📝 धडा 03 — Policies: परवानगी चिठ्ठी वाचणे

📍 तुम्ही इथे आहात: 12 पैकी धडा 03 · मागे: lesson-02-users-groups · पुढे: lesson-04-roles

📦 या ब्रँचमध्ये काय आहे

धडे 01–02, आणि त्यासोबत: परवानग्यांची भाषा — policy JSON — आणि प्रत्येक request चा निर्णय घेणारे evaluation नियम. खरी file:

iam/ecr-push-policy.json — टिपा लिहिलेली, खरी least-privilege चिठ्ठी

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

शाळेतील परवानगी चिठ्ठी 📝 नेमक्या चार गोष्टी सांगते:

हो की नाही? — "ऐश्वर्या करू शकते…" ("Effect": "Allow" — किंवा "Deny").
काय करायचे? — "…पुस्तके उसनी घेणे…" ("Action": "ecr:PutImage" — नेहमी service:Verb).
कोणत्या गोष्टींसोबत? — "…फक्त JUNIOR ग्रंथालयातून" ("Resource": "arn:aws:ecr:…:repository/hello-school" — त्या गोष्टीचा पूर्ण पत्ता, तिचा ARN).
कोणत्या अटींवर? — "…शाळेच्या दिवशी" ("Condition" — ऐच्छिक: या IP वरून, MFA सह, या तारखेपूर्वी…).

आणि कोणी दार उघडायचा प्रयत्न करते तेव्हा शाळेचे तीन पक्के नियम:

चिठ्ठी नाही? तर नाही. मुळात सगळे नाकारलेले असते. शांतता = नाही.
Allow चिठ्ठी दार उघडते — एक पुरेशी.
Deny चिठ्ठी दार धाडकन बंद करते — स्पष्ट Deny कितीही Allows ना हरवतो. (अशा प्रकारे शाळा म्हणते "interns तिजोरी सोडून सगळे करू शकतात".)

Least privilege (कार्यालयाचे ब्रीदवाक्य): चिठ्ठ्या नेमक्या गोष्टींवर नेमक्या क्रियापदांसाठी लिहा, "सगळीकडे सगळे करू शकते" अशा नव्हे ("Action": "*", "Resource": "*" — ते म्हणजे AdministratorAccess, जास्तीच्या पायऱ्या असलेली photocopy केलेली मास्टर-चावी).

🗺️ आकृती

flowchart LR
    req["🚪 request:<br/>ecr:PutImage on hello-school"]
    d1{"any DENY<br/>slip?"}
    d2{"any ALLOW<br/>slip?"}
    no1["❌ denied - Deny always wins"]
    no2["❌ denied - silence means no"]
    yes["✅ allowed"]
    req -->|"1"| d1
    d1 -->|"yes"| no1
    d1 -->|"no"| d2
    d2 -->|"yes 2"| yes
    d2 -->|"no 3"| no2

❓ काय

ARN = Amazon Resource Name, कोणत्याही गोष्टीचा पूर्ण पत्ता: arn:aws:ecr:ap-south-1:123456789012:repository/hello-school (partition:service:region:account:thing).
Managed policies (AWS ने बनवलेल्या किंवा तुमच्या, पुन्हा वापरता येणाऱ्या, versioned) विरुद्ध inline (एकाच ओळखीला चिकटवलेल्या — खऱ्या एकदाच्या गरजांसाठी).
Wildcards: ecr:Get* (सगळी Get क्रियापदे), Resource: "*" (सगळे काही) — प्रत्येक * म्हणजे सोयीसाठी सुरक्षेचा सौदा. ते जाणीवपूर्वक खर्च करा.
iam/ecr-push-policy.json खरा आकार दाखवते: GetAuthorizationToken ला * लागतो (तो स्वभावतःच account-wide आहे), पण push ची क्रियापदे एकाच repository ला बांधलेली आहेत.

🤔 का

तुम्ही कधीही debug कराल तो प्रत्येक AccessDenied, प्रत्येक security review, प्रत्येक "CI खरोखर फक्त ECR ला push करू शकते का?" — हे सगळे या चार fields सहज वाचता येण्यावर येऊन ठेपते. हे व्याकरण आहे; धडे 04–05 फक्त चिठ्ठ्या कोण बाळगतो याबद्दल आहेत.

🧪 करून पाहा (मोफत)

# read AWS's own slips — how the pros phrase things:
aws iam get-policy-version --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess \
  --version-id v1 --query 'PolicyVersion.Document.Statement[0]'

# TEST a slip without doing anything real — the policy simulator:
aws iam simulate-custom-policy \
  --policy-input-list "$(cat iam/ecr-push-policy.json)" \
  --action-names ecr:PutImage ecr:DeleteRepository \
  --resource-arns arn:aws:ecr:ap-south-1:123456789012:repository/hello-school \
  --query 'EvaluationResults[].{action:EvalActionName,result:EvalDecision}'
# → PutImage: allowed · DeleteRepository: implicitDeny (no slip = no!) 🎉

✅ तपासा — तुम्हाला काय दिसायला हवे

policy simulator (aws iam simulate-principal-policy) तुम्ही दिलेल्या एका action साठी allowed आणि शेजारच्या action साठी implicitDeny परत देतो — शांतता म्हणजे नाही.

