Heroína.
E bem-vindo de volta.
Agora, no vídeo de hoje, será discutida a identificação externa.
Agora, a identificação externa é um dado que pode ser passado para o papel assumido de API do serviço de fichas de
segurança.
Agora, o objetivo geral da identificação externa pode ser explicado com esta animação que temos agora.
No lado esquerdo, você tem uma conta de exemplo de chamada de conta.
Portanto, basicamente há aqui três contas que pertencem a três entidades diferentes ao todo.
Agora dentro da conta de exemplo, você tem um rolo de conta cruzada através do qual os usuários do IAM da conta do
serviço Corp poderão fazer o login.
Portanto, esta é a regra da conta cruzada que está presente e você também tem uma conta de atacante.
Portanto, esta conta da Service Corp está fornecendo o serviço tanto para a conta do exemplo quanto para a conta do atacante.
Agora, uma vez criada a regra da conta cruzada, o administrador da conta de exemplo basicamente fornecerá
a URL da função bem como o administrador, principalmente porque, para assumir a função, você precisa
ou de uma URL ou do n.
Assim, uma vez que os administradores de conta de exemplo forneçam estes detalhes, os usuários da conta da Service
Corp ou da aplicação que está sendo executada na conta da Service Corp poderão assumir a função e também
acessar os recursos, dependendo da permissão que for atribuída à função.
Agora, o desafio que pode ocorrer em tal cenário é que este Service Corp está fornecendo uma aplicação como
serviço tanto para o exemplo quanto para a conta do atacante, e se a conta do atacante fornece
a URL da função e o fim da função da conta do exemplo, então o que acontecerá é que a aplicação ou um serviço que está sendo
executado na conta do Service Corp usará esta URL ou então para assumir a função e acessar o serviço.
Portanto, essencialmente o que vai acontecer é a conta do atacante.
Se ele for capaz de adivinhar o fim desta função específica, ele pode especificá-la para a aplicação que
foi fornecida pela conta da Service Corp para acessar o recurso da conta de exemplo.
Portanto, este é o desafio geral que está sendo enfrentado por muitas organizações.
E para superar isso, fazemos uso de uma identificação externa, portanto, a identificação externa é uma peça adicional de dados
que você fornece além do papel que eles desempenham a fim de assumir o papel.
Portanto, esta é a visão geral de alto nível sobre a necessidade de uma identificação externa.
Portanto, vamos fazer uma coisa.
Vamos fazer rapidamente uma demonstração para que isto possa ser melhor compreendido.
Portanto, dentro da conta de oito serviços, há duas funções que estão sendo criadas.
Um é um papel normal e o segundo é o papel que utiliza identificação externa.
Agora ambos são um papel de conta cruzada e se você olhar para a entidade de confiança, este é o número de conta de
uma entidade de confiança.
Portanto, primeiro, vamos fazer uma coisa.
Vamos para o papel normal aqui.
E se você olhar para a relação de confiança, se eu a editar rapidamente, é basicamente permitir um diretor
a partir deste número de conta específico.
Agora de um navegador diferente, já estou conectado através de um usuário de demonstração a essa conta que tem sido
confiável.
Portanto, estaremos tentando e assumindo o papel tanto para os casos em que a identificação externa é necessária quanto para os casos em que a identificação externa não é
necessária.
E esta coisa estará assumindo o papel com base tanto no URL quanto na administração.
Portanto, primeiro, vamos fazer uma coisa.
Vamos fazer isso.
Nós o URL.
Portanto, copiarei a URL e do navegador assim que a colocar dentro da barra de URL.
Vamos clicar em Switch role e, como esperado, estamos logados com sucesso na conta.
Portanto, vamos voltar rapidamente.
Ótimo.
Então esse é o URL.
Agora vamos tentar rapidamente através do CLI também.
Portanto, a partir do CLA, já tenho um comando pronto.
Portanto, o que estamos fazendo, estamos fazendo um papel de e star é um papel de zoom.
Estamos fornecendo o papel que não requer a identificação externa e você tem um nome de sessão de papel.
Portanto, basicamente para esta ClA, tenho a chave de acesso e secreta associada ao usuário demo que já
configurei.
Portanto, assim que eu pressionar a tecla "entrar" aqui, você deve ver que tem uma chave de acesso secreta, o símbolo da sessão,
assim como o ID de acesso que eu gerei.
