المنصة العربية للدراسات المهنيةArab Platform for Professional Studies
English
تصميم البنى الآمنة

أسئلة المراجعة

ملخص الوحدة: تصميم البنى الآمنة

عند تحليل الوصول بين حسابين، ابدأ بأول طلب يفشل. يحتاج AssumeRole إلى إذن لدى هوية المصدر وثقة من الدور الهدف، ثم تحتاج الجلسة المؤقتة إلى أذونات الفعل على ARN المورد الصحيح. لا تمنح SCP الإذن؛ هي سقف قد يحجب إذن IAM، ولا تصلح سياسة ثقة صحيحة خطأً في ARN الكائن أو أذونات KMS. جرّب موردًا داخل النطاق وآخر خارجه وطلب كتابة مرفوضًا، كي لا يصبح نجاح الاختبار الواحد دليلًا زائفًا على أقل صلاحية.

في الشبكات، افصل العميل إلى ALB عن ALB إلى التطبيق وعن التطبيق إلى قاعدة البيانات. لكل قفزة حدد من يبدأها، المنفذ، جدول التوجيه، ومجموعة الأمان. يتيح S3 gateway endpoint مسارًا خاصًا من الشبكات المرتبطة بجدول التوجيه، لكنه لا يغني عن سياسات IAM والدلو والمدخل. ضع WAF على طبقة HTTP عند المدخل المناسب، ولا تتوقع منه أن يحل محل تصريح التطبيق أو حماية قاعدة البيانات.

في حماية البيانات، اجمع بين التشفير وحق استعمال المفتاح وإمكان الاستعادة. نسخ كائن مشفر إلى حساب آخر لا يعني أن دور الاستعادة يستطيع فك تشفيره. اختبر استعادة نسخة محددة ومحتواها وعمر نقطة الاستعادة، ثم قارنها بهدف فقد البيانات. إن كان الحذف المنطقي أو فساد الملف يمكن نسخه إلى الموقع الآخر، فاحتفظ بإصدارات أو نقاط استعادة مستقلة وفق الحاجة. يتغير الاختيار إذا ظهر مفتاح KMS مختلف، أو Deny صريح، أو شرط احتفاظ موثق؛ لا تحول الحالة الافتراضية إلى قانون عام.

الحل الأدنى للحالة هو تعيين `AuditReaders` إلى `AuditView` في حساب الإنتاج، والتحقق من نجاح التزويد هناك، ثم اختبار فعل قراءة مقصود وفعل كتابة يجب رفضه. شرط مضاد يغيّر القرار: افترض أن التعيين صحيح وأن دور الحساب موجود، لكن السياسة المدارة المخصصة المشار إليها داخل المجموعة غير موجودة بالاسم والمسار نفسيهما في حساب الإنتاج. نفذ على الورق تجربة متدرجة: حدد طلبًا ضارًا ممثلًا وطلب دفع شرعيًا يشبهه، واكتب قاعدة WAF دقيقة وعدادين لكل منهما. الشرط المضاد هنا واضح: لو كانت المشكلة طلبات شرعية كثيفة فوق قدرة التطبيق، فقاعدة تعتمد على سلسلة خبيثة لا تعالج الاختناق؛ تحتاج قياس السعة والتحجيم وربما سياسة معدل محددة وتأثيرها على المستخدمين. خطة الحل: اعزل التطبيق المعيب أولًا كي لا يستمر في كتابة نسخ مضللة. الشرط المضاد الذي يغير المسار: إذا لم تصل `v17` بعد إلى الوجهة عند تعطل منطقة المصدر، فلا يصلح تقرير replication المفعّل دليلًا على RPO صفري؛ ابحث عن آخر نسخة متحققة بالوجهة وقس خسارة الزمن، ثم قارنه بالهدف المتفق عليه.

أسئلة المراجعة

اختبر فهمك بهذه الأسئلة. التصحيح وحفظ النتائج متاحان بعد إنشاء حساب مجاني.

