Dan selamat datang kembali sekarang di video ini kita akan membahas tentang serangan udara lintas arus sekarang
di banyak organisasi.
Ada persyaratan bahwa blog tertentu terpusat.
Dan salah satu layanan dimana blog umumnya terpusat adalah buku sejarah.
Jadi mari kita asumsikan bahwa ada tiga akun kedua Atabay.
Akan menjadi mata uang sekarang, dalam akun menjadi mata uang.
Anda memiliki beberapa contoh produksi Anda yang sedang berjalan sekarang.
Sebagai bagian dari keluhan, Anda memiliki persyaratan bahwa semua log yang merupakan bagian dari U. S. dua contoh perlu
disimpan selama tujuh tahun ke depan.
Jadi di mana Anda akan menyimpannya sekarang?
Salah satu pilihannya adalah Anda akan membuat buku sejarah, itu bisa disimpan.
Log dalam riwayat itu memesannya lagi, membuat sertifikat di toko mata uang, semua log
di akunnya, dan seterusnya.
Sekarang, ini akan berhasil, tetapi tidak benar-benar terukur.
Saat ini, organisasi memiliki ratusan akun dan pendekatan untuk menciptakan pasar bebas di
akun Idalis lokal bukanlah pendekatan terbaik.
Jadi apa yang akan Anda lakukan, arsitektur yang lebih baik adalah Anda memiliki akun pusat, yang merupakan area akun.
Anda membuat tiga ember di sini dan semua log dari semua akun lain dapat disimpan ke dalam ember
S3 pusat ini.
Nah, bukankah log ini juga bisa menyertakan log dari layanan lain seperti cloud trail, cloud watch,
log aplikasi, log sistem dan sebagainya.
Sekarang, secara umum, apa yang terjadi di perusahaan adalah ketika Anda memiliki S. SEBUAH. M. solusi yang mendeteksi
serangan keamanan dan sebagainya, S. SEBUAH. M. sistem tidak terhubung langsung ke akun individu.
Mereka terhubung ke ember S3 dari akun pusat dan dari tiga ember berbeda semua log
yang diperlukan dari semua akun lain yang tersedia sebagai bagian dari organisasi.
Sekarang, untuk mencapai ini, Anda perlu membuat tiga ember yang memungkinkan akses dari beberapa
akun berbeda.
Dan bagaimana melakukannya adalah sesuatu yang akan kita diskusikan hari ini.
Anda tahu, setiap kali Anda mendesain di seluruh akses bucket Akun S3, pendekatan yang disarankan adalah
membuat kebijakan bucket.
Jadi apa yang akan terjadi adalah kita memperhitungkan kesederhanaan.
Jadi Anda memiliki Al-Ghamdi, yang merupakan akun pusat, dan Anda memiliki akun B, yang memiliki
dua contoh lingkungan produksi yang sedang berjalan.
Jadi apa yang Anda inginkan, Anda ingin akun B menyimpan data ke dalam tiga ember akuntansi.
Jadi cara yang disarankan adalah Anda membuat kebijakan bucket baru dan kebijakan bucket itu, yang dinyatakan, menyatakan
izinkan Akun B mendorong log untuk mendesentralisasikan bucket.
Jadi, setelah Anda mengaitkan kebijakan bucket ini ke bucket sentralistik, maka bucket ini akan melanjutkan dan mengizinkan
log untuk didorong, mengingat log tersebut berasal dari akun B, jadi ini adalah ikhtisar tingkat yang
sangat tinggi.
Sekarang mari kita lihat bagaimana tepatnya kebijakan bucket ini terlihat.
Jadi ini adalah tangkapan layar sederhana dari kebijakan ember.
Nah, jika Anda akan melihat dalam tindakan kebijakan ember ini, ada tiga tindakan yang diperbolehkan.
Anda harus keberatan, menempatkan objek dan menempatkan objek tersebut.
Jadi pada dasarnya yang Anda inginkan adalah Anda ingin akun tersebut mendorong data, memusatkan ember.
Anda juga tidak benar-benar menginginkan berbagai hal seperti operasi penghapusan.
Kalau tidak, apa yang akan terjadi adalah katakanlah salah satu dari Anda melihat dua contoh beraksi dengan penyerang yang
disusupi pada dasarnya dapat menghapus semua data dari ember yang sama.
Jadi secara khusus, setiap kali Anda mendesain akun silang, kebijakan tiga ember, sangat penting
untuk mengizinkan hanya tindakan yang diperlukan minimal.
Ini sangat penting.
Baiklah.
Jadi tindakan adalah objek yang bagus, letakkan objek dan letakkan objek di sini.
Ini baik-baik saja untuk saat ini.
Kami sekarang dalam prinsip yang mendalam.
Ini adalah bagian yang sangat penting.
Anda menentukan area akun B, sehingga Anda memiliki nomor akun yang diikuti dengan rute.
Jadi dalam kasus seperti itu, setiap pengguna di akun B atau i. e. terlibat dengan India dapat mempertimbangkan kebijakan yang
tepat mengatakan kepada mereka bahwa mereka akan dapat melakukan tiga operasi pada sumber daya, yang
merupakan urutan Strathbogie pusat.
