Conformance Packs und Organisation-Trails

AWS Config Conformance Packs sind Sammlungen von Config-Regeln und Behebungsaktionen, die mithilfe einer CloudFormation-ähnlichen YAML-Vorlage als eine einzige bereitstellbare Einheit zusammengefasst werden. Sie bilden eine Reihe von Compliance-Kontrollen für einen bestimmten Standard oder ein bestimmtes Framework ab, etwa den CIS AWS Foundations Benchmark, PCI-DSS, HIPAA oder NIST 800-53. Statt Dutzende einzelner Config-Regeln manuell bereitzustellen, stellen Sie ein Conformance Pack bereit und erhalten innerhalb weniger Minuten eine umfassende Abdeckung.

AWS stellt Dutzende Beispielvorlagen für Conformance Packs auf GitHub und in der AWS-Konsole bereit. Beispiele sind: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (grundlegende Sicherheitskontrollen), Operational-Best-Practices-for-PCI-DSS (Kontrollen für die Zahlungskartenbranche) und Operational-Best-Practices-for-HIPAA-Security (Kontrollen für Gesundheitsdaten). Sie können diese Vorlagen unverändert verwenden oder vor der Bereitstellung anpassen, indem Sie einzelne Regeln hinzufügen, entfernen oder ändern.

Eine Conformance-Pack-Vorlage ist ein YAML-Dokument mit einem Abschnitt Parameters und einem Abschnitt Resources. Jede Ressource in der Vorlage ist eine Definition einer Config-Regel unter Verwendung des CloudFormation-Ressourcentyps AWS::Config::ConfigRule. Sie können auch Ressourcen vom Typ AWS::Config::RemediationConfiguration einschließen, um automatische Behebungsaktionen zu verknüpfen. Parameter machen die Vorlage wiederverwendbar. So können Sie beispielsweise parametrisieren, welcher S3-Bucket die Ergebnisse speichert oder welche IAM-Rolle die Behebung übernimmt.

Nach der Bereitstellung können Sie für jedes Conformance Pack eine Compliance-Zusammenfassung anzeigen. Sie zeigt, wie viele Regeln erfolgreich sind, wie viele fehlschlagen und wie viele Ressourcen pro Regel nicht konform sind. Sie können von der Ebene des Packs zur Regelebene und anschließend zur Ebene der einzelnen Ressource wechseln. Die Compliance-Daten können in einen von Ihnen angegebenen S3-Ergebnis-Bucket exportiert werden. Dadurch können Sie sie in ein SIEM oder ein Dashboard für Compliance-Berichte übernehmen.

Ein Organisation-Conformance-Pack stellt ein Conformance Pack gleichzeitig in allen Konten einer AWS-Organisation bereit. Dies geschieht über das Verwaltungskonto oder ein Konto mit delegierter Administration. Mitgliedskonten können die bereitgestellten Regeln weder löschen noch ändern. Neue Konten, die der Organisation beitreten, erhalten das Conformance Pack automatisch. Dies ist die effizienteste Möglichkeit, Compliance-Baselines über Hunderte von Konten hinweg durchzusetzen, ohne jedes Konto einzeln aufrufen zu müssen.

In einer AWS-Organisation können Sie ein Konto mit delegierter Administration für AWS Config festlegen, sodass das Verwaltungskonto nicht für alltägliche Config-Operationen verwendet werden muss. Der delegierte Administrator kann Config-Regeln für die Organisation, Conformance Packs und Aggregatoren bereitstellen und Compliance-Daten aus allen Mitgliedskonten anzeigen. Dies entspricht der Best Practice, das Verwaltungskonto nur in minimalem Umfang für operative Aufgaben zu verwenden.

Ein Organisationstrail in AWS CloudTrail erfasst die API-Aktivitäten aller Konten in der AWS-Organisation – sowohl der aktuellen als auch künftiger Mitgliedskonten – und übermittelt die Protokolle an einen zentralen S3-Bucket im Verwaltungskonto. Anders als Trails auf Kontoebene, die von jedem Konto einzeln verwaltet werden müssen, wird ein Organisationstrail nur einmal erstellt und automatisch überall angewendet. Mitgliedskonten können den Organisationstrail in ihrer CloudTrail-Konsole sehen, ihn jedoch weder ändern noch löschen.

Der S3-Bucket des Organisationstrails verwendet ein strukturiertes Schlüsselpräfix: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Diese Hierarchie ermöglicht es Ihnen, die Protokolle aller Konten mit einer einzigen nach Organisations-ID und Konto-ID partitionierten Athena-Tabelle abzufragen oder mithilfe von S3-Objektpräfixen bestimmten Konten Lesezugriff ausschließlich auf ihre eigenen Protokolle zu gewähren. Die Bucket-Richtlinie muss cloudtrail.amazonaws.com ausdrücklich erlauben, aus allen Konten der Organisation zu schreiben.

Service Control Policies (SCPs) in AWS Organizations sind eine ergänzende präventive Kontrolle, die einschränkt, welche Aktionen Mitgliedskonten ausführen dürfen. Die Kombination von SCPs und Config-Regeln schafft eine mehrschichtige Abwehr: SCPs verhindern, dass nicht konforme Aktionen überhaupt ausgeführt werden (z. B. das Erstellen unverschlüsselter EBS-Volumes), während Config-Regeln nicht konforme Zustände erkennen und eine Behebung auslösen. In der SAA-C03-Prüfung wird getestet, ob Sie je nach Szenario zwischen präventiven Kontrollen (SCPs) und detektiven Kontrollen (Config) wählen können.

AWS Security Hub übernimmt Ergebnisse aus Config (Ergebnisse der Compliance-Prüfungen), GuardDuty (Bedrohungserkennungen), Inspector (Ergebnisse von Schwachstellenprüfungen), Macie (Datenempfindlichkeit) und Partnertools und stellt sie in einer einzigen, normalisierten Ansicht dar. Die Ergebnisse werden Sicherheitsstandards wie CIS Foundations, PCI-DSS und den AWS Foundational Security Best Practices zugeordnet. Während Config sich auf den Konfigurationszustand konzentriert, erhalten Sie in Security Hub einen umfassenden Sicherheitswert und eine priorisierte Liste von Ergebnissen aus allen Diensten.

Eine vollständige Architektur für Governance im Unternehmensmaßstab nutzt mehrere Dienste gemeinsam: SCPs verhindern Verstöße, bevor sie auftreten, AWS Config + Organisation-Conformance-Packs erkennen Verstöße automatisch und beheben sie, Organisation-CloudTrail zeichnet sämtliche API-Aktivitäten zentral auf, Security Hub fasst Ergebnisse zu einem priorisierten Sicherheitswert zusammen, und EventBridge + Lambda ermöglicht automatisierte Reaktionen auf Ergebnisse mit hoher Kritikalität. Diesen mehrschichtigen Ansatz bezeichnet AWS als Defense-in-Depth-Modell für Cloud-Governance.

Testen Sie Ihr Verständnis der AWS-Solutions-Architect-Konzepte (SAA-C03) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Conformance Packs bündeln mehrere Config-Regeln in einer einzigen bereitstellbaren YAML-Vorlage für die Compliance mit einem Framework. Organisation-Conformance-Packs werden automatisch auf alle Konten einer AWS-Organisation angewendet und können von Mitgliedskonten nicht geändert werden. Organisationstrails zentralisieren API-Auditprotokolle aus allen Konten, ohne dass jedes Konto einzeln konfiguriert werden muss. Als Nächstes sehen wir uns EBS-Volume-Typen im Storage Deep Dive an.