Að taka við VPC-fjaraðgangi krefst synjunarprófa

Samþykki fyrir fjaraðgangi er tafla yfir væntar niðurstöður, ekki skjáskot af virkri síðu. Fyrir hvern hóp skrifar þú hvað á að takast og hvað á að mistakast, og keyrir síðan hvort tveggja með sérstökum prófunarauðkennum í stýrðum glugga. Synjanirnar eru sá hluti sem sannar mörkin; vel heppnuð innskráning sannar aðeins að göngin séu til. Allt þetta virkar með VPN-vörunni sem þegar er valin.

Notaðu aðskilda reikninga fyrir prófin og merktu þá þannig að enginn rugli prófunarauðkenni við raunverulega undantekningu.

Skrifaðu mörkin sem væntar niðurstöður

Byrjaðu á hlutverkunum frekar en íhlutunum: hver þarf hvaða þjónustu, hvaðan og með hvaða auðkenni. Taktu skýringardæmi um VPC: einn hópur þarf prófunarumhverfið yfir HTTPS, annar þarf framleiðslugagnagrunn, og þriðji og minni hópurinn stýrir gáttinni sjálfri. Hver lína fær vænt leyfi og vænta synjun, þar á meðal nálægu þjónustuna og nálæga reikninginn sem ættu ekki að virka. Sú tafla er samþykkisviðmiðið, og fólk sem keyrir ekki prófin getur farið yfir hana.

Prófaðu innskráningu í gagnagrunninn aðskilið frá netleiðinni. Aðgengileg TCP-gátt ætti ekki að gera ósamþykktan gagnagrunnsreikning árangursríkan, og VPN-aðild ætti ekki að búa til IAM-hlutverk í skýi eða veita stjórnunarlegum API-aðgangi. Þetta eru þrjár óháðar stýringar, og þær mistakast óháð.

Leið er ekki heimild

Leið gerir slóð mögulega; hún veitir ekki leyfi. Að halda leið aftur er veik staðgengil fyrir takmörkun sem er framfylgt á áfangastað, því biðlari getur alltaf bætt við eigin leið. Öryggishópurinn, gagnagrunnsheimildin og eigin heimild forritsins eru áfram stýringarnar sem ráða. Þegar próf tekst óvænt skaltu fyrst líta á stefnu áfangastaðarins en ekki leiðartöfluna sem þú ætlaðir biðlaranum að hafa.

Þess vegna beinast synjunarprófin að netþjónshliðinni: ekki er hægt að breyta þeim niðurstöðum með því að breyta biðlaranum.

Hvaða upptök sér stýringin í raun?

Upprunavistfangið sem stýring metur fer eftir arkitektúr gáttarinnar. Gátt sem hýst er á EC2 getur sent leiðbeint laug áfram, þýtt hana yfir á eigið vistfang eða sýnt annað vistfang eftir NAT; stýrður Client VPN tengist undirneti og fylgir eigin líkani. Öryggishópar og net-ACL sjá það sem kemur eftir þá vinnslu. Að skoða reglu út frá röngum upprunaforsendum er algeng leið til að byggja mörk sem líta rétt út og hleypa röngum umferðum inn.

Tengdu hverja niðurstöðu við minnsta gagnlega atburðinn: auðkenni og lotu, auðlind, aðgerð, tíma og ákvörðunina. API-kall í CloudTrail, VPC-flæðisfærsla og VPN-lotuskrá svara ólíkum spurningum, og ekkert þeirra eitt og sér er úttekt á forritinu.

Dragðu auðkenni til baka og prófaðu aftur

Láttu afturköllunina fylgja í sömu töflu. Fjarlægðu prófunarauðkenni, staðfestu að nýrri lotu sé hafnað, og staðfestu síðan sérstaklega hvernig meðferð núverandi lota er háttað, því það eru ólík hegðun með ólíka eigendur. Athugaðu hvað gerist eftir endurræsingu eða skipti á gáttinni, svo að undantekning sem bætt var við í höndunum hverfi ekki hljóðlega eða komi víðtækari til baka. Mörk sem endast aðeins til næstu uppsetningar eru ekki mörk.

Ekkert af þessu kemur í stað vinnu við plástra, endurheimt eða lífsferil skilríkja. Það gerir þrengri loforð mælanlegt: rétta fólkið nær réttu þjónustunum, á meðan nálægar leiðir, reikningar og stjórnunaryfirborð halda sig utan heimildarinnar.

Haltu töflunni með uppsetningunni og keyrðu hana aftur þegar gáttin breytist. Prófin eru ódýr; forsendurnar á bak við þau eru það ekki.