DOP-C02: IAM at Scale

Eğitim Hakkında

IAM politikaları, roller, Identity Center ve ölçekli least privilege

Bu ileri seviye modül, AWS DOP-C02 kapsamında ölçekli kimlik ve erişim yönetimine odaklanır. IAM politika değerlendirme mantığı (explicit deny, allow, boundary), identity-based ve resource-based policy; rol üstlenme (assume role) ve geçici kimlik işlenir. Çapraz hesap erişim, permission boundary ile yetki tavanı, service control policy (SCP) ile organizasyon guardrail'ı; IAM Identity Center (SSO) ile merkezi erişim, permission set ve federasyon ele alınır. Ardından workload identity (IRSA, OIDC), least privilege tasarımı, Access Analyzer ile erişim doğrulama, policy-as-code ve erişim denetimi uygulanır. Katılımcılar, büyük ve çok hesaplı bir ortamda erişimi güvenli, merkezi ve denetlenebilir biçimde yönetir.

Süre ve Format

2 Gün. Her gün dört modül; katılımcılar IAM politika mantığından ölçekli erişim ve federasyona ilerler.

Seviye

İleri Seviye — AWS'de ölçekli kimlik ve erişim yönetiminin (IAM) çok hesaplı ortamlarda DOP-C02 kapsamında ele alınması.

Öğrenme Metodu

Katılımcılar IAM politikaları, permission boundary ve IAM Identity Center permission set'leri uygulamalı tasarlar ve Access Analyzer ile doğrular.

Neden Bu Eğitim?

🔑Least Privilege

En az yetki ilkesini ölçekte uygulanabilir politikalarla hayata geçirirsiniz.

🏢Merkezi Erişim

IAM Identity Center ile çok hesaplı erişimi tek yerden yönetirsiniz.

🧱Guardrail

SCP ve permission boundary ile yetki tavanını güvenle sınırlarsınız.

Anahtar Konular

aws iamdop-c02iam identity centerpermission boundaryservice control policyleast privilegeaccess analyzerirsa oidcaws devops professionalçok hesaplı iam

“Güvenlik, kimin neye erişebildiğini değil, kimin neye erişememesi gerektiğini bilmekle başlar.”

Ön Koşullar

Eğitimden verim almak için faydalı olacak bilgi ve ortam gereksinimleri

1

AWS Deneyimi

AWS servisleri ve temel IAM kavramlarına aşinalık gereklidir.

2

JSON Bilgisi

IAM politikaları için JSON söz dizimi aşinalığı beklenir.

3

Güvenlik Temeli

Kimlik doğrulama ve yetkilendirme kavramlarına aşinalık faydalıdır.

4

AWS Hesabı

IAM ve tercihen Organizations/Identity Center erişimi olan hesap.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı, IAM politika değerlendirmesini kavrar ve rol tabanlı erişim tasarlayabilir.

Modül 1

Politika Değerlendirme

Varsayılan deny ve explicit allow/deny mantığı
Değerlendirme sırası ve explicit deny önceliği
Identity policy, resource policy ve boundary kesişimi
Condition anahtarları ve bağlam (context)
Principal, action, resource, condition yapısı
Policy simülatörü ile test

Modül 2

Politika Tipleri

Managed ve inline politika farkı
Resource-based policy (S3, KMS, Lambda)
Condition ile IP, MFA, tag tabanlı kısıt
ABAC ile tag tabanlı erişim
Wildcard ve en az yetki dengesi
Politika sürümleme ve yönetimi

Modül 3

Roller ve AssumeRole

IAM rol ve trust policy yapısı
AssumeRole ile geçici kimlik (STS)
Instance profile ve servis rolleri
ExternalId ile üçüncü parti erişim güvenliği
Session policy ile oturum kısıtlama
Rol zincirleme (role chaining) ve limitler

Modül 4

Permission Boundary

Permission boundary ile maksimum yetki tavanı
Boundary ve identity policy kesişimi
Delegasyonla güvenli self-servis rol oluşturma
Developer'a sınırlı IAM yönetimi devri
Boundary tasarım desenleri
Boundary ile privilege escalation önleme

Günün hedefiKatılımcı, çok hesaplı erişimi merkezi yönetir ve erişimi doğrulayabilir.

