课程介绍与学习目标
嗨，欢迎来到这门课。我先说说心里话。
做云安全的同行应该都有这种感觉：AWS 上的 Secrets Manager 和 KMS，看着文档挺简单，真用起来坑不少。我自己在好几个项目里都吃过亏，比如密钥轮转忘了配，审计日志缺了关键字段……后来被合规团队追着问。
嗯，所以这门课就是要把那些实践里摸爬滚打出来的经验，掰开了讲给你听。
这门课讲什么？
说白了，就是两件事：怎么管好机密，怎么留下审计证据。
- Secrets Manager 存密码、、数据库凭证。
- KMS 管加密密钥的创建、使用、轮转。
- 审计就是看 CloudTrail、看日志、看谁在什么时候干了什么。
我见过很多团队把 Secrets Manager 当成纯文本存储，密钥不轮转，KMS 密钥策略写得像筛子。结果审计一查，全是高危。这门课会教你避开这些坑。
一句话记住：Secrets Manager 管"秘密"，KMS 管"钥匙"，审计管"谁动了钥匙和秘密"。
你学完能做什么？
- 独立搭建 Secrets Manager + KMS 的加密体系。
- 理解密钥轮转、自动更新机制的底层逻辑。
- 看懂 CloudTrail 日志，快速定位异常调用。
- 满足 SOC 2、PCI-DSS 等合规要求的审计证据链。
我当年第一次做合规审计时，被问得哑口无言——"你的 KMS 密钥谁有权限？上次轮转是什么时候？" 后来我花了整整一周补日志、改策略。不想让你也走这条路。
注意：本课程假设你已经熟悉 AWS 基础操作（VPC、IAM、EC2）。如果你连 IAM Role 都不知道，建议先补一下基础。
知识框架概览
我画了一张图，把整门课的核心链条捋清楚了。你收藏好，后面每一章都会对应到这张图上的某个节点。
课程结构速览
我们把 30 章分成四个模块。每个模块解决一个实际问题。
| 模块 | 章节范围 | 核心内容 |
|---|---|---|
| 基础篇 | 第 1-6 章 | Secrets Manager 与 KMS 核心概念、创建策略、自动轮转 |
| 安全加固篇 | 第 7-14 章 | IAM 权限细化、密钥策略多账号、跨区域备份 |
| 审计实践篇 | 第 15-22 章 | CloudTrail 日志解析、Athena 查询、GuardDuty 集成 |
| 合规与运维篇 | 第 23-30 章 | 多账号合规、自动化告警、灾备与应急响应 |
个人建议：如果你是新手，按顺序学。如果你已经有基础，可以直接跳到审计实践篇。不过别忘了回头补基础章节里的策略细节——我当年跳着读，漏掉了"Secrets Manager 跨账号访问"的关键配置，后来被坑惨了。
你需要准备什么？
- 一个 AWS 账号（推荐用测试账号，别在生产环境试）
- AWS CLI 已配置 IAM 凭证
- 基本的 Linux 命令行操作能力
- 一点点 Python 或 Shell 脚本基础（后面有自动化脚本案例）
嗯，都准备好了？那我们开始进入正题。