amazonaws.com

Amazon Web Services (AWS) is een organisatie voor cloudservices die mogelijkheden biedt om applicaties en andere workloads te bouwen en te beheren. Het aanbod omvat rekenkracht, opslag, databases, analyse, applicatie-integratie en andere gebieden. Het relevante onderscheid is dat AWS veel services met verschillende doelen levert, in plaats van één applicatie met één workflow.

Het domein amazonaws.com vertegenwoordigt de naamruimte voor AWS-service-eindpunten, waar software verbinding kan maken met afzonderlijke AWS-services en resources. De openbare informatiewebsite van AWS is aws.amazon.com, dus het eindpuntdomein en de marketinghomepage vervullen verschillende rollen. Dit onderscheid helpt verklaren waarom een applicatie contact kan maken met amazonaws.com zonder dat iemand de AWS-website bezoekt.

Wat helpt AWS mensen te bouwen en te beheren?

AWS werd in 2006 gelanceerd en biedt cloudmogelijkheden waarmee organisaties workloads kunnen samenstellen en beheren. Het aangeleverde officiële materiaal beschrijft services voor het uitvoeren van applicaties, het opslaan van informatie, het werken met databases en het verbinden van gedistribueerde systemen. Kiezen voor AWS betekent daarom vaststellen welke mogelijkheden een workload nodig heeft en de bijbehorende services begrijpen.

De servicecatalogus illustreert deze verscheidenheid zonder dat alle services onderling uitwisselbaar zijn. EC2 wordt beschreven als een service die virtuele servers biedt, S3 als objectopslag en Lambda als een service om code uit te voeren zonder servers of clusters te beheren. Dit zijn verschillende bouwstenen, ook al kunnen applicaties die ze gebruiken verzoeken versturen binnen dezelfde brede domeinfamilie.

Behoefte van de workload	Voorbeelden uit het aangeleverde AWS-materiaal	Praktisch onderscheid
Applicatieworkloads uitvoeren	EC2 en Lambda	Rekendiensten bieden verschillende manieren om code uit te voeren.
Objecten opslaan	S3	Objectopslag dient een ander doel dan een relationele database.
Werken met databases	RDS en DynamoDB	AWS omvat relationele en NoSQL-databaseservices.
Applicatiecomponenten verbinden	API Gateway, SQS en Step Functions	API-toegang, berichtenwachtrijen en workflows voorzien in verschillende integratiebehoeften.
Workloads analyseren en observeren	Athena en CloudWatch	Gegevens opvragen en de werking monitoren zijn afzonderlijke activiteiten.

Dit brede aanbod maakt AWS relevant voor ontwikkelaars die binnen een workload meerdere cloudmogelijkheden nodig hebben. Het brengt ook een selectieopgave met zich mee: een organisatie moet bepalen welke service, welk toegangsmodel en welke operationele verantwoordelijkheden bij haar applicatie passen. Een bekend hoofddomein neemt die keuzes niet weg.

Waarvoor wordt amazonaws.com gebruikt?

AWS-documentatie definieert een eindpunt als het URL-toegangspunt voor een AWS-webservice. Veel eindpunten gebruiken amazonaws.com als onderdeel van hun hostnaam, samen met informatie die een service en soms een AWS-regio identificeert. Software gebruikt deze adressen om het relevante toegangspunt van de service te bereiken.

Een verzoek aan een AWS-eindpunt kan onderdeel zijn van de werking van een applicatie, in plaats van een bewust bezoek aan een website. Verschillende verzoeken onder het hoofddomein kunnen betrekking hebben op verschillende services, accounts, resources en toegangsmodellen. Hun gedeelde achtervoegsel geeft minder context over de applicatie dan het volledige verzoek.

Een service-eindpunt lezen

Het gedocumenteerde voorbeeld dynamodb.us-west-2.amazonaws.com bevat meer bruikbare informatie dan amazonaws.com alleen. Het identificeert DynamoDB en bevat de regiocode us-west-2. Die informatie bakent de servicecontext af, maar onthult niet alles over de aanroeper of de betrokken resource.

• Servicenaam: helpt vaststellen met welke AWS-mogelijkheid contact wordt gemaakt.
• Regiocode: geeft regionale context wanneer het eindpunt een regionaal patroon volgt.
• Volledige hostnaam: behoudt onderscheid dat verloren gaat wanneer een waarneming wordt teruggebracht tot het hoofddomein.
• Verzoekpad: biedt aanvullende context over het verzoek die aan de hand van de documentatie van de service moet worden geïnterpreteerd.
• Aanvragende applicatie: helpt een technisch adres te koppelen aan de activiteit die een persoon of organisatie verwacht.

Deze details moeten in samenhang worden bekeken. Een servicehostnaam geeft nuttige aanwijzingen over een bestemming, terwijl de applicatie en het verzoek context bieden over waarom die bestemming wordt gebruikt. Noch de servicenaam, noch het hoofddomein stelt op zichzelf het doel van de betrokken gegevens vast.

Waarom bevatten sommige AWS-adressen een regio?

Veel AWS-eindpunten bevatten een regiocode omdat ze een regionaal toegangspunt voor een service bieden. AWS documenteert voor sommige services ook algemene en wereldwijde eindpunten. Het precieze gedrag van een eindpunt is afhankelijk van de afzonderlijke service, dus één naamgevingspatroon mag niet op de hele catalogus worden toegepast.

Voor een ontwikkelaar is de praktische vraag welk eindpunt de gekozen service documenteert voor de beoogde bewerking. Het herkennen van een regiocode kan bij dat onderzoek helpen, maar een adres raden op basis van het patroon van een andere service is geen vervanging voor controle. De algemene AWS-referentie en de documentatie over service-eindpunten bieden de startpunten.

Type eindpunt	Wat het aangeleverde onderzoek vaststelt	Wat nog moet worden gecontroleerd
Regionaal	Veel hostnamen bevatten een servicecode, regiocode en amazonaws.com.	Het eindpunt dat voor de gekozen service en regio is gedocumenteerd.
Algemeen	Sommige services hebben algemene eindpunten.	Hoe de betreffende service verzoeken afhandelt die naar dat eindpunt worden gestuurd.
Wereldwijd	AWS documenteert wereldwijde eindpunten voor sommige services.	Welke bewerkingen en welk regionaal gedrag de service documenteert.

Het voordeel van servicespecifieke eindpunten is duidelijkere routering en scheiding tussen mogelijkheden. Het nadeel voor iemand die netwerkactiviteit beoordeelt, is dat een waarneming met een jokerteken, zoals *.amazonaws.com, veel van die nuttige details verbergt. Zo worden bestemmingen samengevoegd die aanzienlijk verschillende doelen kunnen hebben.

Laat een AWS-adres zien wie een applicatie beheert?

Het zien van amazonaws.com identificeert niet de klant, workload of applicatie-eigenaar die verantwoordelijk is voor een bepaald verzoek. AWS biedt de context van de cloudservice, maar het hoofddomein verklaart niet welk account of welke resource achter de activiteit zit. Het stelt ook niet vast welke informatie wordt opgeslagen, opgehaald of verwerkt.

Dit is van belang wanneer iemand een onbekende verbinding opmerkt in applicatieactiviteit of netwerkregistraties. Het adres kan helpen een AWS-service te identificeren, maar voor het interpreteren van de verbinding is informatie nodig uit de software die deze tot stand brengt. De juiste vraag is wat die applicatie met de bestemming doet.

Een zinvolle beoordeling houdt de volgende vragen uit elkaar:

1. Welke applicatie heeft het verzoek gestart? Koppel de bestemming aan de software en activiteit die worden beoordeeld.
2. Wat is de volledige bestemming? Bewaar de hostnaam en het pad, in plaats van alleen het domeinachtervoegsel.
3. Welke service vertegenwoordigt het adres? Vergelijk het adres met de relevante AWS-documentatie.
4. Welke bewerking wordt verwacht? Stel vast hoe het verzoek samenhangt met het beoogde gedrag van de applicatie.
5. Welk toegangsmodel is van toepassing? Controleer welke inloggegevens en machtigingen die service en resource vereisen.
6. Wat blijft onverklaard? Laat eigendom, het doel van de gegevens of autorisatie onbepaald wanneer de beschikbare context daarover geen uitsluitsel geeft.

Deze aanpak voorkomt dat de identiteit van de infrastructuur wordt gezien als de identiteit van de applicatie. Ze maakt een onderzoek ook specifieker: onzekerheid over een verzoek van één applicatie wordt een vraag over die applicatie en service, in plaats van een conclusie over elke bestemming met hetzelfde achtervoegsel.

Hoe beïnvloeden inloggegevens en machtigingen de toegang?

AWS-inloggegevens en -machtigingen beantwoorden verschillende vragen. Inloggegevens authenticeren een aanroeper, terwijl machtigingen bepalen welke acties die aanroeper mag uitvoeren. Weten bij welke service een eindpunt hoort, stelt niet vast of een bepaalde aanroeper een bepaalde resource kan gebruiken.

De precieze vereisten worden bepaald door de afzonderlijke service en het bijbehorende toegangsmodel. Ontwikkelaars moeten het overzicht van AWS-beveiligingsgegevens raadplegen, samen met de documentatie voor de beoogde service en bewerking. Het bestaan van een eindpunt alleen beschrijft niet al die vereisten.

Toegangsvraag	Relevant concept	Wat dit op zichzelf niet vaststelt
Wie doet het verzoek?	Authenticatie met inloggegevens	Of de aanroeper de gevraagde actie mag uitvoeren.
Mag de aanroeper deze actie uitvoeren?	Autorisatie via machtigingen	Of een niet-gerelateerde actie of resource ook is toegestaan.
Welke vereisten gelden hier?	Servicespecifieke documentatie	Een universele toegangsregel voor elk AWS-eindpunt.

Verantwoordelijkheid gaat verder dan het herkennen van de aanbieder

AWS publiceert een model voor gedeelde verantwoordelijkheid om inzicht te geven in de verdeling van verantwoordelijkheden bij het gebruik van zijn services. Dat staat los van het herkennen van een AWS-hostnaam. Teams moeten hun verantwoordelijkheden naast de toegangsvereisten van de service bekijken, in plaats van aan te nemen dat de identiteit van de aanbieder vragen op applicatieniveau beantwoordt.

De aangeleverde onderbouwing ondersteunt het toelichten van deze verdeling als onderdeel van een beoordeling van AWS. Ze stelt niet vast hoe een bepaalde klant een applicatie of resource heeft geconfigureerd. Voor de beoordeling van een specifieke implementatie is informatie over die implementatie nodig.

Moet een organisatie de hele domeinfamilie toestaan of blokkeren?

Een beslissing voor het hele domein heeft een brede reikwijdte, omdat amazonaws.com meerdere services en mogelijk niet-gerelateerde workloads omvat. Het blokkeren van de hele familie kan applicaties hinderen die van die bestemmingen afhankelijk zijn. Het zonder onderscheid toestaan ervan laat de identiteit en het doel van afzonderlijke verzoeken onverklaard.

Geen van beide keuzes volgt automatisch uit de aanwezigheid van een AWS-hostnaam. Een netwerkbeheerder heeft het beleid van de organisatie, het doel van de aanvragende applicatie en de servicespecifieke context van de bestemming nodig. Het aangeleverde onderzoek ondersteunt het bekijken van die details voordat de passende reikwijdte van toegang wordt bepaald.

Situatie	Nuttige volgende stap	Beperking van de beschikbare informatie
Een bekende applicatie maakt contact met een AWS-eindpunt	Vergelijk de bestemming met het verwachte servicegebruik van de applicatie.	Vertrouwdheid met de applicatie verklaart niet elk verzoek.
Een onbekend proces maakt contact met amazonaws.com	Identificeer het proces en bewaar de volledige context van het verzoek.	Het hoofddomein identificeert niet de eigenaar of bedoeling van het proces.
Een voorgestelde regel omvat elk subdomein	Beoordeel welke applicaties en services de regel zou beïnvloeden.	Een jokerteken verbergt verschillen tussen afzonderlijke bestemmingen.
Een verzoek lijkt verdacht	Onderzoek de applicatie, resource en relevante servicecontext.	De identiteit van AWS-infrastructuur is geen veiligheidsgarantie.

Dezelfde redenering geldt voor iemand die een onverwacht adres probeert te begrijpen. Het herkennen van AWS kan de categorie infrastructuur verklaren, maar bepaalt niet of de verbinding passend is. Het gedrag van de applicatie en het doel van het verzoek blijven centraal staan.

Waar kunnen ontwikkelaars documentatie, hulp van de community of contactpunten voor misbruik vinden?

De AWS-documentatie-index is het algemene startpunt voor uitleg over services. De algemene referentie en de pagina's over service-eindpunten zijn vooral relevant bij het identificeren van adressen en regionaal gedrag. Het overzicht van inloggegevens biedt aanvullende uitleg over de authenticatie van aanroepers.

AWS biedt ook re:Post als vraag-en-antwoordservice voor de community. Het geeft ontwikkelaars een plek om vragen te stellen over het gebruik van AWS, terwijl de officiële contactmogelijkheden een route bieden voor ondersteuning en vermoedens van misbruik. Communitydiscussies en het melden van misbruik dienen verschillende doelen en moeten dienovereenkomstig worden gekozen.

• Een eindpunt identificeren: begin met de algemene AWS-referentie en de documentatie over eindpunten.
• Een service begrijpen: gebruik de documentatie-index om de relevante uitleg over de service te vinden.
• Toegangsvereisten verduidelijken: lees het overzicht van inloggegevens naast de documentatie over machtigingen van de service.
• Implementatievragen stellen: gebruik de AWS re:Post-community.
• Contactmogelijkheden of informatie over misbruik vinden: raadpleeg de officiële AWS-contactpagina.
• De privacyinformatie van AWS bekijken: raadpleeg de privacyverklaring van AWS en onderzoek daarnaast afzonderlijk de applicatie die verantwoordelijk is voor een verzoek.

AWS is bedoeld voor organisaties en ontwikkelaars die cloudmogelijkheden nodig hebben om applicaties uit te voeren, informatie op te slaan, componenten te integreren en workloads te beheren. De onderbouwing ondersteunt een beschrijving van amazonaws.com als een naamruimte voor eindpunten die software met die mogelijkheden verbindt. Het is geschikt voor lezers die specifieke services beoordelen en ontwikkelaars die ze implementeren, mits zij de context van de service, regio, applicatie en toegang behouden die het hoofddomein alleen niet kan bieden.