Hai, semuanya, dan selamat datang kembali.
Sekarang, dalam video hari ini, kita akan membahas tentang strategi untuk menggunakan kebijakan kontrol layanan.
Sekarang, pada tinjauan tingkat tinggi, ada dua strategi utama yang dapat Anda gunakan untuk mengonfigurasi langkah-langkah
di dalam akun Anda.
Yang pertama adalah strategi berbasis daftar penolakan, dan yang kedua adalah strategi berbasis daftar yang diizinkan.
Jadi, dalam video hari ini, kita akan membahas tentang keduanya secara mendetail.
Sekarang, pendekatan utama pertama adalah daftar tolak, dan dalam daftar tolak, tindakan diizinkan secara default
di tingkat IP.
Kemudian Anda menentukan layanan dan tindakan apa saja yang ingin Anda tolak.
Sekarang, ketika kita membahas tentang organisasi dan kebijakan kontrol layanan, secara
default, mereka menggunakan strategi berbasis daftar penolakan ini, dan ini dicapai dengan menggunakan kebijakan CB akses penuh yang dilampirkan
ke root.
Sekarang, jika kita melihat dengan cepat seperti apa kebijakan akses penuh ini, ini adalah pernyataan kebijakan di
mana semuanya diizinkan secara default.
Sekarang, perhatikan bahwa hal ini mungkin sedikit membingungkan karena strategi penyangkalan sebenarnya diperbolehkan.
Jadi, ini sedikit membingungkan untuk memulai.
Sekarang, mari kita bahas lebih lanjut mengenai hal ini.
Sekarang, saat ini saya berada di organisasi yang tidak mengaktifkan IPS.
Jadi, jika Anda melihat ke salah satu akun di sini, jika Anda melihat ke dalam kebijakan, tidak
ada kebijakan yang terkait pada tahap ini.
Setiap kali kita mengaktifkan kebijakan kontrol layanan, pada tahap ini kita melihat bahwa ada satu
kebijakan utama yang dibuat yaitu akses penuh.
Jenisnya adalah kebijakan yang dikelola.
Dan jika Anda melihat ke dalam hal ini, target kebijakan, ini terkait dengan root dan semua akun yang menjadi
bagian dari pendekatan dasar ini.
Jika Anda melihat ke dalam pernyataan kebijakan secara keseluruhan, hal ini mengizinkan segalanya.
Jadi secara default semuanya akan diizinkan pada tingkat SP dan kemudian Anda secara eksplisit menolak layanan apa pun yang ingin
Anda larang.
Misalnya, jika Anda tidak ingin siapa pun terhubung dengan layanan ini, Anda dapat menambahkan pernyataan penolakan secara eksplisit.
Sekarang perhatikan bahwa karena ini adalah kebijakan terkelola, ada beberapa batasan tertentu, jadi Anda dapat melanjutkan dan
membuat serangkaian kebijakan baru.
Anda tidak akan dapat melakukan berbagai operasi.
Contohnya, jika Anda ingin menghapusnya, mari kita coba sebagai akses penuh.
Dan jika Anda melihat dalam deskripsi, dinyatakan bahwa Anda tidak dapat memodifikasi dan mengelola kebijakan.
Mereka hanya dibaca dengan baik.
Sekarang dengan pemahaman dasar ini, mari kita lihat beberapa manfaat yang diberikan oleh jenis strategi ini.
Seperti yang telah kita ketahui bahwa dengan menggunakan strategi penolakan, administrator akun dapat mendelegasikan semua
layanan dan tindakan hingga Anda membuat CFP lampirkan yang menolak layanan tertentu.
Jadi, secara default semuanya akan diizinkan.
Dan kemudian Anda menambahkan kebijakan penolakan eksplisit untuk menolak layanan atau tindakan tertentu.
Jadi, di sini kita perlu mencatat bahwa pernyataan tolak membutuhkan lebih sedikit pemeliharaan karena Anda tidak
perlu memperbarui kebijakan ketika menambahkan layanan baru.
Jadi, sebuah memiliki ratusan layanan sekarang karena Anda telah secara eksplisit mengizinkan semua layanan di tingkat ACP, Anda
tidak perlu khawatir karena meskipun layanan baru diluncurkan, pengguna akan memiliki akses ke layanan tersebut.
Mengingat mereka memiliki izin yang sesuai.
Selain itu, salah satu manfaat lainnya adalah pernyataan penolakan biasanya menggunakan lebih sedikit ruang, sehingga
lebih mudah untuk tetap berada dalam ukuran maksimum kebijakan kontrol layanan.
Sekarang, jika Anda melihat ke dalam contoh kebijakan berbasis daftar tolak, maka akan terlihat seperti ini
di mana Anda memiliki pernyataan keras dan kemudian Anda memiliki pernyataan tolak eksplisit pada tindakan dan layanan.
Jadi di sini aksinya adalah bintang Dynamo DB dengan dasar ini, mari kita lihat juga strategi nomor dua,
yaitu allow list.
Sekarang untuk menggunakan daftar izin, apa yang dapat Anda lakukan, Anda harus mengganti ACP akses penuh terkelola
dengan ACP baru yang secara eksplisit hanya mengizinkan layanan dan tindakan yang ingin Anda izinkan.
Sekarang Anda harus ingat bahwa dengan menghapus ACP akses penuh default, semua tindakan untuk semua layanan
sekarang secara implisit ditolak.
