AWS SysOps: AWS Organizations & Service Control Policies

Eğitim Hakkında

AWS Organizations politika katmanı ve SCP tasarımı

Eğitim AWS Organizations'ın politika özelliklerine odaklanır: root, OU ve hesap hiyerarşisi, SCP sözdizimi ve değerlendirme mantığı, deny list ve allow list stratejileri, bölge kısıtı, root kullanıcı engelleme, güvenlik servislerini kapatmayı yasaklama örnekleri, tag policy ve backup policy, delegated administrator, AWS RAM ve organizasyon CloudTrail ile denetim.

Süre ve Format

2 Gün. Her gün dört modül; toplam 8 modülde Organizations ve SCP Temelleri / Politika Türleri ve Yönetişim konuları işlenir. Her modülde kavram anlatımı AWS konsolu ve CLI uygulamasıyla birlikte ilerler.

Seviye

Orta Seviye — Organizations hiyerarşisi, SCP tasarımı, tag policy, delegated admin ve çok hesaplı yönetişim

Öğrenme Metodu

Katılımcılar test OU'sunda SCP'ler yazıp uygular, etkisini hesap içinde IAM Policy Simulator ve gerçek işlemlerle doğrular ve tag policy ile uyumsuz kaynak raporlarını inceler.

Neden Bu Eğitim?

🚧Korkuluk tasarımı

Bölge, servis ve işlem düzeyinde SCP korkulukları yazmayı öğrenirsiniz.

🌳OU hiyerarşisi

Politikaların miras alınma mantığına göre OU yapısı tasarlarsınız.

🧪Güvenli test

SCP'leri üretime almadan önce test OU'sunda doğrulama yöntemini uygularsınız.

Anahtar Konular

AWS OrganizationsService Control PolicySCP yazımıAWS yönetişimAWS SysOps Associatetag policy AWSdelegated administratorAWS çok hesaplı güvenlikAWS OU tasarımıAWS kurumsal eğitim

“Korkuluk yaratıcılığı kısıtlamaz; hataların bedelini sınırlar.”

Ön Koşullar

Eğitimden verim almak için faydalı olacak bilgi ve ortam gereksinimleri

1

IAM policy bilgisi

JSON policy yapısına ve değerlendirme mantığına aşinalık gerekir.

2

AWS hesabı

Katılımcıların lab için kendi AWS hesabı (Free Tier) veya eğitmenin sağladığı sandbox hesabı ile çalışması önerilir.

3

Temel ağ bilgisi

IP adresleme, alt ağ (CIDR), DNS ve TCP/UDP port mantığına genel düzeyde aşinalık yeterlidir.

4

Komut satırı

Linux/Windows komut satırında temel işlem yapabilmek ve AWS CLI komutlarını okuyabilmek faydalıdır.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı OU yapısı kurup temel SCP'leri yazıp uygulayabilir.

Modül 1

Organizations Yapısı

Management hesabı, root, OU ve üye hesap
Tüm özellikler (All features) ile yalnızca faturalama modu
Hesap oluşturma, davet ve taşıma
OU derinliği ve politika mirası
Service-linked rol ve güvenilen servis erişimi
Organizations API ve CLI komutları

Modül 2

SCP Mantığı

SCP izin vermez, yalnızca sınır koyar
Etkin izin = SCP ∩ IAM
FullAWSAccess varsayılan SCP
Management hesabına SCP uygulanmaz
Service-linked roller ve SCP istisnası
SCP boyut sınırı 5120 karakter

Modül 3

Deny List ve Allow List

Deny list stratejisi: izin ver, belirtilenleri engelle
Allow list stratejisi: yalnızca izin verilenler
Condition ile aws:RequestedRegion kısıtı
NotAction ve ArnNotLike istisnaları
Principal tag ile yönetici istisnası
SCP seçim kriterleri

Modül 4

Yaygın SCP Örnekleri

Root kullanıcı işlemlerini engelleme
CloudTrail, Config ve GuardDuty'yi kapatma yasağı
İzin verilen bölge dışı kullanım yasağı
Public S3 ve şifrelenmemiş EBS yasağı
Belirli EC2 örnek tiplerini kısıtlama
Organizations'tan ayrılma (LeaveOrganization) yasağı

Günün hedefiKatılımcı diğer organizasyon politikalarını yapılandırıp SCP'leri güvenli şekilde yönetebilir.

