🗝️ धडा 01 — IAM का: मास्टर-चावी बंद करून ठेवा

📍 तुम्ही इथे आहात: 12 पैकी धडा 01 · पुढे: lesson-02-users-groups

📦 या ब्रँचमध्ये काय आहे

AWS सुरक्षेचा पाया: ओळख (identity) मुळात का असते, आणि प्रत्येक नव्या AWS account ने सर्वात आधी करायची गोष्ट — root बंद करून ठेवणे.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

एका शाळेकडे एकच मास्टर-चावी 🗝️ आहे जी सगळे उघडते — प्रत्येक वर्ग, कार्यालय, परीक्षेचे पेपर ठेवलेली तिजोरी. कल्पना करा, मुख्याध्यापिकेने "सोपे व्हावे म्हणून" तिच्या photocopy काढून प्रत्येक शिक्षिका, विद्यार्थी आणि शिपायाला एकेक दिली.

आता: परीक्षेचे पेपर फुटतात. हे कोणी केले? कोणालाच माहीत नाही — प्रत्येकाची चावी ती तिजोरी उघडते. कोणी शाळा सोडून गेले? तर प्रत्येक कुलूप बदलावे लागेल.

ती मास्टर-चावी म्हणजे तुमचे AWS root account — ज्या email ने तुम्ही sign up केले ते. ते सगळे काही, कायमचे करू शकते, संपूर्ण account delete करण्यासह. AWS चा पहिला नियम:

मास्टर-चावी तिजोरीत बंद करा. 🔒 Root ला MFA मिळते (तुमचा phone लागणारे दुसरे कुलूप), account-पातळीच्या कामांसाठी वर्षातून कदाचित एकदा वापरले जाते, आणि रोजच्या कामासाठी कधीच नाही.

रोजच्या कामासाठी शाळा एक ओळखपत्र कार्यालय उघडते — तेच IAM. प्रत्येक व्यक्ती आणि प्रत्येक robot ला स्वतःचे कार्ड मिळते, आणि ते कोणती दारे उघडते याची स्वतःची छोटी यादी. कार्ड हरवले? फक्त एकच कार्ड रद्द करा. एखादी रहस्यमय कृती? नोंदवही नेमके सांगते की कोणाच्या कार्डने ती केली.

🗺️ आकृती

flowchart LR
    root["🗝️ root account<br/>opens EVERYTHING, forever"]
    safe["🔒 the safe<br/>MFA on, used ~once a year"]
    iam["🪪 IAM - the ID-card office<br/>a card per person and robot"]
    api["☁️ every AWS action<br/>card checked FIRST,<br/>then allowed or denied"]
    root -->|"1 lock it away"| safe
    iam -->|"2 daily work uses cards"| api

❓ काय

Root = account च्या मालकाची ओळख. काही मोजक्या गोष्टी फक्त तेच करू शकते (account बंद करणे, support plan बदलणे) — ते त्याच्यासाठीच आहे.
IAM = मोफत service, जी ठरवते की कोण (users, roles) कोणत्या गोष्टींवर (resources) काय (actions) करू शकते.
प्रत्येक AWS API call — console मधला click, CLI command, code मधून SDK call — काहीही होण्याआधी authenticate होतो (कोणाचे कार्ड?) आणि authorize होतो (एखादी चिठ्ठी याला परवानगी देते का?). कार्ड नाही, प्रवेश नाही. मुळात उत्तर नाही.

🤔 का

आधीच्या प्रत्येक course ने न सांगता IAM वर भर दिला होता: Docker course मधला ECR login, k8s course मधले EKS nodes आणि CircleCI context, ArgoCD course मधला "credentials कधीच cluster सोडत नाहीत" हा युक्तिवाद. हा course ती बंद पेटी उघडतो — कारण AWS मधल्या भयकथांचे #1 कारण crypto फोडणारे hackers नसतात; ते असतात फुटलेले सर्वशक्तिमान credentials, जे IAM ची स्वच्छता पाळली असती तर टाळता आले असते.

🧪 करून पाहा (मोफत)

# who am I right now?
aws sts get-caller-identity
# if "Arn" ends in :root → this lesson is URGENT for you 😅
# it should show an IAM user or an assumed role

# the account's security report card:
aws iam get-account-summary --query 'SummaryMap.{Users:Users,MFADevices:MFADevices,AccountMFAEnabled:AccountMFAEnabled}'
# AccountMFAEnabled MUST be 1. If 0 → console → root → enable MFA today.

