IAM- Certified Solutions Architect – Associate (SAA-C03).

IAM Certified Solutions Architect – Associate (SAA-C03).

Wofür steht IAM?

Identity and Access Management.

Wozu dient IAM?

Zur Verwaltung von Benutzern, Gruppen, Rollen und Berechtigungen innerhalb eines AWS-Kontos.

Ist IAM ein globaler oder regionaler AWS-Service?

IAM ist ein globaler AWS-Service.

Wie viele Root-User besitzt jedes AWS-Konto?

Genau einen.

Welche Sicherheitsmaßnahme sollte für den Root-User immer aktiviert werden?

Multi-Faktor-Authentifizierung (MFA).

Sollte der Root-User für tägliche Arbeiten verwendet werden?

Nein. Nur für Aufgaben, die ausschließlich der Root-User ausführen kann.

Was ist ein IAM User?

Eine Identität für eine Person oder Anwendung innerhalb eines AWS-Kontos.

Besitzt ein neuer IAM User automatisch Berechtigungen?

Nein. Berechtigungen müssen explizit vergeben werden.

Wie viele Access Keys kann ein IAM User gleichzeitig besitzen?

Maximal zwei aktive Access Keys.

Wofür werden IAM Groups verwendet?

Um mehreren Benutzern gemeinsame Berechtigungen zuzuweisen.

Kann ein IAM User Mitglied mehrerer Gruppen sein?

Ja.

Können IAM Groups verschachtelt werden?

Nein.

Was ist eine IAM Role?

Eine AWS-Identität mit temporären Berechtigungen, die von berechtigten Principals angenommen werden kann.

Besitzt eine IAM Role langfristige Zugangsdaten?

Nein. Sie verwendet temporäre Sicherheitsanmeldedaten.

Welcher AWS-Service stellt temporäre Anmeldedaten bereit?

AWS Security Token Service (STS).

In welchem Format werden IAM Policies geschrieben?

JSON.

Welche zwei grundlegenden Effekte kennt eine IAM Policy?

Allow und Deny.

Welcher Effekt hat Vorrang, wenn sowohl Allow als auch Explicit Deny vorhanden sind?

Explicit Deny.

Welcher Berechtigungszustand gilt standardmäßig, wenn keine Policy eine Aktion erlaubt?

Implicit Deny.

Welche drei IAM-Best-Practices sollte man für die SAA-C03 unbedingt kennen?

Least Privilege anwenden, IAM Roles statt langfristiger Access Keys verwenden und MFA für privilegierte Konten aktivieren.

Was ist eine Inline Policy?

Eine Richtlinie, die genau einer IAM-Identität direkt zugeordnet ist und nicht wiederverwendet werden kann.

Was ist eine Customer Managed Policy?

Eine vom Kunden erstellte und wiederverwendbare IAM Policy.

Was ist eine AWS Managed Policy?

Eine von AWS bereitgestellte und gepflegte IAM Policy.

Was ist der Standardeffekt, wenn eine Berechtigung nicht ausdrücklich erlaubt wird?

Implicit Deny.

Woraus besteht ein Access Key?

Aus einer Access Key ID und einem Secret Access Key.

Wofür werden Access Keys verwendet?

Für den programmatischen Zugriff über AWS CLI, SDKs oder APIs.

Sollten Access Keys im Quellcode gespeichert werden?

Nein. Verwende stattdessen IAM Roles oder einen Secrets-Dienst.

Warum sollten Access Keys regelmäßig rotiert werden?

Um das Risiko kompromittierter Zugangsdaten zu reduzieren.

Was bedeutet 'Assume Role'?

Temporäres Übernehmen einer IAM Role.

Wofür werden Cross-Account Roles verwendet?

Für kontrollierten Zugriff zwischen verschiedenen AWS-Konten.

Wofür steht STS?

Security Token Service.

Welche Art von Anmeldedaten stellt STS bereit?

Temporäre Sicherheitsanmeldedaten.

Welchen Vorteil haben temporäre Credentials?

Sie laufen automatisch ab und erhöhen die Sicherheit.

Was bedeutet MFA?

Multi-Faktor-Authentifizierung.

Welches Sicherheitsproblem adressiert MFA?

Den Missbrauch gestohlener Passwörter.

Welcher Standard wird häufig für Enterprise Federation verwendet?

SAML 2.0.

Welches Protokoll wird häufig für Web- und Mobile-Anwendungen verwendet?

OpenID Connect (OIDC).

Sollte jeder Mitarbeiter einen eigenen IAM User besitzen?

Ja.

Sollten Berechtigungen bevorzugt an Gruppen vergeben werden?

Ja, statt direkt an einzelne Benutzer.

Welche Authentifizierung empfiehlt AWS für privilegierte Konten?

MFA.

Was ist eine Resource-based Policy?

Eine Richtlinie, die direkt an einer AWS-Ressource gespeichert wird und den Zugriff auf diese Ressource steuert.

Welcher AWS-Service verwendet häufig Resource-based Policies?

Amazon S3 in Form von Bucket Policies.

Was definiert eine Trust Policy?

