Amazon SOA-C02: Bezpieczeństwo, tożsamość i zgodność — Przewodnik do nauki

By Laurynas Brazys · 2 August 2026 · #amazon #soa-c02 #certification #exam-prep #study-guide

Część AWS SysOps Administrator Associate SOA-C02 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Amazon, albo rozwiąż testy na czas na ExamRoll.io.

Ta domena obejmuje prymitywy tożsamości, szyfrowania, sekretów i audytu, które stanowią podstawę bezpiecznych i zgodnych z przepisami operacji w AWS. Koncentruje się na nadawaniu odpowiednich uprawnień (zasada najmniejszych uprawnień), ochronie danych poprzez zarządzanie kluczami i szyfrowanie oraz tworzeniu niezmiennych ścieżek audytu w celu zapewnienia ciągłej zgodności. Codzienne obowiązki SysOps obejmują projektowanie ról IAM i granic zaufania, obsługę kluczy KMS i sekretów oraz używanie AWS Config i CloudTrail do wykrywania dryfu konfiguracji i naruszeń polityk.

IAM, role, polityki i federacja

Zarządzanie IAM powinno zaczynać się od separacji ról i zasady najmniejszych uprawnień: używaj oddzielnych ról do administracji, logowania i obciążeń aplikacyjnych; unikaj dołączania szerokich polityk, takich jak AdministratorAccess, do długożyciowych podmiotów (principals). Twórz role z polityką zaufania (trust policy) (w konsoli lub CLI:

undefined

) i dołączaj polityki uprawnień za pomocą aws iam put-role-policy lub polityk zarządzanych (managed policies). Używaj granic uprawnień (permission boundaries) i warunków IAM (IAM Conditions) (

undefined

), aby ograniczyć, gdzie i jak uprawnienia mogą być wykorzystywane.

W przypadku federacji tożsamości preferuj SAML/OIDC do wydawania tymczasowych poświadczeń za pośrednictwem STS. Dla SAML skonfiguruj dostawcę tożsamości (identity provider) w IAM i użyj

undefined

. Dla OIDC (Cognito, Auth0 lub inni dostawcy), utwórz dostawcę IAM OIDC i mapuj oświadczenia (claims) na role; federacja tożsamości internetowej (web identity federation) używa

undefined

. Wybieraj role federacyjne, gdy użytkownicy są zewnętrzni lub gdy centralne usługi katalogowe zarządzają uwierzytelnianiem; używaj AWS IAM Identity Center (SSO) do scentralizowanego dostępu korporacyjnego i zarządzania sesjami.

KMS, zarządzanie kluczami i szyfrowanie

KMS to centralna usługa do zarządzania cyklem życia klucza i kontrolą dostępu. Wybieraj między kluczami zarządzanymi przez AWS (prostota), kluczami należącymi do AWS a kluczami zarządzanymi przez klienta (CMK), które oferują szczegółową kontrolę. Twórz klucze CMK za pomocą

undefined

i włączaj automatyczną rotację za pomocą

undefined

. Używaj polityk kluczy (key policies) do definiowania, kto może zarządzać kluczami, a grantów do tymczasowego delegowania dostępu (

undefined

) zamiast szerokich polityk IAM.

Kryteria decyzyjne: używaj kluczy CMK, gdy wymagany jest audyt i kontrola cyklu życia klucza (rotacja, okna czasowe usuwania); używaj kluczy zarządzanych przez AWS dla wygody i automatyzacji w wielu usługach zarządzanych. Chroń klucze, egzekwując polityki IAM i polityki kluczy, ograniczaj użycie za pomocą kms:ViaService lub grantów KMS do użytku między kontami i unikaj planowania natychmiastowego usunięcia — stosuj minimalny okres oczekiwania (pending window). Monitoruj użycie KMS za pomocą logów CloudTrail dla operacji Encrypt/Decrypt i GenerateDataKey, aby wykrywać anomalie w użyciu.

