Eroina.
E bentornati.
Nel video di oggi parleremo dell'ID esterno.
Ora, l'ID esterno è un dato che può essere passato all'API del ruolo assunto del servizio di token di sicurezza.
Lo scopo generale dell'ID esterno può essere spiegato con l'animazione che abbiamo ora.
Sul lato sinistro, è presente un account chiamato account di esempio.
In pratica ci sono tre conti qui che appartengono a tre entità diverse.
Ora, all'interno dell'account di esempio, è presente un rotolo di account incrociato attraverso il quale gli utenti IAM dell'account
Service Corp potranno accedere.
Quindi questa è la regola dell'account incrociato che è presente e avete anche un account attaccante.
Quindi questo account Service Corp fornisce il servizio sia all'account di esempio che all'account dell'attaccante.
Una volta creata la regola dell'account incrociato, l'amministratore dell'account di esempio fornirà
fondamentalmente l'URL del ruolo e l'admin, soprattutto perché per assumere il ruolo è necessario
un URL o il n.
Quindi, una volta che gli amministratori dell'account di esempio forniscono questi dettagli, gli utenti dell'account
Service Corp o dell'applicazione in esecuzione nell'account Service Corp potranno assumere il ruolo
e accedere alle risorse in base alle autorizzazioni assegnate al ruolo.
Ora, la sfida che può verificarsi in questo scenario è che questa Service Corp fornisce un'applicazione come servizio
sia all'account di esempio che a quello dell'aggressore e se l'account dell'aggressore fornisce
l'URL del ruolo e la parte finale del ruolo dell'account di esempio, ciò che accadrà è che l'applicazione o un servizio in esecuzione
nell'account Service Corp utilizzerà questo URL o quindi per assumere il ruolo e accedere al servizio.
Quindi, in sostanza, ciò che accadrà sarà l'account dell'attaccante.
Se è in grado di indovinare il termine di questo ruolo specifico, può specificarlo all'applicazione che è stata
fornita dall'account Service Corp per accedere alla risorsa dell'account di esempio.
Questa è la sfida generale che molte organizzazioni devono affrontare.
Per ovviare a questo problema, utilizziamo un ID esterno, quindi l'ID esterno è un dato aggiuntivo che viene
fornito oltre al ruolo in cui ci si trova per assumere il ruolo.
Questa è la panoramica di alto livello sulla necessità di un ID esterno.
Quindi facciamo una cosa.
Vediamo rapidamente una dimostrazione per capire meglio questo aspetto.
Quindi, all'interno dell'account dell'ottavo servizio, vengono creati due ruoli.
Uno è un ruolo normale e l'altro è il ruolo che utilizza l'ID esterno.
Entrambi sono un ruolo trasversale e se si guarda all'entità attendibile, questo è il numero di conto
di un'entità attendibile.
Quindi, per prima cosa, facciamo una cosa.
Passiamo al ruolo normale qui.
E se si esamina la relazione fiduciaria, se la modifico rapidamente, in pratica si autorizza un mandante
da questo specifico numero di conto.
Ora, da un altro browser, ho già effettuato l'accesso tramite un utente demo a quell'account, che è stato attendibile.
Quindi proveremo ad assumere il ruolo per entrambi i casi in cui l'ID esterno è richiesto e l'ID esterno non è richiesto.
E questa cosa assumerà il ruolo in base all'URL e all'amministratore.
Quindi, per prima cosa, facciamo una cosa.
Facciamolo.
Noi l'URL.
Quindi copierò l'URL e dal browser non appena lo inserirò nella barra degli URL.
Facciamo clic su Cambia ruolo e, come previsto, siamo riusciti ad accedere all'account.
Torniamo rapidamente indietro.
Ottimo.
Questo è l'URL.
Ora proviamo rapidamente anche tramite la CLI.
Quindi, dal CLA, ho già un comando pronto.
Quindi, quello che stiamo facendo, è un ruolo da e star e da zoom.
Stiamo fornendo un ruolo che non richiede l'ID esterno e il nome della sessione di ruolo.
Quindi, per questo ClA, ho la chiave di accesso e la chiave segreta associate all'utente demo che ho già
configurato.
