Pakiety zgodności z regułami Config

Pojedyncza reguła AWS Config sprawdza jedną rzecz, na przykład „czy szyfrowanie jest włączone?”. Rzeczywiste frameworki zgodności wymagają dziesiątek kontroli przeprowadzanych na każdym koncie.

Conformance pack łączy wiele reguł Config i działań naprawczych w jeden pakiet możliwy do wdrożenia, dzięki czemu zgodnością można zarządzać jako całością, zamiast zajmować się każdą regułą osobno.

Conformance pack to zbiór reguł Config i działań naprawczych zdefiniowanych w jednym szablonie YAML.

• Wdrożenie pakietu stosuje wszystkie jego reguły jednocześnie.
• Można śledzić zgodność jako pakiet.

AWS udostępnia przykładowe pakiety dla popularnych frameworków; można też tworzyć własne.

AWS udostępnia przykładowe conformance packi zgodne ze standardami takimi jak PCI DSS, HIPAA, NIST i benchmarki CIS.

Zapewniają one szybki punkt wyjścia do wdrożenia kontroli technicznych danego frameworka, ale nadal należy dokładnie odnieść je do rzeczywistych obowiązków organizacji.

Pakiet może łączyć reguły zarządzane przez AWS (gotowe kontrole) i reguły niestandardowe oparte na funkcjach Lambda.

Pozwala to objąć standardowe wymagania regułami zarządzanymi, a zasady charakterystyczne dla organizacji, takie jak wymagany schemat tagów, zapisać jako reguły niestandardowe w tym samym pakiecie.

Z konta delegowanego administratora można jednocześnie wdrożyć conformance pack na każdym koncie w organizacji.

Nowe dołączane konta automatycznie dziedziczą pakiet. Zapewnia to spójne sprawdzanie zgodności wszędzie, bez konieczności wykonywania prac na każdym koncie.

Conformance packi obsługują parametry, dzięki czemu jeden szablon można dostosować do różnych środowisk.

Na przykład wymaganą minimalną długość hasła lub listę zatwierdzonych regionów można przekazać podczas wdrażania, co pozwala używać tego samego pakietu z wartościami właściwymi dla danego środowiska.

Wyniki zgodności z wielu kont są zbierane za pośrednictwem agregatora Config w jednym widoku.

Zespół centralny widzi, konto po koncie i reguła po regule, gdzie organizacja spełnia wymagania, a gdzie nie, korzystając z jednego panelu zamiast logować się do każdego konta.

Pakiety mogą zawierać działania naprawcze uruchamiane po naruszeniu reguły, z użyciem dokumentów automatyzacji SSM (Systems Manager).

Na przykład reguła wykrywająca niezaszyfrowany bucket może uruchomić automatyczne działanie naprawcze, dzięki czemu drift zostanie skorygowany, a nie tylko zgłoszony.

Guardrails Control Tower i conformance packi częściowo się pokrywają, ale służą różnym potrzebom:

• Control Tower zapewnia wyselekcjonowaną konfigurację bazową i zarządzanie kontami.
• Conformance packi pozwalają wdrażać dowolny duży zestaw reguł Config odwzorowanych na konkretny framework.

Często używa się ich razem.

Conformance pack raportuje wskaźnik zgodności, czyli odsetek reguł w pakiecie, które przechodzą kontrolę.

Ta pojedyncza liczba pozwala śledzić w czasie postępy względem frameworka i wskazuje konta pozostające w tyle, zamieniając rozbudowany zestaw reguł w czytelny wskaźnik stanu dla audytorów i kadry kierowniczej.

Proszę sięgać po conformance packi, gdy trzeba wykazać zgodność z konkretnie nazwanym frameworkiem zgodności na wielu kontach, korzystając z pogrupowanych i możliwych do śledzenia reguł Config.

Na egzaminie są one łączone ze scenariuszami PCI DSS lub HIPAA, które wymagają spójnych i możliwych do audytowania kontroli w całej organizacji.

Proszę dopasować wymaganie do funkcji.

Dowiedzieli się Państwo, jak conformance packi skalują zgodność.

• Łączą wiele reguł Config oraz działań naprawczych w jednym szablonie.
• Przykładowe pakiety obejmują PCI DSS, HIPAA, NIST i inne standardy.
• Można je wdrażać w całej organizacji i centralnie agregować wyniki.