amazonaws.com

Amazon Web Services (AWS) ist ein Cloud-Dienstanbieter, der Funktionen für die Entwicklung und den Betrieb von Anwendungen und anderen Workloads bereitstellt. Das Angebot umfasst Rechenleistung, Speicher, Datenbanken, Analysen, Anwendungsintegration und weitere Bereiche. Entscheidend ist die Unterscheidung: AWS stellt viele Dienste für unterschiedliche Zwecke bereit, keine einzelne Anwendung mit einem einzigen Arbeitsablauf.

Die Domain amazonaws.com bildet den Namensraum für AWS-Dienstendpunkte, über die sich Software mit einzelnen AWS-Diensten und Ressourcen verbinden kann. Die öffentliche Informationswebsite von AWS ist aws.amazon.com. Die Endpunkt-Domain und die Marketing-Startseite erfüllen also unterschiedliche Aufgaben. Diese Unterscheidung erklärt, warum eine Anwendung amazonaws.com kontaktieren kann, ohne dass jemand die AWS-Website besucht.

Was lässt sich mit AWS entwickeln und betreiben?

AWS startete 2006 und bietet Cloud-Funktionen, mit denen Organisationen Workloads zusammenstellen und betreiben können. Das bereitgestellte offizielle Material beschreibt Dienste zum Ausführen von Anwendungen, Speichern von Informationen, Arbeiten mit Datenbanken und Verbinden verteilter Systeme. Wer AWS auswählt, muss daher bestimmen, welche Funktionen ein Workload benötigt, und die entsprechenden Dienste verstehen.

Der Dienstkatalog veranschaulicht diese Bandbreite, ohne dass alle Dienste austauschbar wären. EC2 wird als Dienst für virtuelle Server beschrieben, S3 als Objektspeicher und Lambda als Dienst zum Ausführen von Code, ohne Server oder Cluster verwalten zu müssen. Dies sind unterschiedliche Bausteine, auch wenn Anwendungen, die sie nutzen, Anfragen innerhalb derselben übergeordneten Domainfamilie stellen können.

Workload-Anforderung	Beispiele aus dem bereitgestellten AWS-Material	Praktischer Unterschied
Anwendungs-Workloads ausführen	EC2 und Lambda	Computing-Dienste bieten unterschiedliche Ansätze zum Ausführen von Code.
Objekte speichern	S3	Objektspeicher erfüllt einen anderen Zweck als eine relationale Datenbank.
Mit Datenbanken arbeiten	RDS und DynamoDB	AWS umfasst relationale und NoSQL-Datenbankdienste.
Anwendungskomponenten verbinden	API Gateway, SQS und Step Functions	API-Zugriff, Nachrichtenwarteschlangen und Workflows decken unterschiedliche Integrationsanforderungen ab.
Workloads analysieren und beobachten	Athena und CloudWatch	Datenabfragen und Betriebsüberwachung sind getrennte Tätigkeiten.

Diese Bandbreite macht AWS für Entwickler relevant, die mehrere Cloud-Funktionen innerhalb eines Workloads benötigen. Sie erfordert zugleich eine Auswahl: Eine Organisation muss den Dienst, das Zugriffsmodell und die betrieblichen Verantwortlichkeiten bestimmen, die zu ihrer Anwendung passen. Eine vertraute übergeordnete Domain nimmt ihr diese Entscheidungen nicht ab.

Wofür wird amazonaws.com verwendet?

Die AWS-Dokumentation definiert einen Endpunkt als URL-Einstiegspunkt für einen AWS-Webdienst. Viele Endpunkte verwenden amazonaws.com als Bestandteil ihres Hostnamens, zusammen mit Angaben zum Dienst und teilweise zu einer AWS-Region. Software nutzt diese Adressen, um den jeweiligen Diensteinstiegspunkt zu erreichen.

Eine Anfrage an einen AWS-Endpunkt kann zum Betrieb einer Anwendung gehören, statt ein bewusster Websitebesuch zu sein. Unterschiedliche Anfragen unter der übergeordneten Domain können unterschiedliche Dienste, Konten, Ressourcen und Zugriffsmodelle betreffen. Ihre gemeinsame Endung liefert weniger Anwendungskontext als die vollständige Anfrage.

