安全性服務

🧱 白話：對稱＝上鎖開鎖同一把鑰匙（快，加密大量資料用）；非對稱＝公鑰上鎖、私鑰開鎖（慢，用在簽章與交換金鑰）。KMS 就是「幫你保管與控管這些鑰匙」的服務。加密地基見 基礎篇 ch03 加密與 HTTPS。

AWS KMS（Key Management Service）：

• Customer Managed Keys（CMK）：由客戶建立和管理，可自訂旋轉（Rotation）週期，可刪除（7~30 天等待期）。
• AWS Managed Keys：AWS 替你管理，每 3 年自動旋轉，名稱格式 aws/s3、aws/rds 等。
• Symmetric（對稱）vs Asymmetric（非對稱）：對稱金鑰（AES-256）最常用於加解密；非對稱（RSA/ECC）用於簽章或無法聯網的客戶端加密。
• KMS Multi-Region Keys：同一金鑰複製到多個 Region，可在其他 Region 解密（跨 Region 加密場景）。
• Envelope Encryption：用 KMS 金鑰加密一個「資料金鑰（Data Key）」，再用資料金鑰加密實際資料。這樣大量資料不需要反覆呼叫 KMS API（每次上限 4KB）。

AWS Secrets Manager：

• 儲存、管理、自動旋轉敏感憑證（DB 密碼、API Key）。旋轉時自動更新 RDS/Redshift 等的密碼。
• 與 KMS 整合（秘密用 KMS 加密）。
• vs SSM Parameter Store：Secrets Manager 有自動旋轉和跨帳號共享，費用較高；Parameter Store 免費層適合一般設定值，無自動旋轉。

🧱 白話：兩種攻擊、兩種防法——DDoS 是「海量流量擠爆門口」（防法：Shield 的流量清洗）；SQL Injection/XSS 是「信封正常但內容惡意」，走正常 443 Port，只看 IP/Port 的 SG/NACL 完全看不出來，必須靠「拆開包裹檢查內容」的 L7 WAF。地基見 基礎篇 ch04 防火牆與網路隔離。

• AWS Shield Standard：免費，自動啟用，保護所有 AWS 客戶免受常見的網路層（Layer 3/4）DDoS 攻擊（SYN Flood、UDP Reflection）。
• AWS Shield Advanced：付費（每月 $3,000），額外保護：Layer 7 DDoS、即時 DDoS 攻擊可見性、24/7 DDoS Response Team（DRT）、攻擊期間的費用保護（不因攻擊導致帳單暴增）。保護：EC2、ELB、CloudFront、Route 53、Global Accelerator。
• AWS WAF（Web Application Firewall）：過濾 HTTP/HTTPS 請求（Layer 7）。
  ・可設定規則：IP 黑白名單、地理位置封鎖、SQL 注入防護、XSS 防護、速率限制（Rate-Based Rules）。
  ・部署位置：CloudFront、ALB、API Gateway、AppSync。
  ・AWS Managed Rules：預建規則組（OWASP Top 10、已知惡意 IP 等），直接套用。

• Amazon GuardDuty：使用 ML 分析 CloudTrail Logs、VPC Flow Logs、DNS Logs，自動偵測威脅（加密貨幣挖礦、帳號遭入侵、異常 API 呼叫）。無需部署任何 Agent，30 天免費試用。可整合 EventBridge → Lambda 自動回應。
• Amazon Inspector：自動掃描 EC2、Lambda 函數、Container Images 的漏洞（CVE）和偏差。需要在 EC2 安裝 SSM Agent（或使用 Inspector V2 的無 Agent 掃描）。提供漏洞報告和風險評分。
• Amazon Macie：使用 ML 自動發現並保護 S3 中的敏感資料（PII 個人資訊、信用卡號、社會安全號碼）。找到敏感資料後發送 EventBridge 通知。

• User Pools（使用者池）：提供應用程式的使用者目錄（登入/註冊/密碼重設）。支援社交登入（Google、Facebook）和 SAML／OIDC 聯合登入（Enterprise SSO——這兩個都是「讓使用者拿別的系統的帳號登入、不用在這裡重新註冊」的協定標準：SAML／Security Assertion Markup Language 是企業環境較常見的老牌標準，常見於公司內部 AD 整合；OIDC／OpenID Connect 是建立在 OAuth 2.0 之上、較新且更輕量的標準，常見於「用 Google/Facebook 登入」這類場景，兩者解決的問題類似，差別主要在協定格式與使用情境）。回傳 JWT Token（JSON Web Token——一種把「使用者是誰、有什麼身分資訊」加密簽章後編碼成一長串文字的憑證格式，結構分三段：Header 記錄簽章演算法、Payload 放實際的使用者資訊、Signature 用來驗證這段內容沒有被竄改）給應用程式。
• Identity Pools（身份池，Federated Identities）：讓使用者取得臨時 AWS 憑證（IAM Role）來直接存取 AWS 服務（S3、DynamoDB）。可以接受來自 User Pools、社交媒體、SAML 的身份。
• 典型組合：User Pools（登入取得 JWT）→ Identity Pools（用 JWT 換取 AWS 臨時憑證）→ 存取 S3/DynamoDB。