📋 धडा 06 — IAM स्वच्छता: ओळखपत्र कार्यालयाचे नियमांचे पोस्टर

📍 तुम्ही इथे आहात: 12 पैकी धडा 06 — भाग 1 संपला! · मागे: lesson-05-machine-identities · पुढे: lesson-07-what-is-ec2

📦 या ब्रँचमध्ये काय आहे

धडे 01–05, आणि त्यासोबत बहुतेक AWS सुरक्षा घटना टाळणाऱ्या चार सवयी — ओळखपत्र कार्यालयाच्या भिंतीवरचे पोस्टर.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

चार नियम, मोठ्या अक्षरांत, जिथे सगळे कार्डांसाठी रांग लावतात तिथे चिकटवलेले:

📱 महत्त्वाच्या प्रत्येक दारावर दोन कुलपे (MFA). फक्त कार्ड पुरेसे नाही — तुम्ही फक्त तुमच्याकडे असणारी वस्तू (तुमचा phone) सुद्धा दाखवता. चोरलेला password निरुपयोगी अर्धी चावी बनतो. Root: MFA. प्रत्येक माणूस: MFA. अपवाद नाहीत, "नंतर" नाही.
🤏 काम भागवणारी सर्वात लहान चिठ्ठी (least privilege). झाडांना पाणी घालणाऱ्या मुलीला बागेतल्या नळाची चिठ्ठी मिळते — "सुरक्षित राहावे म्हणून" मास्टर-चावी नाही. अरुंद सुरुवात करा; खरा नकार आला की मगच वाढवा. उलट दिशेने जाणे (AdministratorAccess ने सुरुवात, नंतर कमी करण्याचे वचन) एकदाही कमी करण्यात संपलेले नाही. 😅
🚫 मास्टर-चावी वर्गांतून फिरत नाही; कायमच्या सुट्या चाव्या नाहीत. Root तिजोरीतच राहतो (धडा 01). आणि कायमच्या AKIA… keys — "पायपुसणीखाली ठेवलेल्या सुट्या चाव्या" — शोधून काढल्या जातात आणि टोप्यांनी बदलल्या जातात (धडे 04–05). ज्या असायलाच हव्यात त्या rotate होतात आणि त्यांचा वापर तपासला जातो.
🧾 नोंदवही नेहमी चालू (CloudTrail). उघडलेले प्रत्येक दार, दाखवलेले प्रत्येक कार्ड, लिहून ठेवलेले: कोण, काय, कधी, कुठून. हेरगिरीसाठी नाही — तर "रात्री 2 वाजता काय झाले?" याला खांदे उडवण्याऐवजी उत्तर मिळावे म्हणून. एकदा, संपूर्ण account साठी चालू करा, आणि ती तुम्हाला वाचवेल त्या दिवसापर्यंत विसरून जा.

🗺️ आकृती

flowchart TB
    r1["📱 MFA everywhere<br/>stolen password = useless half-key"]
    r2["🤏 least privilege<br/>smallest slip that does the job"]
    r3["🚫 no root walks, no eternal keys<br/>hats and badges instead"]
    r4["🧾 CloudTrail always on<br/>who·what·when·from where"]
    good["✅ the boring account<br/>that never makes the news"]
    r1 --> good
    r2 --> good
    r3 --> good
    r4 --> good

❓ काय (कार्यालयासोबत येणारी audit साधने)

Credential report — एक CSV: प्रत्येक user, keys चे वय, MFA ची स्थिती.
Access Advisor — "या user कडे S3 चे अधिकार आहेत पण 400 दिवसांत वापरलेले नाहीत" → चिठ्ठी लहान करा.
IAM Access Analyzer — हेतूपेक्षा जास्त व्यापकपणे shared असलेले resources शोधतो.
CloudTrail — API नोंदवही (console मध्ये 90 दिवसांचा event history मोफत; कायमसाठी S3 मध्ये trail).

🤔 का

तुम्ही कधीही वाचाल त्या प्रत्येक AWS incident postmortem मध्ये यांपैकी किमान एक असते: MFA नाही, खूप व्यापक policy, फुटलेली कायमची key, किंवा "काय झाले ते आम्हाला कळले नाही" (trail नाही). चार नियम, चार उतारे. कंटाळवाणे असणे हेच ध्येय — कंटाळवाणी accounts बातम्यांमध्ये येत नाहीत.

🧪 करून पाहा (मोफत — स्वतःचे audit करा)

# 1) the credential report — your account's report card:
aws iam generate-credential-report && sleep 2
aws iam get-credential-report --query Content --output text | base64 -d | cut -d, -f1,4,8,9 | column -t -s,
# look for: mfa_active=false on humans 😬, ancient access_key_1_last_rotated

# 2) is the logbook on?
aws cloudtrail describe-trails --query 'trailList[].{Name:Name,MultiRegion:IsMultiRegionTrail}'
# empty? → create a trail (console, 2 minutes) before Part 2.