Quindi, non appena premo invio qui, dovreste vedere che avete una chiave di accesso segreta, il token di sessione
e l'ID di accesso che ho generato.
Quindi, per questo ruolo specifico, sia il GI che l'accesso CLA funzionano come previsto.
Torniamo quindi ai ruoli e questa volta scendiamo un po' più in basso.
Apriamo la chiamata di ruolo ID esterno.
Se si analizza il rapporto di fiducia, ora il rapporto di fiducia complessivo rimane simile a quello
del ruolo precedente.
Tuttavia, c'è una condizione aggiuntiva che viene specificata qui, e la condizione
è quando una stringa corrisponde a SDS, ID esterno, che è 090295.
In pratica, questo significa che chiunque voglia assumere il ruolo deve fornire questo specifico ID esterno,
senza il quale l'assunzione del ruolo non funzionerà.
Quindi proviamo.
Ora, prima di procedere, se esaminiamo la documentazione associata al ruolo assunto,
scendiamo un po' più in basso.
Qui c'è un'opzione specifica in cui è possibile specificare l'ID esterno e questo è qualcosa che richiederemo.
Quindi, per prima cosa, proviamo ad assumere questo ruolo senza fornire alcun ID esterno.
Quindi cancello lo schermo.
Procediamo con la sostituzione dell'amministratore.
Ora, non appena si preme invio, si ottiene immediatamente un errore qui.
Ora, facciamo una cosa.
Proviamo a specificare l'ID esterno.
Il dis 090295.
Ora, non appena si aggiunge l'ID esterno, si vede che le cose funzionano come previsto.
Va bene.
Spero che abbiate capito perché è necessario un ID esterno.
Ora, in questi casi, anche se un account malintenzionato entra nel ruolo all'interno dell'applicazione fornito
dall'account Service Corp, quest'ultimo non sarà in grado di assumere il ruolo poiché
non viene fornito l'ID esterno.
Ora, una cosa molto importante da ricordare è che l'ID esterno funziona solo quando si assume
il ruolo tramite CLA o SDHC.
Non funzionerà se lo si fa attraverso il browser.
Vi mostro rapidamente questo: copio l'URL e lo inserisco rapidamente qui.
Proviamo quindi a invertire il ruolo.
Si è verificato un errore che indica la presenza di informazioni non valide in uno o più campi.
Questo è l'errore che si ottiene di solito per il ruolo che richiede un ID esterno.
Ora, prima di concludere, vi mostrerò come si può creare un ruolo con un ID esterno.
Le fasi generali sono quindi molto simili.
Quindi facciamo una cosa.
Procediamo con la creazione di un ruolo con un altro account all'interno dell'ID account.
È possibile specificare l'idea di account di un account di destinazione e tutto ciò che si deve fare è selezionare
la prima opzione, che richiede l'ID esterno, oppure rientrare nella fascia.
La prassi migliore è che sia un terzo ad assumere questo ruolo.
Questo è molto simile al diagramma di sfida di cui stiamo discutendo, dove l'importanza dell'ID
esterno entra in gioco soprattutto quando si utilizza un servizio di terze parti.
Una volta selezionata questa opzione, si dovrà specificare l'ID esterno.
Quindi, a seconda di ciò che si intende fare, si può specificare l'ID esterno qui e poi passare a quello
successivo.
Per ora evitiamo la politica.
E chiamiamola semplicemente "tempio del trattino C".
Quindi, dalla console, se si guarda rapidamente a questo ruolo e alla relazione di fiducia,
si dovrebbe vedere che esiste una relazione di fiducia con una condizione specifica in cui la stringa corrisponde
all'ID esterno fornito.
Ottimo.
Quindi, prima di concludere, rivediamo rapidamente le due indicazioni importanti.
Il primo è che una volta impostato l'ID esterno, quando qualcuno utilizza la CLI o l'API per assumere il ruolo, deve
fornire un ID esterno.
In secondo luogo, non è possibile passare i ruoli dalla console a un ruolo che è una condizione di ID esterno all'interno del criterio di fiducia,
quindi la console non può essere utilizzata.
È necessario utilizzare opzioni come CLI, SDK e così via.
Questa è la panoramica di alto livello sull'ID esterno.
Spero che questo video sia stato istruttivo per voi e vi aspetto nel prossimo video.