Einen Dienstendpunkt lesen

Das dokumentierte Beispiel dynamodb.us-west-2.amazonaws.com enthält mehr nützliche Informationen als amazonaws.com allein. Es benennt DynamoDB und enthält den Regionscode us-west-2. Diese Angaben grenzen den Dienstkontext ein, verraten aber nicht alles über den Aufrufer oder die beteiligte Ressource.

• Dienstname: hilft dabei, die angesprochene AWS-Funktion zu erkennen.
• Regionscode: liefert regionalen Kontext, wenn der Endpunkt einem regionalen Muster folgt.
• Vollständiger Hostname: bewahrt Unterschiede, die verloren gehen, wenn eine Beobachtung auf die übergeordnete Domain reduziert wird.
• Anfragepfad: liefert zusätzlichen Anfragekontext, der anhand der Dienstdokumentation interpretiert werden muss.
• Anfragende Anwendung: hilft dabei, eine technische Adresse mit der Aktivität zu verbinden, die eine Person oder Organisation erwartet.

Diese Einzelheiten sollten gemeinsam betrachtet werden. Ein Diensthostname liefert nützliche Hinweise auf ein Ziel, während Anwendung und Anfrage erklären helfen, warum dieses Ziel genutzt wird. Weder der Dienstname noch die übergeordnete Domain belegen für sich genommen den Zweck der beteiligten Daten.

Warum enthalten manche AWS-Adressen eine Region?

Viele AWS-Endpunkte enthalten einen Regionscode, weil sie einen regionalen Einstiegspunkt für einen Dienst bereitstellen. AWS dokumentiert für einige Dienste auch allgemeine und globale Endpunkte. Das genaue Verhalten eines Endpunkts ist dienstspezifisch. Deshalb sollte ein einzelnes Namensmuster nicht auf den gesamten Katalog übertragen werden.

Für Entwickler lautet die praktische Frage, welchen Endpunkt der ausgewählte Dienst für den vorgesehenen Vorgang dokumentiert. Einen Regionscode zu erkennen, kann bei dieser Prüfung helfen. Eine Adresse anhand des Musters eines anderen Dienstes zu erraten, ersetzt jedoch keine Überprüfung. Die allgemeine AWS-Referenz und die Dokumentation zu Dienstendpunkten bieten dafür Ausgangspunkte.

Endpunkttyp	Was die bereitgestellte Recherche belegt	Was noch geprüft werden muss
Regional	Viele Hostnamen enthalten einen Dienstcode, einen Regionscode und amazonaws.com.	Der für den ausgewählten Dienst und die Region dokumentierte Endpunkt.
Allgemein	Manche Dienste haben allgemeine Endpunkte.	Wie der jeweilige Dienst Anfragen an diesen Endpunkt verarbeitet.
Global	AWS dokumentiert globale Endpunkte für einige Dienste.	Welche Vorgänge und welches regionale Verhalten der Dienst dokumentiert.

Der Vorteil dienstspezifischer Endpunkte liegt in einer klareren Weiterleitung und der Trennung von Funktionen. Für Personen, die Netzwerkaktivitäten prüfen, besteht der Nachteil darin, dass eine Beobachtung mit Platzhalter wie *.amazonaws.com viele dieser nützlichen Einzelheiten verbirgt. Sie fasst Ziele zusammen, die deutlich unterschiedliche Zwecke haben können.

Zeigt eine AWS-Adresse, wer eine Anwendung betreibt?

amazonaws.com zu sehen, verrät nicht, welcher Kunde, Workload oder Anwendungseigentümer für eine bestimmte Anfrage verantwortlich ist. AWS liefert den Cloud-Dienstkontext, doch die übergeordnete Domain erklärt nicht, welches Konto oder welche Ressource hinter der Aktivität steht. Sie belegt auch nicht, welche Informationen gespeichert, abgerufen oder verarbeitet werden.

Das ist relevant, wenn jemand eine unbekannte Verbindung in Anwendungsaktivitäten oder Netzwerkaufzeichnungen bemerkt. Die Adresse kann helfen, einen AWS-Dienst zu erkennen. Um die Verbindung zu interpretieren, braucht es jedoch Belege aus der Software, die sie herstellt. Die passende Frage lautet, was diese Anwendung mit dem Ziel macht.

Eine sinnvolle Prüfung unterscheidet folgende Fragen:

1. Welche Anwendung hat die Anfrage ausgelöst? Ordnen Sie das Ziel der untersuchten Software und Aktivität zu.
2. Wie lautet das vollständige Ziel? Bewahren Sie Hostname und Pfad auf, statt nur die Domainendung festzuhalten.
3. Für welchen Dienst steht es? Vergleichen Sie die Adresse mit der entsprechenden AWS-Dokumentation.
4. Welcher Vorgang wird erwartet? Stellen Sie fest, wie die Anfrage mit dem vorgesehenen Verhalten der Anwendung zusammenhängt.
5. Welches Zugriffsmodell gilt? Prüfen Sie die Anmeldedaten und Berechtigungen, die dieser Dienst und diese Ressource erfordern.
6. Was bleibt ungeklärt? Lassen Sie Eigentümerschaft, Datenzweck oder Autorisierung offen, wenn der verfügbare Kontext sie nicht belegt.

Dieser Ansatz vermeidet es, die Identität der Infrastruktur mit der Identität der Anwendung gleichzusetzen. Außerdem macht er eine Untersuchung konkreter: Unsicherheit über die Anfrage einer Anwendung wird zu einer Frage zu dieser Anwendung und diesem Dienst, statt zu einer Schlussfolgerung über alle Ziele mit derselben Endung.

Wie beeinflussen Anmeldedaten und Berechtigungen den Zugriff?

AWS-Anmeldedaten und Berechtigungen beantworten unterschiedliche Fragen. Anmeldedaten authentifizieren einen Aufrufer, während Berechtigungen die Aktionen autorisieren, die dieser Aufrufer ausführen darf. Zu wissen, zu welchem Dienst ein Endpunkt gehört, belegt nicht, ob ein bestimmter Aufrufer eine bestimmte Ressource nutzen kann.

Die genauen Anforderungen ergeben sich aus dem jeweiligen Dienst und seinem Zugriffsmodell. Entwickler sollten die Übersicht zu AWS-Sicherheitsanmeldedaten zusammen mit der Dokumentation für den vorgesehenen Dienst und Vorgang lesen. Die bloße Existenz eines Endpunkts beschreibt nicht alle diese Anforderungen.

Frage zum Zugriff	Relevantes Konzept	Was es allein nicht belegt
Wer stellt die Anfrage?	Authentifizierung mittels Anmeldedaten	Ob der Aufrufer die angeforderte Aktion ausführen darf.
Darf der Aufrufer diese Aktion ausführen?	Autorisierung durch Berechtigungen	Ob eine andere, unabhängige Aktion oder Ressource ebenfalls erlaubt ist.
Welche Anforderungen gelten hier?	Dienstspezifische Dokumentation	Eine allgemeingültige Zugriffsregel für jeden AWS-Endpunkt.

Verantwortung geht über das Erkennen des Anbieters hinaus

AWS veröffentlicht ein Modell der geteilten Verantwortung, das die Aufteilung der Verantwortlichkeiten bei der Nutzung seiner Dienste erläutert. Das ist eine andere Frage als das Erkennen eines AWS-Hostnamens. Teams müssen ihre Verantwortlichkeiten zusammen mit den Zugriffsanforderungen des Dienstes betrachten, statt anzunehmen, dass die Identität des Anbieters Fragen auf Anwendungsebene beantwortet.

Die bereitgestellten Belege stützen eine Erläuterung dieser Aufteilung als Teil der Bewertung von AWS. Sie belegen nicht, wie ein bestimmter Kunde eine Anwendung oder Ressource konfiguriert hat. Die Bewertung einer konkreten Bereitstellung erfordert Informationen über diese Bereitstellung.

Sollte eine Organisation die gesamte Domainfamilie erlauben oder sperren?

Eine domainweite Entscheidung ist weitreichend, weil amazonaws.com mehrere Dienste und möglicherweise voneinander unabhängige Workloads umfasst. Die gesamte Familie zu sperren, kann Anwendungen beeinträchtigen, die auf diese Ziele angewiesen sind. Sie unterschiedslos zuzulassen, lässt Identität und Zweck einzelner Anfragen ungeklärt.

