X scannte und alle Container-Images waren in einem
Konto für ein Konto vorhanden.
Der Schwachstellenscanner war jedoch im Konto vorhanden.
Was wir früher gemacht haben, die einfachen zwei Instanzen, in denen der Schwachstellenscanner vorhanden war,
war erstaunlich und mir wurde gesagt, und von dort aus war es in der Lage, die SD-Rollenoperation für das Konto für Indien,
das Land und die Anmeldeinformationen durchzuführen, die es von der Asurion-Operation erhalten.
Es verwendet ihre Anmeldeinformationen, um die Bilder einfacher zu scannen und auch in die Bilder einzusehen, die Teil
des X-Clusters sind.
Das ist also eine gemeinsame Architektur, die Sie sehen werden.
Und dies ist eine der Best-Practice-Architekturen, wenn es um kontoübergreifende Amarula geht.
Nun, bevor wir zum Schluss kommen, lassen Sie mich Ihnen eine interessante Sache zeigen, denn
viele Benutzer sagen, dass wir einen Amusa haben, aber ich bin ein Benutzer, damit er die SD-Operation nach den Regeln des Idalis-Kontos
durchführen kann es gibt ein Land.
Er wird seine langfristigen Anmeldeinformationen innerhalb seiner Workstation benötigen.
Das ist also nicht der beste Weg, denn wenn diese langfristigen Zugangsdaten durchgesickert sind, sind wir wieder
beim Punkt Null.
Was Sie also tun können, ist, verschiedene Methoden im Zusammenhang mit Single Sinon zu verwenden.
Deshalb gebe ich Ihnen hier schnell ein Beispiel.
Das Beispiel ähnelt also dem, was wir hier sehen, wo sich der Benutzer zuerst authentifizieren muss.
Lassen Sie uns also weitermachen und uns gegen diese Sache authentifizieren, die das Sinon-Portal zuweisen wird.
Gut.
Von hier aus kann er also auswählen, mit welchem Idalis-Konto er die Operationen ausführen möchte.
Wie wir gerade besprechen, haben Sie einen Benutzer, er ist kein Benutzer, aber er möchte bestimmte Seela-Operationen auf
Rechnung für ein Konto ausführen.
Jetzt wird er sich zuerst auf der Single Sign-On-Seite anmelden und dann alle Konten sehen, auf die
er Zugriff hat.
In diesem Fall hat er Zugriff auf einen der Leader-Accounts.
Also klickt er auf dieses Konto.
Lass es uns schnell öffnen.
Und hier gibt es zwei Möglichkeiten.
Einer ist die Verwaltungskonsole und der zweite ist die Decke.
Bleiben wir also beim Concealer.
Und Sie sehen, dass die Single-Sign-On-Seite automatisch die Anmeldeinformationen abgerufen hat, die aus dem Zugriffsschlüssel, diesem
geheimen Schlüssel und dem Token bestehen.
Sie sehen also, dass Sie auf den Schlüssel zugreifen müssen.
Sie besitzen den geheimen Schlüssel sowie den Stations-Token.
Bei diesem Ansatz kann der Benutzer, ohne über langfristige Anmeldeinformationen zu verfügen, diese temporären Anmeldeinformationen
eingeben und diese Anmeldeinformationen verwenden, um bestimmte Vorgänge für das Konto auszuführen.
Auch hier wird also auch der Raum hinter den Kulissen genutzt.
Toll.
Das ist also die allgemeine Übersicht über SD.
Ich hoffe, dass Ihnen diese kurze Einführung einen Überblick über die Bedeutung des Dienstes gegeben hat, damit dieses
Video damit endet.
Ich hoffe, dieses Video war für Sie informativ.
Und ich freue mich, Sie im nächsten Video zu sehen.