🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🪪 धडा 01 — IAM का: शाळेचे ओळखपत्र कार्यालय

📍 तुम्ही इथे आहात: 12 पैकी धडा 01 · पुढे: lesson-02-users-groups-root

📦 या ब्रँचमध्ये काय आहे

प्रत्येक AWS request ला ज्याचे उत्तर द्यावेच लागते असा एकच प्रश्न — कोण विचारतोय, काय करायला, कोणत्या वस्तूवर — आणि त्याचे उत्तर देणारे कार्यालय: IAM (Identity and Access Management). पूर्ण कोर्सभर तुम्ही वापराल अशा खऱ्या files:

iam/evaluate.py — ओळखपत्र कार्यालयाचे नियमपुस्तक: AWS च्या policy evaluation चे शिकवण्यासाठीचे model, शुद्ध Python मध्ये
iam/demo.py — प्रत्येक धड्याचे निर्णय, प्रत्यक्ष चालताना (python3 iam/demo.py <section>)
iam/policies/ — खरे IAM policy documents (तुम्ही AWS मध्ये paste कराल तेच JSON)
iam/data/ — नमुना credential report, CloudTrail events आणि last-accessed data
iam/test_iam.py — 12 checks, प्रत्येक धड्यासाठी एक

🎒 सुरू करण्याआधी: तुम्हाला फक्त Python 3 लागेल, बाकी काही नाही — AWS account नको, pip install नको. evaluate.py हे शिकवण्यासाठीचे model आहे: ते AWS ने दस्तऐवजात सांगितलेल्या क्रमानेच चालते, पण खऱ्या AWS मध्ये आणखी condition operators आणि service-विशिष्ट नियम असतात. खऱ्या policies IAM Policy Simulator ने किंवा aws iam simulate-principal-policy ने तपासा. खऱ्या account वर असे लिहिलेल्या commands ना AWS CLI आणि credentials लागतात; बाकी सगळे इथेच चालते.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

एका मोठ्या शाळेत एकच ओळखपत्र कार्यालय 🪪 आहे. ग्रंथालयात, lab मध्ये किंवा शिक्षकांच्या खोलीत कोणीही फक्त हसून आत जात नाही — प्रत्येक वेळी दरवाजा कार्यालयाला तीन प्रश्न विचारतो:

तुम्ही कोण आहात? (तुमचे ओळखपत्र — authentication)
तुम्हाला काय करायचे आहे? (पुस्तक घ्यायचे, lab उघडायची — action)
कोणत्या वस्तूवर? (हे पुस्तक, ती lab — resource)

कार्यालय प्रत्येक उत्तराची सुरुवात नाही ने करते. एखादा लिखित नियम तसे सांगत असेल तरच ते हो म्हणते. आणि प्रत्येक प्रश्नाची आणि प्रत्येक उत्तराची ते एक नोंदवही ठेवते.

AWS म्हणजेच ती शाळा. प्रत्येक API call — console मधून, CLI मधून, SDK मधून, robot कडून — ही एक सही केलेली request असते, आणि काहीही घडण्याआधी IAM तिचे उत्तर देतो.

🗺️ आकृती

flowchart LR
    who["🪪 WHO<br/>arn:aws:iam::111122223333:user/aishwarya"]
    what["🎬 WHAT<br/>s3:GetObject"]
    which["📄 WHICH<br/>arn:aws:s3:::school-reports/term1.pdf"]
    office["⚖️ IAM decides<br/>starts at DENY"]
    log["🧾 CloudTrail<br/>one line per request"]
    who --> office
    what --> office
    which --> office
    office -->|"1 decision"| out["🚫 IMPLICIT DENY<br/>no policy allows it"]
    office -.->|"2 recorded"| log

🗺️ काढलेली आकृती + एक lab: https://school-edh.pages.dev/iam/lesson-diagrams.html#l01

❓ काय

Principal — कोण विचारतोय: IAM user, role session, root user, AWS service, किंवा federated identity. त्याचे नाव ARN ने सांगितले जाते, जसे arn:aws:iam::111122223333:user/aishwarya.
Action — service:Verb, उदा. s3:GetObject, ec2:RunInstances, iam:CreateUser.
Resource — त्या वस्तूचा ARN, उदा. arn:aws:s3:::school-reports/term1.pdf.
Authentication विरुद्ध authorization — कोण हे कळण्यासाठी AWS request ची सही (SigV4) तपासतो; मग परवानगी आहे का हे IAM policies ठरवतात. ही दोन वेगळी कामे आहेत.
Default deny — allow करणारी policy नसेल तर प्रत्येक request नाकारली जाते. Demo याला IMPLICIT DENY म्हणतो.
Root user — account चा email आणि password असलेला मालक. त्याला policies जोडता येत नाहीत आणि identity policies त्याला मर्यादा घालत नाहीत; फक्त Organizations SCP (member account मध्ये) किंवा resource policy मधला स्पष्ट Deny त्याला रोखू शकतो. तो जवळजवळ कशासाठीच वापरू नका: MFA चालू करा, access keys बनवू नका, त्याला तिजोरीत बंद करून ठेवा.
CloudTrail — नोंदवही: कोण, काय, कशावर, केव्हा, कुठून, आणि निकाल काय.