  1. السؤال 1يسمح دور المحلل في الحساب A باستدعاء sts:AssumeRole على دور التقارير في الحساب B. يملك دور التقارير إذن s3:GetObject على بادئة التقرير الصحيحة، لكن سياسة ثقته تسمي دورًا قديمًا بدل دور المحلل. ما أول تغيير يعالج الفشل؟
  2. السؤال 2في حساب عضو بمؤسسة AWS، تسمح سياسة دور IAM بـs3:GetObject على كائن محدد، لكن SCP نافذة تتضمن Deny صريحًا للفعل نفسه. ما نتيجة الطلب وفق هذه المعطيات؟
  3. السؤال 3تسلم محلل دور ReadReports بين حسابين عضوين بنجاح. يستطيع سرد بادئة 2026/ في حاوية S3، لكن GetObject على كائن داخلها مرفوض. لا يوجد Deny أو تشفير بمفتاح KMS يديره العميل وفق معطيات الحالة. سياسة الدور تذكر ListBucket على ARN الحاوية فقط. أي تعديل هو الأدق؟
  4. السؤال 4تسمح سياسة ثقة الدور الهدف بالمحلل ويملك الدور GetObject، لكن سياسة المصدر لا تسمح له باستدعاء AssumeRole. ما أول إصلاح؟
  5. السؤال 5حاويات في شبكتين خاصتين تقرأ S3. نقطة S3 gateway مرتبطة بجدول إحداهما فقط، ولا يوجد NAT. أي إصلاح يتيح للشبكة الثانية مسارًا إلى S3 دون فتح الإنترنت؟
  6. السؤال 6لماذا لا يكفي السماح بوارد 5432 في مجموعة أمان قاعدة البيانات لإثبات وصول تطبيق في شبكة أخرى؟
  7. السؤال 7تريد خدمة عامة HTTPS حماية طلبات الويب، وقاعدة بياناتها لا يحتاجها العملاء مباشرة. أي ترتيب للحدود هو الأنسب؟
  8. السؤال 8بعد توجيه طلبات S3 عبر gateway endpoint نجح الاتصال لكن سياسة الحاوية التي تشترط aws:SourceIp العام القديم ترفضها. أي تعديل للشرط يحافظ على قيد عنوان العميل داخل VPC؟
  9. السؤال 9دور من حساب B يستطيع GetObject على كائن SSE-KMS في حساب A، لكن سياسة مفتاح KMS لا تسمح له بالاستخدام. ما التعديل المطلوب قبل إعادة الاختبار؟
  10. السؤال 10ما الذي يثبته اختبار استعادة نسخة تقرير من نقطة قديمة في مساحة معزولة؟
  11. السؤال 11تصل وظيفة مراجعة عبر مسار لا يطابق نقطة VPC التي تشترطها Deny في سياسة حاوية S3. IAM وKMS يسمحان بالقراءة. ما سبب الرفض الأقرب؟
  12. السؤال 12تتوفر نسخة احتياطية مشفرة عبر حساب آخر، لكن المفتاح المصدر يمنع الحساب الهدف من فك التشفير. ماذا ينقص اختبار الاستعادة؟
  13. السؤال 13يرى مدقق مجموعة AuditView في IAM Identity Center لكنه لا يرى حساب الإنتاج في البوابة، بينما يرى حساب الاختبار. ما أول موضع إصلاح؟
  14. السؤال 14عُيّنت مجموعة أذونات تضم سياسة IAM مدارة مخصصة إلى حساب ثانٍ، لكن التزويد يفشل لأن السياسة غير موجودة هناك. ما الإجراء المحدد؟
  15. السؤال 15نجح تزويد دور المراجع في حساب عضو لكن SCP يمنع فعل القراءة المطلوب صراحةً. أي تغيير يمكنه معالجة سبب الرفض؟
  16. السؤال 16انتقل المسار العام إلى توزيع CloudFront، بينما حماية AWS WAF الحالية مرتبطة بالـALB الأصلي فقط. يريد الفريق فحص الطلب عند التوزيع قبل وصوله إلى الأصل. ما إعداد الحماية الملائم؟
  17. السؤال 17طابقت قاعدة WAF تجريبية طلب حقن خبيثًا وطلب دفع مشروعًا يحوي علامة اقتباس. ما الخطوة قبل الحظر؟
  18. السؤال 18وُضع web ACL على ALB لكن قاعدة البيانات تقبل اتصالات مباشرة من الإنترنت. ما الفجوة المتبقية؟
  19. السؤال 19أضاف مشغل delete marker فوق نسخة S3 محمية بـObject Lock داخل مدة الاحتفاظ. ماذا تثبت هذه الحالة؟
  20. السؤال 20تريد مؤسسة نسخ كائنات مقفلة إلى حاوية ثانية. ما شرط تصميمي مرتبط بـObject Lock؟
  21. السؤال 21وصلت نسخة فاتورة مشفرة إلى منطقة التعافي، لكن سياسة مفتاح KMS تمنع فريق التعافي من فكها. ما الحكم؟