Jadi ini adalah kebijakan ember dasar.
Jadi mari kita lakukan satu hal.
Mari kita lanjutkan dan coba keduanya, yang akan membahas hal-hal secara lebih rinci.
Jadi mirip dengan arsitektur yang kita diskusikan untuk demo hari ini, kita akan memiliki dua akun.
Anda memiliki akun dan akun B sekarang di browser Chrome saya, saya memiliki county, jadi kami akan menganggap ini sebagai
county kami.
Dan saya memiliki satu akun lagi, yang merupakan bagian dari peramban Firefox saya, dan kami akan mempertimbangkannya sebagaimana
adanya.
Jadi di akhir video, kita harus bisa mendorong log dari Akun B ke akun A ribcage
terpusat.
Jadi pertama, mari kita buat anggaran sentralistik.
Jadi di dalam browser Chrome saya, mari kita buat yang baru.
Sebut saja Gabey Labs saya tanda hubung Tengah sekali, lalu mari kita lanjutkan dan membuat Solares tiga ember yang
sempurna dibuat.
Sekarang, jika Anda melihat izin di sini, mari kembali ke bawah.
Jadi dalam kebijakan ember, sampai sekarang, Anda melihat bahwa Anda tidak benar-benar memiliki kebijakan ember apa pun.
Jadi itu berarti akun lain tidak akan dapat mendorong data mereka ke pemesanan pusat.
Jadi yang kami butuhkan adalah kami ingin kebijakan ember diaktifkan di sini.
Jadi mari kita lakukan satu hal.
Mari kita lanjutkan dan tambahkan kebijakan ember.
Jadi kami tidak peduli seberapa sentral kebijakan tiga ember yang kami miliki dan kami sudah
membahasnya.
Jadi Anda memiliki tiga tindakan dan di dalam sumber daya Anda memiliki nama tiga ember.
Sekarang, satu bagian penting yang kita diskusikan adalah Anda perlu menambahkan nomor akun Anda dari akun
yang akan mendorong kunci ke ember tambahan ini di mana kebijakan ini dikaitkan.
Jadi dari Firefox saya, biarkan saya melanjutkan dan menyalin nomor akun yang akan menjadi dan saya akan menjadi
auditor negara sekali.
Kalau begitu mari kita salin kebijakan ember dan biarkan saya berterus terang dengan Anda.
Jadi begini tampilannya.
Mari kita lanjutkan dan simpan perubahannya.
Sempurna.
Jadi, apakah kebijakan tiga ember berhasil ditambahkan?
Besar.
Jadi bagian pertama kami selesai.
Sekarang bagian kedua terkait dengan konfigurasi yang dapat dipertanggungjawabkan.
Sekarang, untuk contoh ini, kami telah menggunakan dua contoh, tetapi itu juga bisa menjadi Amusa.
Katakanlah saya pengguna akun B ingin mengunggah beberapa daftar pusat data penting di pengguna akhir juga harus
dapat melakukannya.
Jadi untuk video hari ini, kita akan melanjutkan dan membuat pengguna AYAM baru untuk tujuan pengujian.
Jadi mari kita cepat pergi ke layanan akhir dari akun B dan
di dalam.
Mari kita lanjutkan dan buat pengguna baru hanya untuk kesederhanaan.
Kami hanya akan menyebutnya.
Pengguna akan memberikan izin akses terprogram kepada pengguna.
Mari kita hindari mulai sekarang dan kita akan melanjutkan dan membuat pengguna.
Sempurna.
Sekarang hanya untuk kesederhanaan tujuan pengujian kami, saya juga memiliki sikap mudah melakukan dengan Amazon Linux.
Dan dalam melakukan hal yang mudah ini, karena saya membuat pengguna baru dan nama pengguna, kualitas
lezzies akan menjadi Orleck dan kami akan melanjutkan dan mengalihkan pengguna ke akun B dan dalam pengguna ini akan
mengaitkan Access Kadian Secret Access.
Jadi mari kita lihat konfigurasi dabbler.
Saya akan menambahkan kunci akses.
Biarkan itu menjadi kunci akses rahasia dan nama wilayah.
Mari kita gunakan wilayah default USD dua dan bahkan ember kita dibuat hampir sempurna.
Jadi akun kami dikaitkan dengan kredensial yang ditetapkan.
Pada tahap ini, ketika Anda melakukan estriol, Anda akan melihat akses yang mereka butuhkan, terutama karena Anda
tidak benar-benar memiliki kebijakan IAM yang terkait dengan akun ini.
Sekarang bagian penting kedua dari arsitektur ini adalah bahwa entitas IBM, mungkin saya pengguna atau Ambro, juga harus memiliki
izin untuk mendorong data untuk memusatkan anggaran ulang.
Ini tidak seperti Anda telah mengizinkan kebijakan bucket di Rivergate terpusat dan semua entitas IAM di
akun.
Kami akan dapat melakukan itu.
Kebijakan tersebut juga perlu dikaitkan dengan akun yang diubah.