Zarządzanie sekretami i magazyny parametrów

Używaj AWS Secrets Manager do rotacji poświadczeń i automatyzacji cyklu życia, a Systems Manager Parameter Store (SecureString) do prostszych sekretów, gdzie rotacja jest manualna. Twórz sekrety za pomocą

undefined

i włącz rotację, określając funkcję Lambda do automatycznej rotacji. Dla Parameter Store użyj

undefined

Punkty decyzyjne:

Secrets Manager: wbudowana rotacja, wersjonowanie sekretów, replikacja i zintegrowane szablony rotacji w konsoli; wyższy koszt, ale lepszy dla poświadczeń baz danych i kluczy API.
Parameter Store SecureString: darmowy poziom do podstawowego przechowywania sekretów, używa klucza KMS CMK do szyfrowania i polityk IAM do kontroli dostępu. Zawsze ograniczaj dostęp do sekretów za pomocą polityk IAM o najmniejszych uprawnieniach i preferuj dostęp oparty na rolach (role wykonawcze EC2/ECS/Lambda) zamiast osadzania długożyciowych poświadczeń w kodzie lub zmiennych środowiskowych.

AWS Config, audyt i monitorowanie zgodności

AWS Config zapewnia ciągłe rejestrowanie zasobów, historię zmian i ocenę reguł. Włącz rejestrator (recorder) i kanał dostarczania (delivery channel) (w konsoli lub

undefined

) i twórz reguły zarządzane lub niestandardowe za pomocą

undefined

. Połącz Config z CloudTrail (

undefined

) i alarmami CloudWatch w celu wykrywania i naprawy w czasie zbliżonym do rzeczywistego (użyj akcji naprawczych Config lub dokumentów Systems Manager Automation).

Decyzje projektowe: używaj zarządzanych reguł Config do standardowych sprawdzeń (publiczny odczyt bucketu S3, MFA na koncie root) i reguł niestandardowych (Lambda) do kontroli specyficznych dla domeny. Zapewnij wieloregionową agregację danych Config w agregatorze i włącz rejestrowanie dla wielu kont za pośrednictwem AWS Organizations. Utrzymuj niezmienną ścieżkę audytu, wysyłając logi CloudTrail do centralnego, zaszyfrowanego bucketu S3 (SSE-KMS) i włącz CloudTrail Insights do wykrywania anomalii w aktywności API.

Ochrona danych, szyfrowanie w tranzycie i w spoczynku

Szyfrowanie powinno być stosowane warstwowo: w spoczynku (at rest) przy użyciu szyfrowania opartego na KMS dla EBS, RDS, S3 (SSE-S3, SSE-KMS lub SSE-C) oraz w tranzycie (in transit) przy użyciu TLS dla ruchu aplikacyjnego (użyj ACM do certyfikatów publicznych/prywatnych i dołącz je do listenerów ALB/NLB:

undefined

). Stosuj szyfrowanie po stronie klienta (client-side encryption), gdy wymagana jest dodatkowa kontrola, i rozważ szyfrowanie kopertowe (envelope encryption) z użyciem GenerateDataKey podczas szyfrowania dużych ilości danych poza limitami KMS.

Stosuj następujące kryteria decyzyjne:

Używaj SSE-KMS dla obiektów S3, gdy potrzebujesz audytu i kontroli dostępu do klucza; SSE-S3 jest wystarczające do podstawowego szyfrowania po stronie serwera.
Używaj kluczy KMS CMK dla EBS i RDS, gdy potrzebujesz rotacji kluczy i kontroli dostępu między kontami.
Zawsze wymuszaj TLS dla punktów końcowych usług; używaj HSTS i silnych szyfrów w load balancerach. Używaj punktów końcowych VPC i polityk IAM, aby zmniejszyć publiczną ekspozycję API płaszczyzny danych (data-plane).

← Wdrażanie · Wszystkie domeny · Sieci i dostarczanie treści →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →