Säulen der betrieblichen Exzellenz und Sicherheit

Das AWS Well-Architected Framework bietet eine Sammlung von Best Practices und Leitfragen, die Architekten beim Aufbau sicherer, leistungsstarker, resilienter und effizienter Cloud-Infrastrukturen unterstützen. Es ist in sechs Säulen gegliedert: Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimisation und Sustainability. Diese Lektion behandelt die ersten beiden Säulen. In der SAA-C03-Prüfung wird häufig gefragt, zu welcher Säule ein bestimmtes Designprinzip gehört. Daher ist es wichtig, jede Säule klar zu verstehen.

Die Säule Operational Excellence konzentriert sich auf den Betrieb und die Überwachung von Systemen, um geschäftlichen Mehrwert zu schaffen und Prozesse kontinuierlich zu verbessern. Zentrale Designprinzipien: Führen Sie Betriebsabläufe als Code aus – verwenden Sie CloudFormation, CDK oder Systems Manager, um Infrastruktur- und Betriebsaufgaben zu automatisieren. Nehmen Sie häufige, kleine und umkehrbare Änderungen vor – stellen Sie kleine inkrementelle Änderungen bereit, die zurückgerollt werden können. Rechnen Sie mit Ausfällen – entwerfen Sie Systeme für die Wiederherstellung nach Ausfällen und üben Sie diese. Lernen Sie aus Betriebsstörungen – führen Sie Post-Mortems durch und verbessern Sie Ihre Prozesse.

Infrastructure as Code bedeutet, dass Ihre gesamte Umgebung – VPCs, EC2-Instanzen, RDS-Datenbanken und IAM-Rollen – in vorlagen definiert ist, die versionskontrolliert, geprüft, getestet und konsistent bereitgestellt werden können. AWS CloudFormation ist der native IaC-Service mit Drift Detection und Change Sets. Mit AWS CDK können Sie Infrastruktur in vertrauten Programmiersprachen wie Python oder TypeScript definieren. AWS Systems Manager Automation überführt Betriebs-Runbooks (z. B. für Patching oder Snapshots) als ausführbare Dokumente in Code.

Was Sie nicht sehen können, können Sie nicht verbessern. Operational Excellence erfordert Observability: Metriken, Logs und Traces, die Ihnen Einblick in das Verhalten Ihres Systems geben. Auf AWS bedeutet dies CloudWatch Metrics für numerische Datenpunkte, CloudWatch Logs für die Sammlung und Analyse von Logs, AWS X-Ray für verteiltes Tracing über Microservices hinweg sowie CloudWatch Dashboards für die betriebliche Echtzeitübersicht. Definieren Sie geschäftliche und technische KPIs und messen Sie diese kontinuierlich, um festzustellen, wann Sie Ihre Betriebsziele erreichen.

Runbooks sind schrittweise Betriebsanleitungen für routinemäßige Aufgaben, etwa die Bereitstellung einer neuen Version oder die Skalierung für ein hohes Traffic-Aufkommen. Playbooks sind Verfahren zur Reaktion auf Vorfälle, etwa einen Datenbank-Failover oder eine Sicherheitsverletzung. Mit AWS Systems Manager Run Command und Automation können Sie Runbooks programmgesteuert auf Ihrer gesamten EC2-Flotte ausführen. Speichern Sie Runbooks in der Versionskontrolle, überprüfen Sie sie regelmäßig und führen Sie sie in Übungen aus, damit Bereitschaftstechniker vor dem Eintreten von Vorfällen mit ihnen vertraut sind.

Die Säule Security konzentriert sich auf den Schutz von Informationen, Systemen und Ressourcen. Zentrale Designprinzipien: Schaffen Sie eine starke Identitätsgrundlage — verwenden Sie IAM nach dem Prinzip der geringsten Rechte und vermeiden Sie langfristig gültige Zugangsdaten. Ermöglichen Sie Nachvollziehbarkeit — protokollieren und prüfen Sie alle Aktionen. Wenden Sie Sicherheit auf allen Ebenen an — nicht nur am Perimeter, sondern auch auf Netzwerk-, Compute-, Daten- und Anwendungsebene. Schützen Sie Daten während der Übertragung und im Ruhezustand — verschlüsseln Sie alles. Automatisieren Sie bewährte Sicherheitsverfahren — verwenden Sie Config-Regeln und Security Hub für eine kontinuierliche Bewertung.

Geringste Rechte bedeutet, nur die für eine Aufgabe erforderlichen Mindestberechtigungen zu gewähren — nicht mehr. In der Praxis: Verwenden Sie für Services IAM-Rollen anstelle von langfristig gültigen Zugriffsschlüsseln. Verwenden Sie Berechtigungsgrenzen, um einzuschränken, was Rollen anderen Rollen gewähren dürfen. Verwenden Sie Service Control Policies (SCPs) in AWS Organizations, um kontenübergreifende Leitplanken festzulegen. Überprüfen Sie Berechtigungen regelmäßig mit dem IAM Access Analyzer, um übermäßig weit gefasste Richtlinien zu erkennen. Rotieren Sie Zugriffsschlüssel und aktivieren Sie MFA für alle menschlichen Benutzer.

Die Säule Security schreibt vor, Daten im Ruhezustand und während der Übertragung zu verschlüsseln. Für Daten im Ruhezustand: Aktivieren Sie die KMS-Verschlüsselung für S3-Buckets, EBS-Volumes, RDS, DynamoDB und EFS. Verwenden Sie für sensible Workloads, bei denen Sie die Kontrolle über die Schlüsselrotation benötigen, kundenverwaltete Schlüssel (CMK). Für Daten während der Übertragung: Erzwingen Sie TLS 1.2+ für alle API-Endpunkte (ALB, API Gateway), verwenden Sie ACM-Zertifikate und konfigurieren Sie Sicherheitsrichtlinien, die schwache Cipher-Suites ablehnen. Übertragen Sie niemals Zugangsdaten oder sensible Daten im Klartext.

Die manuelle Reaktion auf Incidents ist zu langsam, wenn Sicherheitsereignisse in der Cloud in großem Maßstab auftreten. Die Säule Security legt den Schwerpunkt auf die Automatisierung der Incident Response. Beispiel: GuardDuty erkennt eine kompromittierte EC2-Instance, die verdächtige ausgehende Verbindungen herstellt. Eine EventBridge-Regel löst eine Lambda-Funktion aus, die die Instance automatisch isoliert (sie aus der ASG entfernt und eine restriktive Sicherheitsgruppe anwendet) und das Sicherheitsteam benachrichtigt. Diese automatisierte Reaktion erfolgt in Sekunden statt in Stunden.

Die Säule Security erfordert Nachvollziehbarkeit — Sie müssen wissen, wer was wann und von wo aus getan hat. AWS CloudTrail zeichnet jeden API-Aufruf in Ihrem Konto auf: wer den Aufruf durchgeführt hat, von welcher IP-Adresse, mit welchen Zugangsdaten und welches Ergebnis erzielt wurde. AWS Config überwacht Ressourcenkonfigurationen kontinuierlich und erkennt, wenn sie von Ihren Compliance-Regeln abweichen (z. B. wenn ein S3-Bucket öffentlich zugänglich wurde). Zusammen bieten CloudTrail und Config einen umfassenden Prüfpfad für Sicherheitsuntersuchungen und Compliance-Nachweise.

AWS Security Hub fasst Security Findings aus GuardDuty, Inspector, Macie, IAM Access Analyzer, Config und Drittanbieter-Tools in einem einzigen Dashboard zusammen. Der Service bewertet Ihre Umgebung anhand von Sicherheitsstandards wie CIS AWS Foundations Benchmark, PCI DSS und AWS Foundational Security Best Practices. Security Hub weist Findings Schweregrade zu und ermöglicht Ihnen, über EventBridge automatisierte Behebungsaktionen festzulegen. Aktivieren Sie Security Hub als zentrale Steuerungsstelle für das Management Ihrer Sicherheitslage.

Testen Sie Ihr Verständnis der AWS-Solutions-Architect-Konzepte (SAA-C03) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Operational Excellence konzentriert sich auf Operations als Code, kleine reversible Änderungen und das Lernen aus Fehlern, die Säule Security schreibt geringste Rechte, mehrschichtige Verteidigung und eine automatisierte Incident Response vor und CloudTrail, Config und Security Hub stellen detektivische Kontrollen für die kontinuierliche Sicherheitsüberwachung bereit. Beide Säulen bilden die Grundlage jedes gut geplanten AWS-Systems. Als Nächstes sehen wir uns die Säulen Reliability und Performance Efficiency an.