Pilastri dell'eccellenza operativa e della sicurezza

AWS Well-Architected Framework fornisce un insieme di best practice e domande guida per aiutare gli architetti a creare infrastrutture cloud sicure, performanti, resilienti ed efficienti. È organizzato in sei pilastri: Eccellenza operativa, Sicurezza, Affidabilità, Efficienza delle prestazioni, Ottimizzazione dei costi e Sostenibilità. Questa lezione tratta i primi due pilastri. L'esame SAA-C03 chiede spesso a quale pilastro appartenga un determinato principio di progettazione, quindi è essenziale comprendere chiaramente ogni pilastro.

Il pilastro dell'Eccellenza operativa si concentra sull'esecuzione e sul monitoraggio dei sistemi per fornire valore aziendale e sul miglioramento continuo dei processi. Principi fondamentali di progettazione: Esegua le operazioni come codice — utilizzi CloudFormation, CDK o Systems Manager per automatizzare l'infrastruttura e le attività operative. Apporti modifiche frequenti, ridotte e reversibili — distribuisca piccoli incrementi che possano essere sottoposti a rollback. Anticipi i guasti — progetti i sistemi tenendo conto dei guasti e si eserciti nel ripristino. Tragga insegnamenti dai guasti operativi — conduca analisi post-incidente e apporti miglioramenti.

Trattare l'infrastruttura come codice significa definire l'intero ambiente — VPC, istanze EC2, database RDS, ruoli IAM — in template sottoposti al controllo delle versioni, che possano essere esaminati, testati e distribuiti in modo coerente. AWS CloudFormation è il servizio IaC nativo, con rilevamento della deriva e change set. AWS CDK consente di scrivere l'infrastruttura in linguaggi di programmazione familiari (Python, TypeScript). AWS Systems Manager Automation codifica le procedure operative (ad esempio, applicazione di patch e snapshot) come documenti eseguibili.

Non è possibile migliorare ciò che non si riesce a vedere. L'Eccellenza operativa richiede osservabilità: metriche, log e tracce che forniscano visibilità sul comportamento del sistema. In AWS, ciò significa utilizzare CloudWatch Metrics per i dati numerici, CloudWatch Logs per l'aggregazione e l'analisi dei log, AWS X-Ray per il tracing distribuito tra microservizi e CloudWatch Dashboards per la visibilità operativa in tempo reale. Definisca KPI aziendali e tecnici e li misuri continuamente per capire quando sta raggiungendo gli obiettivi operativi.

I runbook sono procedure operative dettagliate per le attività di routine (distribuire una nuova versione, aumentare la capacità in previsione di un picco di traffico). I playbook sono procedure per rispondere agli incidenti (failover del database, violazione della sicurezza). Systems Manager Run Command e Automation di AWS consentono di eseguire i runbook in modo programmatico sull'intero parco EC2. Conservi i runbook nel controllo delle versioni, li esamini regolarmente e li esegua durante le esercitazioni, in modo che gli ingegneri reperibili li conoscano prima che si verifichino gli incidenti.

Il pilastro Sicurezza si concentra sulla protezione di informazioni, sistemi e risorse. Principi di progettazione fondamentali: implementare solide basi per la gestione delle identità — utilizzare IAM con il principio del privilegio minimo ed eliminare le credenziali a lungo termine. Abilitare la tracciabilità — registrare e verificare tutte le azioni. Applicare la sicurezza a tutti i livelli — non solo al perimetro, ma anche ai livelli di rete, calcolo, dati e applicazione. Proteggere i dati in transito e a riposo — crittografare tutto. Automatizzare le best practice di sicurezza — utilizzare le regole di Config e Security Hub per una valutazione continua.

Il principio del privilegio minimo consiste nel concedere solo le autorizzazioni minime necessarie per un'attività, senza aggiungere altro. In pratica: utilizzare i ruoli IAM invece delle chiavi di accesso a lungo termine per i servizi. Utilizzare i limiti delle autorizzazioni per limitare ciò che i ruoli possono concedere ad altri ruoli. Utilizzare le Service Control Policies (SCP) in AWS Organizations per definire vincoli di sicurezza tra gli account. Esaminare regolarmente le autorizzazioni con IAM Access Analyzer per rilevare policy eccessivamente permissive. Ruotare le chiavi di accesso e abilitare MFA per tutti gli utenti umani.

Il pilastro Sicurezza impone di crittografare i dati a riposo e in transito. Per i dati a riposo: abilitare la crittografia KMS nei bucket S3, nei volumi EBS, in RDS, DynamoDB ed EFS. Utilizzare le chiavi gestite dal cliente (CMK) per i carichi di lavoro sensibili in cui è necessario controllare la rotazione delle chiavi. Per i dati in transito: imporre TLS 1.2+ su tutti gli endpoint API (ALB, API Gateway), utilizzare i certificati ACM e configurare policy di sicurezza che rifiutino le suite di cifratura deboli. Non trasmettere mai credenziali o dati sensibili in testo non crittografato.

La risposta manuale agli incidenti è troppo lenta quando si verificano eventi di sicurezza su scala cloud. Il pilastro Sicurezza sottolinea l'importanza di automatizzare la risposta agli incidenti. Esempio: GuardDuty rileva un'istanza EC2 compromessa che effettua connessioni in uscita sospette. Una regola EventBridge attiva una funzione Lambda che isola automaticamente l'istanza (la rimuove da ASG e applica un security group restrittivo) e invia una notifica al team di sicurezza. Questa risposta automatizzata avviene in pochi secondi, non in ore.

Il pilastro Sicurezza richiede la tracciabilità: sapere chi ha fatto cosa, quando e da dove. AWS CloudTrail registra ogni chiamata API nell'account: chi l'ha effettuata, da quale indirizzo IP, quali credenziali ha utilizzato e quale ne è stato il risultato. AWS Config monitora continuamente le configurazioni delle risorse e rileva quando si discostano dalle regole di conformità (ad esempio, quando un bucket S3 diventa pubblico). Insieme, CloudTrail e Config forniscono una traccia di audit completa per le analisi di sicurezza e le evidenze di conformità.

AWS Security Hub aggrega i risultati di sicurezza provenienti da GuardDuty, Inspector, Macie, IAM Access Analyzer, Config e strumenti di terze parti in un'unica dashboard. Valuta l'ambiente rispetto a standard di sicurezza come CIS AWS Foundations Benchmark, PCI DSS e AWS Foundational Security Best Practices. Security Hub assegna livelli di gravità ai risultati e consente di configurare azioni di correzione automatizzate tramite EventBridge. Abiliti Security Hub come centro di controllo della gestione del livello di sicurezza.

Verifichi la comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha imparato che: l'eccellenza operativa si concentra sulle operazioni come codice, su modifiche piccole e reversibili e sull'apprendimento dagli errori, il pilastro Sicurezza impone il principio del privilegio minimo, la difesa in profondità e la risposta automatizzata agli incidenti e CloudTrail, Config e Security Hub forniscono controlli investigativi per il monitoraggio continuo della sicurezza. Entrambi i pilastri sono fondamentali per ogni sistema AWS ben progettato. Nella prossima lezione esamineremo i pilastri Affidabilità ed Efficienza delle prestazioni.