🤔 का

कारण cloud म्हणजे एक मोठा API आहे, आणि जो तो call करू शकतो तो काहीही बनवू, वाचू किंवा delete करू शकतो. फुटलेल्या keys, गरजेपेक्षा रुंद policies आणि वाटून घेतलेले logins हे खऱ्या cloud breaches पैकी मोठ्या भागामागे असतात. प्रत्येक request ज्यातून जाते असे IAM हे एकच कार्यालय आहे — ते बरोबर ठेवा, म्हणजे बाकी प्रत्येक service ला ते संरक्षण आपोआप मिळते.

🔧 कसे (या repo मध्ये)

iam/demo.py मधला why() कार्यालयाला एक प्रश्न विचारतो — अजून एकही policy नसलेल्या aishwarya ला एक report वाचायचा आहे — आणि iam/evaluate.py मधल्या decide() चा निर्णय print करतो. decide() एक जोडी परत देतो: निर्णय आणि कारण.

🧪 करून पाहा

python3 iam/demo.py why
python3 - <<'EOF'
import sys; sys.path.insert(0, "iam"); from evaluate import decide
me = "arn:aws:iam::111122223333:user/aishwarya"
for action, res in [("s3:GetObject", "arn:aws:s3:::school-reports/term1.pdf"), ("ec2:RunInstances", "*"), ("iam:CreateUser", "*")]:
    print(action.ljust(18), decide(me, action, res))
EOF
python3 iam/test_iam.py

खऱ्या account वर (AWS CLI आणि credentials लागतात) — "मी कोण आहे?", ज्याला कोणतीच परवानगी लागत नाही असा एकमेव call:

aws sts get-caller-identity

✅ तपासा — तुम्हाला काय दिसायला हवे

why हे print करतो: 🚫 aishwarya, no policies yet → s3:GetObject IMPLICIT DENY — no policy allows it — AWS denies by default. तुमचा snippet तीच जोडी तीन वेळा print करतो: s3:GetObject, ec2:RunInstances आणि iam:CreateUser साठी ('IMPLICIT DENY', 'no policy allows it — AWS denies by default'). Tests च्या शेवटी 12/12 passed येते. खऱ्या account वर get-caller-identity तुमचा UserId, Account आणि Arn परत देतो.

🏁 तुम्ही आत्ताच काय सिद्ध केले

प्रत्येक request हा कोण / काय / कशावर असा प्रश्न असतो, आणि कोणताही नियम लिहिलेला नसेल तर उत्तर नाही असते — प्रत्येक action साठी, ती कितीही निरुपद्रवी असली तरी.

⚠️ नेहमीच्या चुका

रोजच्या कामासाठी root user वापरणे (किंवा त्याच्यासाठी access keys बनवणे)
"console मध्ये login झाले" म्हणजे "परवानगी आहे" असे समजणे — login म्हणजे कोण, policies म्हणजे परवानगी आहे का
एकच login अनेकांनी वाटून घेणे — मग नोंदवही कोणी काय केले ते सांगू शकत नाही
evaluate.py ला खरी गोष्ट समजणे — ते एक model आहे; अंतिम निर्णय Policy Simulator चा

🏭 प्रत्यक्ष वापरात हे का महत्त्वाचे: प्रत्येक AWS security review ची सुरुवात IAM ने होते: root user MFA सह तिजोरीत बंद आहे का, कोण काय करू शकतो, आणि प्रत्येक region मध्ये CloudTrail चालू आहे का? या तीन प्रश्नांची उत्तरे द्या, म्हणजे बहुतेक "आमच्यावर breach झाला" अशा कथा सुरूच होत नाहीत.

⏭️ पुढे

कार्यालयाला कार्डे द्यायला कोणीतरी हवे. Users, groups आणि root — ओळखपत्र कोणाला मिळते, आणि परवानग्या व्यक्तीकडे नाही तर यादीकडे का असतात.

git checkout lesson-02-users-groups-root

🪪 Lesson 01 — Why IAM: the school's ID office

📍 You are here: Lesson 01 of 12 · Next: lesson-02-users-groups-root

📦 What's in this branch

The one question every AWS request must answer — who is asking, to do what, on which thing — and the office that answers it: IAM (Identity and Access Management). Real files you will use all the way through:

iam/evaluate.py — the ID office's rulebook: a teaching model of AWS's policy evaluation, in pure Python
iam/demo.py — every lesson's decisions, live (python3 iam/demo.py <section>)
iam/policies/ — real IAM policy documents (the same JSON you would paste into AWS)
iam/data/ — a sample credential report, CloudTrail events and last-accessed data
iam/test_iam.py — 12 checks, one per lesson

🎒 Before you start: you need Python 3 and nothing else — no AWS account, no pip install. evaluate.py is a teaching model: it follows the order AWS documents, but real AWS has more condition operators and service-specific rules. Check real policies with the IAM Policy Simulator or aws iam simulate-principal-policy. Commands marked on a real account need the AWS CLI and credentials; everything else runs here.