Assim, para este papel específico, tanto o IG quanto o acesso ao CLA estão funcionando como esperado.
Portanto, voltemos aos papéis e vamos um pouco mais abaixo desta vez.
Vamos abrir o papel chamando a identificação externa.
Agora, se você olhar para a relação de confiança, agora a relação de confiança geral continua a ser semelhante
à do papel anterior.
Entretanto, há uma condição adicional que é especificada aqui, e a condição
é quando um fio é igual a SDS, ID externo, que é 090295.
Isto significa basicamente que qualquer pessoa que queira assumir o papel deve fornecer esta identificação
externa específica, sem a qual a suposição do papel não funcionará.
Portanto, vamos experimentar.
Agora, antes de prosseguirmos e fazermos isso, se examinarmos a documentação associada ao
papel assumido, vamos descer um pouco.
Portanto, aqui há uma opção específica onde você pode especificar a identificação externa e isto é algo que nós exigiremos.
Portanto, primeiro, vamos tentar assumir este papel sem dar nenhuma identificação externa.
Portanto, vou limpar a tela.
Vamos em frente e substituamos o administrador.
Agora, assim que você pressiona para entrar, você vê, você imediatamente recebe um erro aqui.
Agora, vamos fazer uma coisa.
Vamos tentar especificar a identificação externa.
O dis 090295.
Agora, assim que você adiciona a identificação externa, você vê que as coisas estão funcionando como esperado.
Muito bem.
Portanto, espero que você tenha entendido por que é necessária uma identificação externa.
Agora, em tais casos, mesmo que uma conta de atacante entre em sua função dentro da aplicação que é fornecida pela conta
da Service Corp, a conta da Service Corp não será capaz de assumir a função, já que a identificação
externa não é fornecida.
Agora, uma parte muito importante a lembrar é que a identificação externa só funcionará quando você estiver assumindo
o papel através do CLA ou SDHC.
Não vai funcionar se você estiver fazendo isso através do navegador.
Deixe-me mostrar isto rapidamente para que eu possa copiar esta URL e deixe-me inseri-la aqui rapidamente.
Portanto, vamos tentar mudar o papel.
E você vê que recebeu um erro dizendo que informações inválidas em um ou mais campos.
Portanto, esse é o erro que você normalmente receberá pela função que requer identificação externa.
Agora, antes de concluirmos, deixe-me mostrar-lhe como você pode criar um papel com identificação externa.
Portanto, as etapas gerais são muito semelhantes.
Portanto, vamos fazer uma coisa.
Vamos em frente e criemos um papel com outra conta dentro da ID da conta.
Você pode especificar a idéia de uma conta de destino e tudo o que você tem que fazer é selecionar a primeira
opção, que requer a identificação externa ou você está dentro do parêntese.
É uma boa prática quando um terceiro assume este papel.
Portanto, isto é muito semelhante ao diagrama de desafio que estamos discutindo, onde a importância
da identificação externa aparece principalmente quando você está usando um serviço de terceiros.
Assim, uma vez selecionada esta opção, o que você tem que fazer é especificar a identificação externa.
Assim, dependendo do que você pretende fazer, você pode apenas especificar a identificação externa aqui e uma vez, então você
pode ir para o próximo.
Vamos evitar a política por enquanto.
E vamos chamá-lo apenas de um hífen C temporário.
Portanto, a partir do console, se você olhar rapidamente para este papel e se você olhar para a relação
de confiança ou você deve ver que você tem uma relação de confiança com uma condição específica onde a corda é igual à identificação
externa que você forneceu.
Ótimo.
Portanto, antes de concluirmos, vamos rever rapidamente os dois indicadores importantes aqui.
Primeiro é que uma vez definida a identificação externa, quando alguém usa o CLI ou API para assumir a função, deve fornecer
uma identificação externa.
Em segundo lugar, você não pode mudar as funções no console para uma função que seja uma condição de identificação externa dentro da política de confiança,
portanto, o console não pode ser usado.
Você tem que fazer uso de opções como CLI, SDK e assim por diante.
Portanto, esta é a visão geral de alto nível sobre a identificação externa.
Espero que este vídeo tenha sido informativo para você e estou ansioso para vê-lo no próximo vídeo.