قدرات إدارة الوصول في AWS (IAM)
تحديد قدرات إدارة الوصول في AWS
ماذا ستتعلّم؟
- تفرّق بين مستخدم IAM ومجموعة IAM ودور IAM من ناحية الغرض.
- تشرح ما هي سياسة IAM (Policy) وكيف تُربَط بهوية.
- تسرد قاعدة تقييم الصلاحيات: الرفض الصريح يفوز على أي سماح.
- تختار الأداة المناسبة (مستخدم، مجموعة، أو دور) لسيناريو معيّن.
كل طلب في AWS — رفع ملف، تشغيل مثيل، حذف قاعدة بيانات — يمرّ عبر تحقّق IAM أولًا: من أنت؟ وهل تملك صلاحية هذا الفعل بالضبط على هذا المورد بالضبط؟ الإجابة تأتي من تركيبة أربعة عناصر: المستخدمون والمجموعات والأدوار والسياسات.
العناصر الأربعة
| IAM User | هوية دائمة تمثّل شخصًا أو تطبيقًا محدَّدًا، ببيانات اعتماد ثابتة. |
|---|---|
| IAM Group | مجموعة من المستخدمين تُربَط بها سياسات موحّدة دفعة واحدة، لا لتُتولّى كهوية بذاتها. |
| IAM Role | هوية بصلاحيات مؤقتة تُتولّى دون بيانات اعتماد دائمة — للتطبيقات أو للوصول المؤقت بين حسابات. |
| IAM Policy | مستند JSON يحدّد صراحةً أي الأفعال مسموحة أو ممنوعة على أي موارد — يُربَط بمستخدم أو مجموعة أو دور. |
كيف تُقيَّم صلاحية طلب
الرفض الافتراضي
كل شيء ممنوع افتراضيًا ما لم يُسمَح به صراحة.
فحص كل السياسات المرتبطة
مباشرة على الهوية، أو عبر مجموعة، أو دور مُتولًّى.
الرفض الصريح يفوز دائمًا
إن وُجد "Deny" صريح في أي سياسة، فلا يستطيع أي "Allow" آخر تجاوزه.
المجموعات مقابل الأدوار
| IAM Group | IAM Role | |
|---|---|---|
| هل تُتولّى كهوية؟ | لا — مجرّد وسيلة لتنظيم السياسات لمستخدمين حقيقيين | نعم — هوية فعلية تُصدَر لها بيانات اعتماد مؤقتة عند تولّيها |
| الاستخدام النموذجي | تجميع مستخدمين بنفس الوظيفة (فريق المطوّرين مثلًا) | منح تطبيق يعمل على EC2 صلاحية الوصول إلى S3 دون مفاتيح دائمة |
ما يهمّ في الاختبار
- الرفض الصريح (Explicit Deny) يفوز على أي سماح دائمًا — هذه النقطة تُختبَر مباشرة وبكثرة.
- لا تُتولّى المجموعة كهوية — لا يمكن لتطبيق "تولّي مجموعة"، لكن يمكنه تولّي دور.
المستخدمون ليسوا حصرًا للبشر
شائع الاعتقاد أن "المستخدم للبشر والدور للتطبيقات" قاعدة صارمة — في الواقع يمكن إنشاء مستخدم IAM لتطبيق أيضًا، لكن أفضل ممارسة توصي باستعمال الأدوار للتطبيقات لتفادي تخزين مفاتيح دائمة في الكود.
تحقّق سريع
أجب في ذهنك أولًا، ثم اكشف الإجابة.
ماذا يفوز إذا تعارض "سماح" و"رفض صريح" في سياستين مختلفتين؟اكشف الإجابة
الرفض الصريح يفوز دائمًا.
هل يمكن تولّي مجموعة IAM كهوية مباشرة؟اكشف الإجابة
لا — المجموعة تجميع سياسات فقط؛ الأدوار هي ما يُتولّى.
ما الصيغة التي تُكتَب بها سياسة IAM؟اكشف الإجابة
JSON.
سجّل الدخول لتتبّع تقدّمك في هذا الموضوع.
خطوتك التالية
اقرأ الدرس ثم علّمه مكتملًا
المصادر
استُعملت للتحقّق من المعلومات. المحتوى أصلي بصياغة Passuit.