我們來深入講解第二部分：安全性和權限管理，依然用通俗易懂的語言解釋。
核心服務 1：IAM（Identity and Access Management）
1. IAM 的核心概念
-
作用：
IAM 是 AWS 的“門衛系統”，用來管理誰可以訪問你的資源以及可以做什么。 -
生活比喻：
IAM 就像一棟大樓的門禁系統，可以為每個人發不同權限的門卡：- 有的人只能進大廳。
- 有的人能進機房。
- 有的人可以操作機房里的設備。
2. IAM 的重要特性
-
核心組件：
- **用戶（User）：**對應個人用戶，分配唯一的身份和權限。
- **組（Group）：**一組用戶共享同樣的權限（比如開發團隊）。
- **角色（Role）：**一種“臨時身份”，適合應用程序使用，不綁定具體用戶。
比喻：
- 用戶是具體的員工，發給他們門卡。
- 組像一個部門，每個部門的員工有相同權限。
- 角色像臨時工，完成任務后權限會失效。
-
權限策略（Policy）：
- 決定用戶或角色能做什么，比如“只能讀文件”“不能刪除數據”等。
- IAM 提供了很多“預設策略”（AWS Managed Policies），比如只允許讀 S3 文件。
比喻：
權限策略就像規定：某人只能進辦公區，不能進機房。 -
多重身份驗證（MFA）：
- 增加登錄安全性，除了密碼，還需要一次性驗證碼（通過手機 App 或硬件生成）。
比喻：
就像銀行的雙重驗證，登錄賬戶后還需輸入動態密碼才能轉賬。
3. IAM 的考試重點
-
最小權限原則（Principle of Least Privilege）：
- 只授予用戶完成任務所需的最低權限。
- 避免用戶或應用有“超出需要”的權限，降低風險。
-
角色和權限分離：
- 應用程序應使用“角色”訪問資源，而不是綁定個人賬戶。
-
訪問密鑰管理：
- 定期更換訪問密鑰，避免密鑰泄露。
- 遇到密鑰泄露，立即禁用并生成新密鑰。
-
跨賬戶訪問：
- 配置 IAM 角色，允許不同 AWS 賬戶之間共享資源。
IAM 的生活化例子
場景：你是一家公司老板，給不同崗位的員工分配權限。
- **工程師（User）：**能訪問服務器，更新代碼。
- **客服（User）：**只能查看客戶數據，不能修改或刪除。
- **外包團隊（Role）：**只能臨時使用系統，項目結束后權限失效。
考試會要求你根據場景，配置合理的用戶、組和角色，以及適當的權限策略。
核心服務 2：數據加密與密鑰管理
1. 數據加密的核心概念
-
作用：
加密是保護數據的核心手段，確保數據即使被偷了，也無法被解讀。- 加密時，數據會被轉化為只有“密鑰”才能解開的亂碼。
-
生活比喻：
數據加密就像把重要的文件鎖進保險箱，只有有鑰匙的人能打開。
2. AWS 提供的加密工具
-
KMS（Key Management Service）：
- AWS 的密鑰管理服務，用于生成、存儲和管理加密密鑰。
- 支持自動加密 AWS 服務中的數據（如 S3、RDS）。
比喻：
KMS 就像 AWS 提供的保險箱，可以幫你生成鑰匙、保存鑰匙，并管理誰可以用這些鑰匙。 -
服務器端加密（Server-Side Encryption）：
- 數據存儲時由 AWS 自動加密。
- 使用 KMS 的密鑰或 AWS 提供的默認密鑰。
-
客戶端加密（Client-Side Encryption）：
- 在數據傳輸到 AWS 前，用戶自行加密數據。
- AWS 不保存密鑰，用戶需自行管理。
3. 數據傳輸中的加密
-
HTTPS 和 TLS：
- 使用 HTTPS 確保數據在傳輸過程中是加密的。
- AWS 的 ELB（Elastic Load Balancer）和 CloudFront 默認支持 HTTPS。
-
VPN 加密：
- 通過 VPN（虛擬專用網絡）連接 AWS，與傳統網絡之間的數據傳輸也能加密。
比喻：
HTTPS 像加密的快遞箱，VPN 像封閉的專用快遞通道。
4. 數據加密的考試重點
-
加密類型：
- 知道 S3、RDS 等服務支持哪些加密方式（比如 AWS KMS、自帶密鑰等）。
- 掌握 KMS 的核心操作（創建密鑰、分配權限、刪除密鑰）。
-
加密與合規：
- AWS 加密服務符合多種法規（如 GDPR、HIPAA）。
- 知道如何配置加密來滿足法規要求。
-
加密的最佳實踐：
- 定期輪換密鑰。
- 對存儲的數據（S3/RDS）和傳輸中的數據（HTTPS）都啟用加密。
數據加密的生活化例子
場景：存放公司財務數據。
- 把財務數據存儲在 S3，并用 KMS 自動加密。
- 數據傳輸時使用 HTTPS，防止被監聽。
- 財務部門有權限解密查看，其他人無法訪問。
考試可能會給出類似的場景，要求你選擇合適的加密方案。
小結：第二部分考試技巧
- 理解 IAM 的核心組件：用戶、組、角色和權限策略，記住最小權限原則。
- 掌握 KMS 的加密流程，知道如何結合 S3、RDS 等服務使用加密功能。
- 注意數據傳輸中的加密方式（HTTPS、VPN 等）。
(1))