Welche Principals eine IAM Role annehmen dürfen.

Was ist ein Principal in IAM?

Eine Identität wie ein IAM User, eine IAM Role, ein AWS-Service oder ein AWS-Konto.

Wozu dienen Conditions in IAM Policies?

Sie schränken Berechtigungen anhand zusätzlicher Kriterien wie IP-Adresse, Tags oder MFA ein.

Wie kann per IAM Policy MFA erzwungen werden?

Über eine Condition, die MFA voraussetzt.

Wofür steht ABAC?

Attribute-Based Access Control.

Wie funktioniert ABAC in AWS?

Berechtigungen werden anhand von Tags auf Identitäten und Ressourcen vergeben.

Was ist eine Permission Boundary?

Eine Richtlinie, die die maximal möglichen Berechtigungen einer IAM-Identität begrenzt.

Gewährt eine Permission Boundary selbst Berechtigungen?

Nein. Sie begrenzt lediglich die maximal zulässigen Berechtigungen.

Was ist eine Service Control Policy (SCP)?

Eine Richtlinie in AWS Organizations, die die maximalen Berechtigungen für Konten oder OUs festlegt.

Hat eine SCP Vorrang vor IAM Policies?

Eine Aktion muss sowohl durch die SCP als auch durch IAM erlaubt sein.

Wie heißt AWS SSO heute?

AWS IAM Identity Center.

Wofür wird AWS IAM Identity Center verwendet?

Für zentrales Single Sign-on und Berechtigungsverwaltung über mehrere AWS-Konten.

Warum empfiehlt AWS temporäre Anmeldedaten?

Sie reduzieren das Risiko langfristiger Zugangsdaten.

Sollten Anwendungen auf EC2 Access Keys speichern?

Nein. Verwende eine IAM Role.

Sollten Lambda-Funktionen Access Keys speichern?

Nein. Verwende eine Lambda Execution Role.

Welche IAM-Lösung wird für den Zugriff einer EC2-Instanz auf DynamoDB empfohlen?

Eine IAM Role mit den erforderlichen Berechtigungen.

Wie kann der AWS-Zugriff auf bestimmte IP-Adressen beschränkt werden?

Durch Conditions in IAM Policies.

Welches Berechtigungsmodell eignet sich für tagbasierte Projektberechtigungen?

ABAC.

Ein Benutzer hat eine Allow-Policy, aber zusätzlich greift ein explizites Deny. Was gilt?

Der Zugriff wird verweigert, da ein explizites Deny immer Vorrang hat.

Warum sind IAM Roles sicherer als fest hinterlegte Access Keys?

Sie verwenden temporäre Anmeldeinformationen und vermeiden dauerhaft gespeicherte Geheimnisse.

Wann sollte der Root User verwendet werden?

Nur für Aufgaben, die ausschließlich mit dem Root User möglich sind.

Welche IAM-Lösung ist für Anwendungen auf EC2 Best Practice?

Eine IAM Role statt Access Keys.

Welche IAM-Lösung ist für Lambda-Funktionen Best Practice?

Eine Lambda Execution Role.

Ein Unternehmen möchte bestehende Unternehmenskonten für AWS nutzen. Welche Funktion wird verwendet?

Identity Federation bzw. AWS IAM Identity Center.

Welches Prinzip sollte bei jeder IAM-Berechtigung angewendet werden?

Least Privilege.

Was ist der Unterschied zwischen Identity-based und Resource-based Policies?

Identity-based Policies werden an Identitäten angehängt, Resource-based Policies direkt an Ressourcen.

Welche Policy-Art wird typischerweise für S3-Buckets verwendet?

Bucket Policy (Resource-based Policy).

Welche Policy legt die maximale Berechtigung in AWS Organizations fest?

Service Control Policy (SCP).

Welche Information erhält eine EC2-Instanz über den Instance Metadata Service?

Temporäre Anmeldedaten ihrer IAM Role und Instanzmetadaten.

Welcher AWS-Service ermöglicht temporäre Anmeldedaten?

AWS Security Token Service (STS).

Welche Authentifizierung schützt besonders vor gestohlenen Passwörtern?

Multi-Faktor-Authentifizierung (MFA).

Warum sollten Berechtigungen möglichst Gruppen statt einzelnen Benutzern zugewiesen werden?

Zur einfacheren Verwaltung und konsistenten Rechtevergabe.

Welches Berechtigungsmodell basiert auf Tags?

Attribute-Based Access Control (ABAC).

Was begrenzt eine Permission Boundary?

Die maximal möglichen Berechtigungen einer IAM-Identität.

Kann eine IAM Role von einem AWS-Service angenommen werden?

Ja, sofern die Trust Policy dies erlaubt.

Was ist die Standardantwort in der SAA-C03 für AWS-Zugriff aus EC2?

IAM Role.

Was ist die Standardantwort in der SAA-C03 für privilegierte Konten?

MFA aktivieren.

Welche drei IAM-Konzepte sollte man für die SAA-C03 sicher beherrschen?

Least Privilege, IAM Roles und Policy Evaluation mit Allow/Deny.