Modül 1

Tag ve Backup Policy

Tag policy ile standart etiket anahtarı ve değerleri
Uyumsuzluk raporu
Zorunlu etiket koruması (enforced for)
Backup policy ile organizasyon geneli yedek planı
Politika birleştirme (inheritance) operatörleri
Efektif politikayı görme

Modül 2

Delegated Administrator

Management hesabını korumak için yetki devri
GuardDuty, Security Hub, Config, IAM Access Analyzer devri
Delegated admin için register-delegated-administrator
Güvenlik hesabından merkezi izleme
Organization trail
Servis bazlı güvenilen erişim

Modül 3

SCP Test ve Dağıtım

Test OU ve kademeli dağıtım
IAM Policy Simulator ile etki ön kontrolü
CloudTrail AccessDenied olaylarından SCP kaynaklı reddi bulma
Access Analyzer unused access
Değişiklik yönetimi ve geri alma
SCP'yi Terraform/CloudFormation ile yönetme

Modül 4

Yönetişim ve Denetim

Organizasyon genelinde CloudTrail ve Config toplayıcı
Hesap açma süreci ve temel çizgi
AWS RAM ile kaynak paylaşımı
Control Tower guardrail ile ilişki
Politika gözden geçirme periyodu
Yönetişim kontrol listesi

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Hiyerarşi tasarımı

Politika mirasına uygun OU yapısı tasarlayabilirsiniz.

✅

SCP yazımı

Deny ve allow list SCP'lerini yazabilirsiniz.

✅

Bölge kısıtı

Yetkisiz bölge kullanımını SCP ile engelleyebilirsiniz.

✅

Güvenlik servisleri koruması

CloudTrail ve GuardDuty'nin kapatılmasını engelleyebilirsiniz.

✅

Tag policy

Etiket standartlarını organizasyon genelinde uygulayabilirsiniz.

✅

Delegated admin

Güvenlik servislerini delegated admin hesabına devredebilirsiniz.

✅

SCP test

SCP'leri test OU'sunda doğrulayıp kademeli dağıtabilirsiniz.

✅

Sorun giderme

SCP kaynaklı AccessDenied hatalarını bulabilirsiniz.

Kimler İçin Uygundur?

Çok hesaplı AWS yapısında yönetişim politikaları tasarlayan SysOps mühendisleri
bulut güvenlik ekipleri

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Çok hesaplı AWS yapısında yönetişim politikaları tasarlayan SysOps mühendisleri ve bulut güvenlik ekipleri.

SCP'ler management hesabını etkiler mi?

Hayır, SCP management hesabına uygulanmaz; bu yüzden iş yükleri bu hesapta çalıştırılmamalıdır.

SCP testi nasıl yapılır?

Önce test OU'sunda uygulanır; CloudTrail AccessDenied olayları ve Policy Simulator ile doğrulanır.

Allow list mi deny list mi seçilmeli?

Çoğu kurumda yönetimi kolay olduğu için deny list tercih edilir; ölçütler eğitimde tartışılır.

Eğitim sonunda sertifika verilir mi?

Evet, katılımcılara Digital Vizyon Akademi Katılım ve Başarı Sertifikası verilir. AWS sertifika sınavına giriş isteniyorsa sınav başvurusu ve ücreti ilgili kuruma aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

AWS SYSOPS ASSOCIATE: AWS ORGANIZATIONS & SERVICE CONTROL POLICIES EĞİTİMİ