🧹 साफसफाई — काहीही चालू ठेवू नका

साफ करण्यासारखे काही नाही — हा धडा मोफत आहे 🎉

⚠️ नेहमीच्या चुका

ARN शोधणे त्रासदायक होते म्हणून "Resource": "*"
स्पष्ट Deny प्रत्येक Allow ला हरवतो हे विसरणे — दार धाडकन बंदच राहते
AccessDenied debug करताना 'तात्पुरते' Admin* जोडणे

⏭️ पुढे

लोकांना जोडलेल्या चिठ्ठ्या ही अर्धी गोष्ट. उरलेली अर्धी टोप्या घालते: roles — ज्या ओळखी मंजूर असलेले कोणीही (किंवा काहीही) थोड्या वेळासाठी धारण करू शकते.

git checkout lesson-04-roles

📝 Lesson 03 — Policies: reading a permission slip

📍 You are here: Lesson 03 of 12 · Previous: lesson-02-users-groups · Next: lesson-04-roles

📦 What's in this branch

Lessons 01–02, plus: the language of permissions — policy JSON — and the evaluation rules that decide every request. Real file:

iam/ecr-push-policy.json — a real least-privilege slip, annotated

🧒 Explain like I'm 5

A permission slip 📝 at school says exactly four things:

Yes or no? — "Aishwarya MAY…" ("Effect": "Allow" — or "Deny").
Do what? — "…borrow books…" ("Action": "ecr:PutImage" — always service:Verb).
With which things? — "…from the JUNIOR library only" ("Resource": "arn:aws:ecr:…:repository/hello-school" — the thing's full address, its ARN).
Under what conditions? — "…on school days" ("Condition" — optional: from this IP, with MFA, before this date…).

And the school's three iron rules when someone tries a door:

No slip? NO. Everything is denied by default. Silence = no.
An Allow slip opens the door — any one is enough.
A Deny slip SLAMS it — an explicit Deny beats any number of Allows. (That's how the school says "interns may do everything EXCEPT the safe".)

Least privilege (the office motto): write slips for exact verbs on exact things, not "may do everything everywhere" ("Action": "*", "Resource": "*" — that's AdministratorAccess, the photocopied master key with extra steps).

🗺️ Diagram

flowchart LR
    req["🚪 request:<br/>ecr:PutImage on hello-school"]
    d1{"any DENY<br/>slip?"}
    d2{"any ALLOW<br/>slip?"}
    no1["❌ denied - Deny always wins"]
    no2["❌ denied - silence means no"]
    yes["✅ allowed"]
    req -->|"1"| d1
    d1 -->|"yes"| no1
    d1 -->|"no"| d2
    d2 -->|"yes 2"| yes
    d2 -->|"no 3"| no2

❓ What

ARN = Amazon Resource Name, the full address of any thing: arn:aws:ecr:ap-south-1:123456789012:repository/hello-school (partition:service:region:account:thing).
Managed policies (AWS-made or yours, reusable, versioned) vs inline (glued to one identity — for true one-offs).
Wildcards: ecr:Get* (all the Get verbs), Resource: "*" (everything) — each * is a trade of safety for convenience. Spend them consciously.
iam/ecr-push-policy.json shows the real shape: GetAuthorizationToken needs * (it's account-wide by nature), but the push verbs are pinned to ONE repository.

🤔 Why

Every AccessDenied you will ever debug, every security review, every "can CI really only push to ECR?" — it all comes down to reading these four fields fluently. This is the grammar; lessons 04–05 are just about who carries the slips.

🧪 Try it (free)

# read AWS's own slips — how the pros phrase things:
aws iam get-policy-version --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess \
  --version-id v1 --query 'PolicyVersion.Document.Statement[0]'

# TEST a slip without doing anything real — the policy simulator:
aws iam simulate-custom-policy \
  --policy-input-list "$(cat iam/ecr-push-policy.json)" \
  --action-names ecr:PutImage ecr:DeleteRepository \
  --resource-arns arn:aws:ecr:ap-south-1:123456789012:repository/hello-school \
  --query 'EvaluationResults[].{action:EvalActionName,result:EvalDecision}'
# → PutImage: allowed · DeleteRepository: implicitDeny (no slip = no!) 🎉

✅ Verify — what you should see

the policy simulator (aws iam simulate-principal-policy) returns allowed for the one action you granted and implicitDeny for a neighbour — silence is a NO.

🧹 Clean up — do not leave running

nothing to clean up — this lesson is free 🎉

⚠️ Common mistakes

"Resource": "*" because the ARN was annoying to find
forgetting an explicit Deny beats every Allow — the door stays slammed
debugging AccessDenied by adding Admin* 'temporarily'

⏭️ Next

Slips attached to people is half the story. The other half wears hats: roles — identities anyone (or anything) approved can temporarily become.

git checkout lesson-04-roles

← Previoususers groups Next →roles

This page is the lesson's README from the lesson-03-policies branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.