# 3) recent history exists even without a trail (90 days):
aws cloudtrail lookup-events --max-results 3 \
  --query 'Events[].{when:EventTime,who:Username,what:EventName}'

✅ तपासा — तुम्हाला काय दिसायला हवे

aws iam get-credential-report प्रत्येक माणसासाठी MFA true दाखवतो आणि 90 दिवसांपेक्षा जुनी एकही active access key नसते.

🧹 साफसफाई — काहीही चालू ठेवू नका

साफ करण्यासारखे काही नाही — हा धडा मोफत आहे 🎉

⚠️ नेहमीच्या चुका

फक्त root वर MFA — प्रत्येक माणसाला ते हवे
'पुढच्या तिमाहीत keys rotate करू'
काही पैसे वाचवण्यासाठी CloudTrail बंद — audit हा AWS वरचा सर्वात स्वस्त विमा आहे

⏭️ पुढे — भाग 2 सुरू 🖥️

ओळख सुटली. आता दुसरा पाया: ज्यावर सगळे चालते ते भाड्याचे संगणक. EC2 instance म्हणजे नेमके काय?

git checkout lesson-07-what-is-ec2

📋 Lesson 06 — IAM hygiene: the ID-office rules poster

📍 You are here: Lesson 06 of 12 — end of Part 1! · Previous: lesson-05-machine-identities · Next: lesson-07-what-is-ec2

📦 What's in this branch

Lessons 01–05, plus the four habits that prevent most AWS security incidents — the poster on the ID-office wall.

🧒 Explain like I'm 5

Four rules, big letters, taped where everyone queues for cards:

📱 Two locks on every door that matters (MFA). A card alone isn't enough — you also show the thing only you carry (your phone). A stolen password becomes a useless half-key. Root: MFA. Every human: MFA. No exceptions, no "later".
🤏 The smallest slip that does the job (least privilege). The kid watering plants gets the garden-tap slip — not the master key "to be safe". Start narrow; widen when a real denial says you must. Going the other direction (start with AdministratorAccess, promise to tighten later) has never once ended in tightening. 😅
🚫 No master key walks the halls; no eternal spare keys. Root stays in the safe (lesson 01). And permanent AKIA… keys — the "spare keys under the doormat" — get hunted down and replaced with hats (lessons 04–05). The ones that must exist get rotated and get usage-checked.
🧾 The logbook is always on (CloudTrail). Every door opened, every card shown, written down: who, what, when, from where. Not to spy — so that "what happened at 2 AM?" has an ANSWER instead of a shrug. Turn it on once, account-wide, forget it until the day it saves you.

🗺️ Diagram

flowchart TB
    r1["📱 MFA everywhere<br/>stolen password = useless half-key"]
    r2["🤏 least privilege<br/>smallest slip that does the job"]
    r3["🚫 no root walks, no eternal keys<br/>hats and badges instead"]
    r4["🧾 CloudTrail always on<br/>who·what·when·from where"]
    good["✅ the boring account<br/>that never makes the news"]
    r1 --> good
    r2 --> good
    r3 --> good
    r4 --> good

❓ What (the audit tools that come with the office)

Credential report — one CSV: every user, key ages, MFA status.
Access Advisor — "this user has S3 powers but hasn't used them in 400 days" → shrink the slip.
IAM Access Analyzer — finds resources shared wider than intended.
CloudTrail — the API logbook (90 days of event history free in the console; a trail to S3 for keeps).

🤔 Why

Every AWS incident postmortem you'll ever read features at least one of: no MFA, an over-broad policy, a leaked permanent key, or "we couldn't tell what happened" (no trail). Four rules, four antidotes. Boring is the goal — boring accounts don't make the news.

🧪 Try it (free — audit yourself)

# 1) the credential report — your account's report card:
aws iam generate-credential-report && sleep 2
aws iam get-credential-report --query Content --output text | base64 -d | cut -d, -f1,4,8,9 | column -t -s,
# look for: mfa_active=false on humans 😬, ancient access_key_1_last_rotated

# 2) is the logbook on?
aws cloudtrail describe-trails --query 'trailList[].{Name:Name,MultiRegion:IsMultiRegionTrail}'
# empty? → create a trail (console, 2 minutes) before Part 2.

# 3) recent history exists even without a trail (90 days):
aws cloudtrail lookup-events --max-results 3 \
  --query 'Events[].{when:EventTime,who:Username,what:EventName}'

✅ Verify — what you should see

aws iam get-credential-report shows MFA true for every human and no active access key older than 90 days.

🧹 Clean up — do not leave running

nothing to clean up — this lesson is free 🎉

⚠️ Common mistakes

MFA on root only — every human gets it
'we'll rotate the keys next quarter'
CloudTrail off to save pennies — audit is the cheapest insurance on AWS

⏭️ Next — Part 2 begins 🖥️

Identity solved. Now the OTHER foundation: the rented computers everything runs on. What actually IS an EC2 instance?

git checkout lesson-07-what-is-ec2

← Previousmachine identities Next →what is ec2

This page is the lesson's README from the lesson-06-iam-hygiene branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.