# console homework (5 min): sign in as root ONCE →
#   1) enable MFA on root   2) create your admin IAM user (lesson 02)
#   3) sign out of root — ideally forever

✅ तपासा — तुम्हाला काय दिसायला हवे

aws sts get-caller-identity IAM user ARN दाखवतो, arn:aws:iam::ACCOUNT:root नाही — आणि console मध्ये root account वर MFA चालू दिसते.

🧹 साफसफाई — काहीही चालू ठेवू नका

साफ करण्यासारखे काही नाही — हा धडा मोफत आहे 🎉

⚠️ नेहमीच्या चुका

रोजच्या कामासाठी root वापरणे — मास्टर-चावी तिजोरीतच राहते
संपूर्ण team साठी एकच shared login — प्रत्येक व्यक्तीला स्वतःचे कार्ड
root वर MFA चालू करणे आणि माणसांच्या logins वर विसरणे

⏭️ पुढे

माणसांसाठी कार्डे, आणि परवानग्या सांभाळण्याजोग्या करणाऱ्या याद्या: users & groups.

git checkout lesson-02-users-groups

🗝️ Lesson 01 — Why IAM: lock away the master key

📍 You are here: Lesson 01 of 12 · Next: lesson-02-users-groups

📦 What's in this branch

The foundation of AWS security: why identity exists at all, and the first thing every new AWS account must do — lock away root.

🧒 Explain like I'm 5

A school has ONE master key 🗝️ that opens everything — every classroom, the office, the safe with the exam papers. Imagine the principal photocopied it and gave one to every teacher, student and janitor "to keep things simple".

Now: exam papers leak. Who did it? Nobody knows — everyone's key opens that safe. Someone leaves the school? You'd have to change EVERY lock.

That master key is your AWS root account — the email you signed up with. It can do everything, forever, including deleting the whole account. The first rule of AWS:

Lock the master key in the safe. 🔒 Root gets MFA (a second lock that needs your phone), gets used maybe once a year for account-level things, and NEVER for daily work.

For daily work, the school opens an ID-card office — that's IAM. Every person and every robot gets their own card, with their own short list of doors it opens. Lost card? Cancel ONE card. Mystery action? The logbook says exactly whose card did it.

🗺️ Diagram

flowchart LR
    root["🗝️ root account<br/>opens EVERYTHING, forever"]
    safe["🔒 the safe<br/>MFA on, used ~once a year"]
    iam["🪪 IAM - the ID-card office<br/>a card per person and robot"]
    api["☁️ every AWS action<br/>card checked FIRST,<br/>then allowed or denied"]
    root -->|"1 lock it away"| safe
    iam -->|"2 daily work uses cards"| api

❓ What

Root = the account's owner identity. Only it can do a few things (close account, change support plan) — that's what it's for.
IAM = the free service managing who (users, roles) may do what (actions) on which things (resources).
Every single AWS API call — console click, CLI command, SDK call from code — is authenticated (whose card?) and authorized (does a slip allow this?) before anything happens. No card, no entry. Default is no.

🤔 Why

Every later course leaned on IAM without saying so: the Docker course's ECR login, the k8s course's EKS nodes and CircleCI context, the ArgoCD course's "credentials never leave the cluster" argument. This course opens that black box — because the #1 cause of AWS horror stories is not hackers breaking crypto; it's leaked all-powerful credentials that IAM hygiene would have prevented.

🧪 Try it (free)

# who am I right now?
aws sts get-caller-identity
# if "Arn" ends in :root → this lesson is URGENT for you 😅
# it should show an IAM user or an assumed role

# the account's security report card:
aws iam get-account-summary --query 'SummaryMap.{Users:Users,MFADevices:MFADevices,AccountMFAEnabled:AccountMFAEnabled}'
# AccountMFAEnabled MUST be 1. If 0 → console → root → enable MFA today.

# console homework (5 min): sign in as root ONCE →
#   1) enable MFA on root   2) create your admin IAM user (lesson 02)
#   3) sign out of root — ideally forever

✅ Verify — what you should see

aws sts get-caller-identity shows an IAM user ARN, not arn:aws:iam::ACCOUNT:root — and the root account shows MFA enabled in the console.

🧹 Clean up — do not leave running

nothing to clean up — this lesson is free 🎉

⚠️ Common mistakes

using root for daily work — the master key stays in the safe
one shared login for the whole team — every person gets a card
enabling MFA on root and forgetting it on the humans

⏭️ Next

Cards for people, and lists that make permissions manageable: users & groups.

git checkout lesson-02-users-groups

← Course homeall lessons Next →users groups

This page is the lesson's README from the lesson-01-why-iam branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.