🧒 Explain like I'm 5

A big school has one ID office 🪪. Nobody walks into the library, the lab or the staff room on a smile — every time, the door asks the office three questions:

Who are you? (your ID card — authentication)
What do you want to do? (borrow a book, open the lab — the action)
To which thing? (this book, that lab — the resource)

The office starts every answer at no. It only says yes if a written rule says so. And it keeps a logbook of every question and every answer.

AWS is that school. Every API call — from the console, the CLI, an SDK, a robot — is a signed request that IAM answers before anything happens.

🗺️ Diagram

flowchart LR
    who["🪪 WHO<br/>arn:aws:iam::111122223333:user/aishwarya"]
    what["🎬 WHAT<br/>s3:GetObject"]
    which["📄 WHICH<br/>arn:aws:s3:::school-reports/term1.pdf"]
    office["⚖️ IAM decides<br/>starts at DENY"]
    log["🧾 CloudTrail<br/>one line per request"]
    who --> office
    what --> office
    which --> office
    office -->|"1 decision"| out["🚫 IMPLICIT DENY<br/>no policy allows it"]
    office -.->|"2 recorded"| log

🗺️ Drawn version + a lab: https://school-edh.pages.dev/iam/lesson-diagrams.html#l01

❓ What

Principal — who is asking: an IAM user, a role session, the root user, an AWS service, or a federated identity. Named by an ARN such as arn:aws:iam::111122223333:user/aishwarya.
Action — service:Verb, e.g. s3:GetObject, ec2:RunInstances, iam:CreateUser.
Resource — the ARN of the thing, e.g. arn:aws:s3:::school-reports/term1.pdf.
Authentication vs authorization — AWS checks the request's signature (SigV4) to learn who; then IAM policies decide whether. Two different jobs.
Default deny — with no policy that allows it, every request is refused. The demo calls this IMPLICIT DENY.
The root user — the email-and-password owner of the account. You cannot attach policies to it and identity policies do not limit it; only an Organizations SCP (in a member account) or an explicit Deny in a resource policy can. Use it for almost nothing: turn on MFA, create no access keys, lock it away.
CloudTrail — the logbook: who, what, which, when, from where, and the result.

🤔 Why

Because the cloud is one big API, and whoever can call it can create, read or delete anything. Leaked keys, over-wide policies and shared logins are behind a large share of real cloud breaches. IAM is the one office every request passes — get it right and every other service inherits the protection.

🔧 How (in this repo)

why() in iam/demo.py asks the office one question — aishwarya, with no policies yet, wants to read a report — and prints the decision from decide() in iam/evaluate.py. decide() returns a pair: the decision and the reason.

🧪 Try it

python3 iam/demo.py why
python3 - <<'EOF'
import sys; sys.path.insert(0, "iam"); from evaluate import decide
me = "arn:aws:iam::111122223333:user/aishwarya"
for action, res in [("s3:GetObject", "arn:aws:s3:::school-reports/term1.pdf"), ("ec2:RunInstances", "*"), ("iam:CreateUser", "*")]:
    print(action.ljust(18), decide(me, action, res))
EOF
python3 iam/test_iam.py

On a real account (needs the AWS CLI and credentials) — "who am I?", the one call that needs no permission at all:

aws sts get-caller-identity

✅ Verify — what you should see

why prints 🚫 aishwarya, no policies yet → s3:GetObject IMPLICIT DENY — no policy allows it — AWS denies by default. Your snippet prints the same pair three times: ('IMPLICIT DENY', 'no policy allows it — AWS denies by default') for s3:GetObject, ec2:RunInstances and iam:CreateUser. The tests end with 12/12 passed. On a real account, get-caller-identity returns your UserId, Account and Arn.

🏁 What you just proved

Every request is a who / what / which question, and with no rule written down, the answer is no — for every action, however harmless.

⚠️ Common mistakes

using the root user for daily work (or creating access keys for it)
thinking "logged in to the console" means "allowed" — login is who, policies are whether
sharing one login between people — the logbook can no longer say who did what
treating evaluate.py as the real thing — it is a model; the Policy Simulator is the referee

🏭 Why this matters in production: every AWS security review starts with IAM: is the root user locked away with MFA, who can do what, and is CloudTrail on in every region? Answer those three and most "we got breached" stories never start.

⏭️ Next

The office needs someone to issue cards to. Users, groups and root — who gets an ID, and why permissions belong to the list, not the person.

git checkout lesson-02-users-groups-root

← Course homeall lessons Next →users groups root

This page is the lesson's README from the lesson-01-why-iam branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.