Packs de conformité et pistes d’organisation

Les AWS Config Conformance Packs sont des ensembles de règles Config et d'actions de remédiation regroupées en une seule unité déployable à l'aide d'un modèle YAML similaire à CloudFormation. Ils représentent un ensemble de contrôles de conformité pour une norme ou un cadre donné, comme le CIS AWS Foundations Benchmark, PCI-DSS, HIPAA ou NIST 800-53. Au lieu de déployer manuellement des dizaines de règles Config individuelles, vous déployez un pack de conformité et bénéficiez d'une couverture complète en quelques minutes.

AWS fournit des dizaines de modèles de packs de conformité d'exemple sur GitHub et dans la console AWS. Parmi les exemples figurent : Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (contrôles de sécurité fondamentaux), Operational-Best-Practices-for-PCI-DSS (contrôles du secteur des cartes de paiement) et Operational-Best-Practices-for-HIPAA-Security (contrôles relatifs aux données de santé). Vous pouvez utiliser ces modèles tels quels ou les personnaliser en ajoutant, supprimant ou modifiant certaines règles avant le déploiement.

Un modèle de pack de conformité est un document YAML qui contient une section Parameters et une section Resources. Chaque ressource du modèle est une définition de règle Config utilisant le type de ressource CloudFormation AWS::Config::ConfigRule. Vous pouvez également inclure des ressources AWS::Config::RemediationConfiguration pour associer des actions de remédiation automatiques. Les paramètres rendent le modèle réutilisable : vous pouvez par exemple paramétrer le compartiment S3 qui stocke les résultats ou le rôle IAM que la remédiation assume.

Une fois le déploiement effectué, vous pouvez consulter un résumé de conformité pour chaque pack de conformité : il indique le nombre de règles réussies, le nombre de règles en échec et le nombre de ressources non conformes pour chaque règle. Vous pouvez approfondir l'analyse, du niveau du pack au niveau de la règle, puis jusqu'à celui de la ressource individuelle. Les données de conformité peuvent être exportées vers S3 dans un compartiment de résultats que vous indiquez, afin de pouvoir les intégrer à un SIEM ou à un tableau de bord de rapports de conformité.

Un Organisation Conformance Pack déploie simultanément un pack de conformité sur tous les comptes d'une AWS Organisation depuis le compte de gestion (ou un compte d'administrateur délégué). Les comptes membres ne peuvent ni supprimer ni modifier les règles déployées. Les nouveaux comptes qui rejoignent l'organisation reçoivent automatiquement le pack de conformité. C'est la méthode la plus efficace pour appliquer des bases de conformité à des centaines de comptes sans accéder individuellement à chacun d'eux.

Dans une AWS Organisation, vous pouvez désigner un compte d'administrateur délégué pour AWS Config afin de ne pas utiliser le compte de gestion pour les opérations Config quotidiennes. L'administrateur délégué peut déployer des règles Config d'organisation, des packs de conformité et des agrégateurs, ainsi que consulter les données de conformité de tous les comptes membres. Cette approche respecte la bonne pratique qui consiste à limiter autant que possible l'utilisation du compte de gestion pour les tâches opérationnelles.

Un organisation trail dans AWS CloudTrail capture l'activité des API de tous les comptes de l'AWS Organisation, y compris les membres actuels et futurs, et transmet les journaux vers un compartiment S3 centralisé du compte de gestion. Contrairement aux trails au niveau des comptes, que chaque compte doit gérer, un organisation trail est créé une seule fois et s'applique automatiquement partout. Les comptes membres peuvent voir l'organisation trail dans leur console CloudTrail, mais ne peuvent ni le modifier ni le supprimer.

Le compartiment S3 de l'organisation trail utilise un préfixe de clé structuré : AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Cette hiérarchie vous permet d'interroger les journaux de tous les comptes avec une seule table Athena partitionnée par identifiant d'organisation et identifiant de compte, ou d'utiliser des préfixes d'objets S3 pour accorder à certains comptes un accès en lecture à leurs seuls journaux. La stratégie du compartiment doit explicitement autoriser cloudtrail.amazonaws.com à écrire depuis tous les comptes de l'organisation.

Les Service Control Policies (SCPs) dans les AWS Organisations constituent un contrôle préventif complémentaire qui limite ce que les comptes membres sont autorisés à faire. Associer les SCPs aux règles Config crée une défense en couches : les SCPs empêchent toute action non conforme (par exemple, en refusant la création de Volumes EBS non chiffrés), tandis que les règles Config détectent les états non conformes et déclenchent une remédiation. L'examen SAA-C03 évalue votre capacité à choisir entre les contrôles préventifs (SCPs) et les contrôles de détection (Config) selon les situations.

AWS Security Hub ingère les résultats de Config (résultats des vérifications de conformité), de GuardDuty (détections de menaces), d'Inspector (résultats de vulnérabilités), de Macie (sensibilité des données) et d'outils partenaires dans une vue unique et normalisée. Il met en correspondance les résultats avec des normes de sécurité telles que CIS Foundations, PCI-DSS et AWS Foundational Security Best Practices. Alors que Config se concentre sur l'état de la configuration, Security Hub est le service à utiliser pour obtenir un score de sécurité global et une liste hiérarchisée des résultats de tous les services.

L'architecture complète de gouvernance d'entreprise utilise plusieurs services conjointement : les SCPs empêchent les violations avant qu'elles ne surviennent, AWS Config + Organisation Conformance Packs détectent et corrigent automatiquement les violations, Organisation CloudTrail enregistre centralement toute l'activité des API, Security Hub regroupe les résultats dans un score de sécurité hiérarchisé, et EventBridge + Lambda fournit des réponses automatisées aux résultats de gravité élevée. Cette approche en couches constitue le modèle de défense en profondeur qu'AWS préconise pour la gouvernance du cloud.

Vérifiez votre compréhension des concepts AWS Solutions Architect (SAA-C03) abordés dans cette leçon.

Dans cette leçon, vous avez appris que les Conformance Packs regroupent plusieurs règles Config dans un modèle YAML déployable unique pour assurer la conformité à un cadre, que les Organisation Conformance Packs s'appliquent automatiquement à tous les comptes d'une AWS Organisation et ne peuvent pas être modifiés par les membres, et que les Organisation Trails centralisent les journaux d'audit des API de tous les comptes sans configuration par compte. Nous allons maintenant découvrir les types de volumes EBS dans l'étude approfondie du stockage.