Automaattinen korjaus Config-säännöillä

Vaatimustenvastaisen resurssin löytäminen on vasta puolet työstä; automaattinen korjaus korjaa tilanteen automaattisesti. AWS Config voi liittää sääntöön korjaustoimen, jolloin korjaus suoritetaan ilman ihmisen odottamista, kun resurssi siirtyy tilaan NON_COMPLIANT. Näin lyhennetään aikaa, jonka resurssi on alttiina virheelliselle suojausmääritykselle.

Configin korjaustoimet perustuvat AWS Systems Manager (SSM) Automation -dokumentteihin, joita kutsutaan myös runbookeiksi. AWS tarjoaa useita ennalta määritettyjä dokumentteja, esimerkiksi dokumentin, jolla S3-säilön julkinen käyttö poistetaan käytöstä, tai dokumentin taltion salaamista varten. Dokumentti määrittää täsmälliset vaiheet, joilla resurssi palautetaan vaatimustenmukaiseksi.

Liität korjaustoimen Config-sääntöön ja yhdistät säännön tulostiedot, kuten resurssin tunnuksen, runbookin syöteparametreihin. Kun sääntö ilmoittaa vaatimustenvastaisuudesta, Config kutsuu SSM-dokumenttia kyseisen resurssin käsittelemiseksi ja sulkee näin havainnon ja korjauksen välisen ketjun.

Korjaus voi olla automaattinen, jolloin se käynnistyy heti vaatimustenvastaisuuden havaitsemisen jälkeen, tai manuaalinen, jolloin ylläpitäjä tarkistaa tilanteen ja käynnistää korjauksen. Automaattinen korjaus sopii selkeisiin ja turvallisiin muutoksiin, kun taas manuaalinen sopii muutoksiin, jotka voivat häiritä työkuormaa ja edellyttävät ihmisen harkintaa ennen suorittamista.

SSM-dokumentti suoritetaan määrittämäsi IAM-roolin alaisuudessa, ja roolilla on oltava oikeudet korjauksen tekemiseen, kuten suojausryhmän muokkaamiseen tai salauksen käyttöön ottamiseen. Vähimpien oikeuksien periaatteen mukaisesti roolille tulee myöntää vain runbookin tarvitsemat toiminnot, koska sillä on käytännössä valta muuttaa resurssejasi.

Voit määrittää, kuinka monta kertaa korjausta yritetään uudelleen ja minkä ajan kuluessa. Jos korjaus epäonnistuu toistuvasti, resurssi pysyy vaatimustenvastaisena ja nostetaan ihmisen tarkasteltavaksi. Tämän toiminnan ymmärtäminen ehkäisee yllätyksiä: korjaus on parhaansa mukaan toimivaa automaatiota, ei takuu, joten tulosten valvonta on edelleen tärkeää.

Tyypillisessä mallissa sääntö s3-bucket-public-read-prohibited yhdistetään korjausrunbookiin, joka ottaa Block Public Access -ominaisuuden käyttöön jokaisessa julkiseksi merkityssä säilössä. Heti kun joku tekee säilöstä julkisen, Config havaitsee sen ja runbook suojaa säilön uudelleen, usein muutamassa minuutissa ja ilman ylläpitäjän toimia.

Korjaus reagoi vasta virheellisen tilan synnyttyä. Ennakoivat suojakaiteet, kuten SCP:t tai käyttöoikeusrajat, estävät virheellisen tilan syntymisen kokonaan. Vahvimmissa ratkaisuissa käytetään molempia: estetään se, mikä voidaan, ja korjataan aukot automaattisesti. Kokeessa verrataan usein ennakoivia kontrolleja havaitseviin ja korjaaviin kontrolleihin.

Automaattisilla korjauksilla voi olla sivuvaikutuksia. Resurssin uudelleensalaus tai suojaaminen uudelleen voi hetkellisesti häiritä palvelua tai olla ristiriidassa oikeutetun muutoksen kanssa. Testaa runbookit ensin tuotantoa jäljittelemättömässä ympäristössä, rajaa sääntöjen laajuus huolellisesti ja harkitse arkaluonteisten resurssien manuaalista korjausta, jotta automaatio ei koskaan aiheuta suurempaa haittaa kuin korjaamansa virheellinen määritys.

Yhteensopivuuspakettien avulla voit ottaa säännöt ja niiden korjaustoimet käyttöön samanaikaisesti organisaation kaikissa tileissä. Näin kaikkialla ylläpidetään yhdenmukaista itsekorjautuvaa tilaa, jossa jokaisen tilin virheellinen määritys havaitaan ja korjataan samalla automaattisella standardilla.

Automaattinen korjaus täydentää Configin kokonaisuuden: tila tallennetaan, arvioidaan säännöillä ja korjataan automaattisesti SSM-runbookeilla vähimpien oikeuksien periaatteen mukaisessa roolissa. Kun sitä käytetään harkiten yhdessä ennakoivien suojakaiteiden kanssa, ympäristö pysyy jatkuvasti vaatimustenmukaisena ja virheellisen suojausmäärityksen voimassaoloaika lyhenee huomattavasti.

Automaattinen korjaus liittää SSM Automation -dokumentin Config-sääntöön, jolloin vaatimustenvastaiset resurssit korjataan automaattisesti tai manuaalisen tarkistuksen jälkeen. Runbook suoritetaan vähimpien oikeuksien periaatteen mukaisessa IAM-roolissa, ja uudelleenyritysten määrä voidaan määrittää. Yhdistä se ennakoiviin suojakaiteisiin, testaa runbookit ensin ja ota ne käyttöön organisaationlaajuisesti yhteensopivuuspakettien avulla, jotta ympäristöstä tulee itsekorjautuva ja jatkuvasti vaatimustenmukainen.