术语表
学习课程中使用的重要术语的定义和含义。
API
应用程序编程接口，系统为其他系统提供的操作集合。AWS 提供了一套 API，用于在账户内创建和管理资源。
ARN
亚马逊资源名称，AWS 内部资源的全局唯一标识符。详见 资源 课程。
AWS Organizations
一项用于管理主账户下成员账户的服务。它可轻松为应用程序创建隔离的账户，并支持附加服务控制策略（SCP），这是唯一能限制账户外部访问的权限类型。
访问密钥 ID / Secret 访问密钥
这些值用于标识向 AWS API 发起请求的主体。它们用于对 API 请求进行签名。若这些密钥泄露，攻击者即可冒充该主体发送请求。
基于属性的访问控制（ABAC）
一种权限策略，用户和资源均带有属性，访问控制基于这些属性值。正确实施时，相比 RBAC 具有更好的可扩展性。
在 AWS 中，属性表现为附加到资源和主体上的标签。IAM 策略可利用这些标签在条件中进行判断，例如 aws:ResourceTag、aws:PrincipalTag 以及特定服务的其他键。
漏洞影响范围（Blast radius）
安全漏洞可能带来的潜在后果。
IAM
身份与访问管理，AWS 中用于管理账户内身份（用户和角色）及权限的服务。
IAM 策略
一个 JSON 格式的文档，用于配置 IAM 中的访问控制。详见 IAM 策略 章节。
IAM 角色
一种使用临时凭证访问 AWS 账户的 IAM 身份，实现基于流程的凭证管理。详见 主体 课程中的 IAM 角色 部分。
IAM 用户
一种可通过永久凭证（Access Key ID 和 Secret Access Key 对）或管理控制台密码登录方式访问 AWS 账户的 IAM 身份。详见 主体 课程中的 IAM 用户 部分。
基于身份的策略
附加到身份（IAM 用户或角色）上的 IAM 策略。详见 基于身份的策略 课程。
最小权限原则
仅允许正常操作所需的最小权限，不授予额外权限。
主体
向 AWS API 发起请求的实体。详见 主体 课程。
请求上下文
向 AWS API 发起请求时包含的信息集合，包括谁发起请求、执行什么操作、针对哪个资源，以及其他元数据。详见 访问要素 课程。
基于资源的策略
附加到资源上的 IAM 策略。详见 基于资源的策略 课程。
基于角色的访问控制（RBAC）
一种权限策略，将用户按组组织，只有组拥有权限，单个用户不直接关联策略，访问控制仅由组成员身份决定。这种策略具有良好的可扩展性。
在 AWS 中，通过 IAM 组来实现基于角色的访问控制。
服务控制策略（SCP）
通过 Organizations 附加到 AWS 账户上的策略类型。只有主账户可以定义 SCP，且仅对成员账户生效。详见 服务控制策略（SCP） 课程。
共享责任模型
安全框架明确了云服务商与客户各自的责任：服务商负责云本身的安全部署，而客户负责云中资源的安全。
实际应用中，AWS 提供了一系列工具来保护账户及其中的资源，但必须正确使用。根据共享责任模型，我们可以确信黑客无法绕过安全控制，但必须正确配置这些控制措施。
例如，AWS 保证只有通过 IAM 策略允许的主体才能读取 S3 存储桶，不存在其他访问途径。但必须确保未开放公共访问权限。
更多内容请参见 简介 章节。