Keine der beiden Entscheidungen ergibt sich automatisch aus dem Vorhandensein eines AWS-Hostnamens. Ein Netzwerkadministrator benötigt die Richtlinien der Organisation, den Zweck der anfragenden Anwendung und den dienstspezifischen Zielkontext. Die bereitgestellte Recherche stützt die Prüfung dieser Einzelheiten, bevor über den angemessenen Zugriffsumfang entschieden wird.

Situation	Sinnvoller nächster Schritt	Grenze der verfügbaren Belege
Eine bekannte Anwendung kontaktiert einen AWS-Endpunkt	Vergleichen Sie das Ziel mit der erwarteten Dienstnutzung der Anwendung.	Die Vertrautheit mit der Anwendung erklärt nicht jede Anfrage.
Ein unbekannter Prozess kontaktiert amazonaws.com	Identifizieren Sie den Prozess und bewahren Sie den vollständigen Anfragekontext auf.	Die übergeordnete Domain verrät weder den Eigentümer noch die Absicht des Prozesses.
Eine vorgeschlagene Regel umfasst jede Subdomain	Prüfen Sie, welche Anwendungen und Dienste die Regel betreffen würde.	Ein Platzhalter verbirgt Unterschiede zwischen einzelnen Zielen.
Eine Anfrage erscheint verdächtig	Untersuchen Sie die Anwendung, die Ressource und den relevanten Dienstkontext.	Die Identität der AWS-Infrastruktur ist keine Sicherheitsgarantie.

Dieselbe Überlegung gilt für eine Person, die eine unerwartete Adresse verstehen möchte. AWS zu erkennen, kann die Infrastrukturkategorie erklären, aber nicht abschließend klären, ob die Verbindung angemessen ist. Das Verhalten der Anwendung und der Zweck der Anfrage bleiben entscheidend.

Wo finden Entwickler Dokumentation, Community-Hilfe oder Kontaktstellen für Missbrauchsmeldungen?

Das AWS-Dokumentationsverzeichnis ist der allgemeine Einstiegspunkt für Anleitungen zu den Diensten. Die allgemeine Referenz und die Seiten zu Dienstendpunkten sind besonders relevant, um Adressen und regionales Verhalten zu bestimmen. Die Übersicht zu Anmeldedaten ergänzt dies um eine Erklärung der Authentifizierung von Aufrufern.

AWS bietet außerdem re:Post als Frage-und-Antwort-Dienst der Community an. Dort können Entwickler Fragen zur AWS-Nutzung stellen, während die offiziellen Kontaktressourcen einen Weg für Supportanfragen und Anliegen bei Missbrauchsverdacht bieten. Community-Diskussionen und Missbrauchsmeldungen erfüllen unterschiedliche Zwecke und sollten entsprechend gewählt werden.

• Einen Endpunkt identifizieren: Beginnen Sie mit der allgemeinen AWS-Referenz und der Endpunktdokumentation.
• Einen Dienst verstehen: Suchen Sie im Dokumentationsverzeichnis nach den entsprechenden Anleitungen zum Dienst.
• Zugriffsanforderungen klären: Lesen Sie die Übersicht zu Anmeldedaten zusammen mit der Berechtigungsdokumentation des Dienstes.
• Fragen zur Implementierung stellen: Nutzen Sie die AWS re:Post-Community.
• Kontaktstellen oder Ressourcen zu Missbrauch finden: Rufen Sie die offizielle AWS-Kontaktseite auf.
• Die Datenschutzhinweise von AWS prüfen: Lesen Sie die AWS-Datenschutzerklärung und untersuchen Sie separat die Anwendung, die für eine Anfrage verantwortlich ist.

AWS richtet sich an Organisationen und Entwickler, die Cloud-Funktionen benötigen, um Anwendungen auszuführen, Informationen zu speichern, Komponenten zu integrieren und Workloads zu betreiben. Die Belege stützen die Beschreibung von amazonaws.com als Endpunkt-Namensraum, der Software mit diesen Funktionen verbindet. Es eignet sich für Leser, die bestimmte Dienste bewerten, und Entwickler, die sie implementieren, sofern sie den Kontext zu Dienst, Region, Anwendung und Zugriff berücksichtigen, den die übergeordnete Domain allein nicht liefern kann.