Ini adalah bagian yang sangat penting untuk diingat.
Dan kemudian, karena semua tindakan dan layanan secara implisit ditolak, Anda menambahkan ACP khusus yang mengganti penolakan implisit
ini dengan mengizinkan secara eksplisit hanya untuk tindakan yang ingin Anda izinkan.
Jadi, jika Anda melihat contoh kebijakan berbasis daftar izin ini, seperti inilah tampilannya.
Jadi di sini diasumsikan bahwa ACP akses penuh ini tidak terkait dengan akun.
Dan kemudian Anda menambahkan kebijakan khusus ini yang memungkinkan layanan tertentu seperti bintang awan bintang dua
EC.
Jadi, selain dari serangkaian layanan ini, pengguna tidak akan dapat melakukan operasi pada salah satu layanan tersebut.
Sekarang, sebelum kita melangkah lebih jauh, mari kita lihat demo singkat yang terkait dengan hal ini.
Sekarang, izinkan saya menunjukkan kepada Anda sebuah demo.
Sekarang pada tahap ini, perhatikan bahwa kita hanya melihatnya dari perspektif demo untuk memastikan bahwa konsep kita
dipahami dengan lebih baik.
Jadi untuk demo hari ini saya memiliki satu kebijakan lagi yaitu kebijakan daftar izin kuliah.
Jadi, jika Anda melihat ke dalam kebijakan daftar izin, kebijakan ini terkait dengan root dan juga terkait
dengan akun sandbox.
Sekarang pada tahap ini agar kebijakan daftar izin ini dapat diterapkan, Anda harus memastikan bahwa akses penuh
Anda tidak terkait dengan akun tersebut.
Jadi, jika Anda melihat ke dalam target, itu hanya terkait dengan akun manajemen di sini.
Akun ini tidak terkait dengan akun lainnya.
Jadi, jika saya harus menunjukkan kepada Anda.
Jadi, di root kita memiliki akun manajemen dan akun sandbox.
Jadi kebijakan khusus yang kami miliki, kebijakan daftar izin, ini terkait jika Anda melihat ke dalam akun
sandbox dan tidak ada kebijakan akses penuh di sini.
Jadi, mari kita lanjutkan dan segera mencobanya.
Jadi, jika Anda melihat ke dalam kontennya, ini memungkinkan EC two star dan cloud watch star sekarang untuk menguji berbagai hal.
Saya masuk sebagai pengguna root ke salah satu akun anggota.
Sekarang, karena kita hanya mengetahui EC dua dan Cloud Watcher yang diizinkan, mari kita coba menjelajahi
layanan lain seperti SES segera.
Anda tahu, kami mendapat kesalahan yang menyatakan bahwa ada penolakan dalam ACP.
Mari kita coba satu layanan lagi.
Saya akan mengatakan API gateway lagi, kami mendapatkan kesalahan.
Demikian pula, mari kita coba e c untuk kali ini dan ec dua bekerja dengan sangat baik.
Anda akan dapat meluncurkan instance, dll..
Baiklah.
Jadi saya harap dengan ini Anda memahami dasar-dasar dari allow list dan deny list.
Sekarang, sekali lagi, satu hal yang ingin saya tunjukkan kepada Anda, mari kita lihat di sini.
Jika Anda melihat ke dalam kebijakan akun sandbox ini, itu hanya kebijakan daftar yang diizinkan.
Tidak ada kebijakan akses penuh di sini.
Dan inilah alasan mengapa semua ini berlaku.
Sekarang sebelum kita menyimpulkan beberapa petunjuk penting yang perlu kita catat.
Yang pertama adalah bahwa setiap root atau Anda dan akun harus memiliki setidaknya satu kebijakan kontrol layanan yang dilampirkan.
Dan inilah alasan mengapa, jika Anda ingin mengganti kebijakan akses penuh default dengan ACP yang membatasi izin, maka
Anda harus melampirkan SFP pengganti sebelum Anda menghapus kebijakan default.
Jadi, misalnya, pada tahap ini Anda akan melihat bahwa akun sandbox memiliki kebijakan daftar izin.
Jadi pada saat itu, satu kebijakan harus dilampirkan.
Jadi, jika Anda ingin beralih dari daftar ke daftar tolak, maka yang harus Anda lakukan adalah mengaitkan kebijakan
daftar tolak dan kemudian Anda dapat menghapus daftar izin.
Bagus.
Jadi, itulah gambaran umum tentang strategi yang dapat Anda gunakan.
Sekali lagi, dari apa yang saya lihat di organisasi, kebanyakan dari mereka, mereka menggunakan strategi berbasis daftar penolakan
default.
Mereka tidak memilih untuk mengizinkan daftar jika Anda menggunakan daftar rendah, meskipun ini terlihat bagus,
tetapi ini juga membutuhkan banyak upaya.
Dan di sebagian besar organisasi, tim keamanan atau tim yang mengelola semua ssp, mereka cukup kecil dan
mereka tidak memiliki jumlah waktu dan sumber daya yang dibutuhkan untuk mengelola kebijakan daftar izin,
terlepas dari konfigurasi terkait keamanan lainnya yang harus mereka kerjakan sebagai bagian dari keseluruhan
infrastruktur.
Jadi dengan ini akan menyimpulkan video hari ini.