Modül 1

IAM Identity Center

Identity Center (SSO) ile merkezi oturum açma
Permission set tanımı ve hesaplara atama
Harici IdP (Azure AD/Okta) federasyonu
Grup tabanlı erişim yönetimi
Geçici kimlik ve oturum süresi
Erişim portalı ve CLI entegrasyonu

Modül 2

SCP ve Organizations

Service control policy ile organizasyon guardrail'ı
OU yapısı ve politika kalıtımı
Allow-list ve deny-list SCP stratejileri
SCP ile bölge/servis kısıtlama
SCP ve IAM politikalarının kesişimi
Yönetim hesabının SCP istisnası

Modül 3

Workload Identity

EKS için IRSA (IAM Roles for Service Accounts)
OIDC provider ile federasyon
Uzun ömürlü anahtarsız (keyless) erişim
Pod identity ve en az yetki
CI/CD için OIDC federasyonu (GitHub Actions)
Statik kimlik bilgisi risklerinin ortadan kaldırılması

Modül 4

Access Analyzer

IAM Access Analyzer ile dışa açık erişim tespiti
Unused access (kullanılmayan yetki) bulguları
Policy generation ile least privilege üretimi
Policy validation ve en iyi uygulama kontrolü
Erişim denetimi ve raporlama
CloudTrail ile erişim etkinliği analizi

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Politika Mantığı

IAM değerlendirme mantığını (deny/allow/boundary) doğru çözümlersiniz.

✅

Roller

AssumeRole ve geçici kimlikle güvenli erişim tasarlarsınız.

✅

Permission Boundary

Boundary ile güvenli self-servis ve yetki tavanı kurarsınız.

✅

Identity Center

Permission set ve federasyonla merkezi erişim yönetirsiniz.

✅

SCP

SCP ile organizasyon genelinde guardrail uygularsınız.

✅

Workload Identity

IRSA ve OIDC ile anahtarsız iş yükü erişimi kurarsınız.

✅

Access Analyzer

Access Analyzer ile erişimi doğrular ve least privilege üretirsiniz.

✅

DOP-C02

Sınavın kimlik ve erişim alanını senaryo bazlı pekiştirirsiniz.

Kimler İçin Uygundur?

AWS DevOps ve güvenlik mühendisleri
bulut mimarları
DOP-C02 adayları
çok hesaplı ortamlarda erişimi yönetenler için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

AWS DevOps ve güvenlik mühendisleri, bulut mimarları, DOP-C02 adayları ve çok hesaplı ortamlarda erişimi yönetenler için uygundur.

Permission boundary ile SCP farkı nedir?

SCP bir organizasyon/OU'daki tüm principal'lara maksimum yetki sınırı koyar; permission boundary ise tek bir IAM kimliğinin yetki tavanını belirler. İkisi birlikte guardrail oluşturur.

IRSA neden önemli?

EKS pod'larının uzun ömürlü anahtar yerine OIDC federasyonuyla geçici IAM kimliği almasını sağlar; böylece sızdırılabilecek statik kimlik bilgisi ortadan kalkar.

Access Analyzer ne işe yarar?

Kaynaklara dışarıdan erişimi ve kullanılmayan yetkileri tespit eder, CloudTrail etkinliğine dayalı least privilege politikaları üretir ve politikaları doğrular.

Eğitim sonunda sertifika veriliyor mu?

Eğitim sonunda Digital Vizyon Akademi Katılım ve Başarı Sertifikası verilir; AWS'nin resmi sınav başvurusu ve ücreti ilgili kuruma aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

AWS DEVOPS ENGINEER PRO (DOP-C02): IDENTITY & ACCESS MANAGEMENT AT SCALE EĞİTİMİ