Jadi yang perlu kita lakukan adalah membuat kebijakan IAM baru untuk pengguna IAM yang telah dan akan kita
buat.
Dan apa yang diperbolehkan oleh kebijakan ini untuk kita lakukan.
Sekali lagi, reaksi mendapatkan objek, meletakkan objek dan meletakkan objek di sini dan di sini kita menentukan,
mendesentralisasi, mengerjakannya.
Jadi saya harap Anda memahami pentingnya kebijakan akronim.
Jadi kami akan melanjutkan dan menyalin ini dan kebijakan di sini dan akan mengaitkan kebijakan IAM ini dengan
akun yang menjadi Amusa.
Jadi mari kita buka pengguna di sini.
Mari tambahkan kebijakan inline baru yang akan masuk ke Jason.
Saya mendasarkan kebijakan di sini.
Mari kita lakukan review policy dan nama akun eskalator eskalator Liz adalah tiga akan maju dan membuat
kebijakan.
Sempurna.
Jadi sekarang semua konfigurasi yang diperlukan untuk akun dan achonwa telah selesai.
Jadi mari kita uji semuanya.
Jadi yang saya lakukan, pertama-tama saya akan mengunggah beberapa data sampel ke keranjang atribut akuntansi.
Jadi ini adalah sesuatu yang bisa kita lakukan langsung dari konsol itu sendiri.
Mari kita lakukan itu.
Saya mendefinisikan file.
Anda hanya dapat menambahkan file sementara yang Anda miliki di dalam sistem Anda.
Sempurna.
Jadi file tersebut ditambahkan di ember pusat.
Sekarang, karena dalam kebijakan ember kami telah mengizinkan objek gerbang, itu pada dasarnya berarti
besarnya akun.
Kita harus dapat mengambil data dari sejarah.
Jadi dari akun tersebut mari kita coba.
Saya akan mengatakan tempatnya adalah tiga.
Coba salin datanya, yaitu untuk membayar DataDot, dan anggarannya cenderung kurang sentral dan akan di isi
di sini.
Dan Anda melihat operasi pengunduhan bekerja dengan sangat baik.
Jadi jika saya melakukan sedikit area, kita harus membayar untuk DataDot.
Ini jadi hal-hal yang bekerja seperti yang diharapkan.
Demikian pula, mari kita coba juga mengunggah beberapa data dari Anda.
Jadi mari kita buat file baru, saya akan menyebutnya sebagai teks titik akun B dan mari kita coba menyalin file ini
sebagai tiga akun B ketat, dan kami ingin meletakkannya di tengah tanda hubung kiri saya.
Dan Anda melihat unggahan juga bekerja dengan sangat baik.
Jadi sekarang jika saya menyegarkan halaman di sini, Anda akan melihat bahwa Anda telah memperhitungkan dan titik juga tersedia.
Besar.
Jadi saya harap dengan ini Anda memahami gambaran umum tingkat tinggi tentang alur kerja di balik kesuksesan konten
Corozal.
Tetapi pada tahap ini kami belum selesai.
Itu adalah salah satu bagian yang sangat penting yang juga perlu diperhatikan.
Kami akan membahasnya dengan sangat rinci di video mendatang.
Tapi saya hanya akan memberi Anda sedikit tentang masalah yang akan Anda hadapi dalam arsitektur ini.
Sekarang, yang terjadi adalah kedua file ini adalah bagian dari ember ini, tetapi izin yang
terkait dengan kedua file ini sama sekali berbeda.
Mari kita segera memeriksanya sekarang untuk akun tersebut.
Jadilah kotor setiap kali saya melanjutkan dan mencoba mengunduh file ini.
Anda lihat, saya mendapatkan pesan akses ditolak.
Sangat menarik dengan cara yang sama, file yang diunggah dari akun itu sendiri.
Ketika saya mencoba mengunduh file itu, mari kita coba lakukan itu.
Soalnya, unduhan file berfungsi dengan sempurna.
Jadi alasan utama mengapa ini tidak berfungsi adalah karena akun file ini didanai atau B dikaitkan dengan akun B
dan file berikutnya untuk membayar DataDot dikaitkan dengan akun A sekarang, meskipun saya memiliki akses administratif di akun
E, ini tidak berarti bahwa saya memiliki izin atau file yang diunggah dari akun
tersebut sehingga akan membahas tentang ini dengan sangat rinci.
Tetapi sangat penting untuk mengetahui bahwa jika Anda menerapkannya di lingkungan produksi, saya telah
melihat masalah ini di mana ada beberapa tim yang berkolaborasi dalam ember S3 pusat dan tim
lainnya mengunggah semua data mereka dalam ratusan gigabyte.
Dan kemudian mereka menyadari bahwa semua data yang diunggah ke ember S3 pusat, tidak ada pengguna dari
daerah kami yang dapat mengaksesnya.
Jadi ini sedikit menyebalkan dan akan membahas mengapa ini terjadi dan cara terbaik untuk menyelesaikannya.
Jadi dengan ini akan menyimpulkan video hari ini.