Pakiety zgodności i ścieżki organizacji

AWS Config Conformance Packs to zbiory reguł Config i działań remediacyjnych spakowane jako jedna jednostka możliwa do wdrożenia za pomocą szablonu YAML podobnego do szablonu CloudFormation. Reprezentują zestaw mechanizmów kontroli zgodności dla określonego standardu lub struktury — na przykład CIS AWS Foundations Benchmark, PCI-DSS, HIPAA lub NIST 800-53. Zamiast ręcznie wdrażać dziesiątki pojedynczych reguł Config, można wdrożyć pakiet zgodności i uzyskać kompleksowe pokrycie w ciągu kilku minut.

AWS udostępnia dziesiątki przykładowych szablonów pakietów zgodności w serwisie GitHub i w konsoli AWS. Przykłady obejmują: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (podstawowe mechanizmy kontroli bezpieczeństwa), Operational-Best-Practices-for-PCI-DSS (mechanizmy kontroli dotyczące branży kart płatniczych) oraz Operational-Best-Practices-for-HIPAA-Security (mechanizmy kontroli dotyczące danych medycznych). Mogą Państwo używać tych szablonów bez zmian albo dostosować je, dodając, usuwając lub modyfikując poszczególne reguły przed wdrożeniem.

Szablon pakietu zgodności jest dokumentem YAML zawierającym sekcję Parameters i sekcję Resources. Każdy zasób w szablonie jest definicją reguły Config wykorzystującą typ zasobu CloudFormation AWS::Config::ConfigRule. Można również dołączyć zasoby AWS::Config::RemediationConfiguration, aby dodać automatyczne działania remediacyjne. Parametry sprawiają, że szablon można wielokrotnie wykorzystywać — na przykład można określić jako parametr, który bucket S3 przechowuje wyniki lub jaką rolę IAM przyjmuje remediacja.

Po wdrożeniu można wyświetlić podsumowanie zgodności dla każdego pakietu zgodności — informujące, ile reguł przechodzi kontrolę, ile jej nie przechodzi oraz ile zasobów jest niezgodnych dla każdej reguły. Można przechodzić od poziomu pakietu do poziomu reguły, a następnie do poziomu pojedynczego zasobu. Dane dotyczące zgodności można eksportować do S3, do wskazanego przez Państwa bucketa wyników, co umożliwia przekazywanie ich do systemu SIEM lub panelu raportowania zgodności.

Organisation Conformance Pack wdraża pakiet zgodności jednocześnie na wszystkich kontach w organizacji AWS z konta zarządzającego (lub konta delegowanego administratora). Konta członkowskie nie mogą usuwać ani modyfikować wdrożonych reguł. Nowe konta dołączające do organizacji automatycznie otrzymują pakiet zgodności. Jest to najbardziej efektywny sposób egzekwowania bazowych wymagań zgodności na setkach kont bez konieczności odwiedzania każdego konta z osobna.

W organizacji AWS można wyznaczyć konto delegowanego administratora dla AWS Config, dzięki czemu konto zarządzające nie musi być używane do codziennych operacji Config. Delegowany administrator może wdrażać reguły Config organizacji, pakiety zgodności i agregatory oraz wyświetlać dane dotyczące zgodności ze wszystkich kont członkowskich. Jest to zgodne z najlepszą praktyką ograniczania użycia konta zarządzającego do zadań operacyjnych.

Ścieżka organizacji w AWS CloudTrail rejestruje aktywność API ze wszystkich kont w organizacji AWS — obecnych i przyszłych kont członkowskich — oraz dostarcza dzienniki do centralnego bucketa S3 na koncie zarządzającym. W przeciwieństwie do ścieżek na poziomie konta, które każde konto musi utrzymywać osobno, ścieżkę organizacji tworzy się tylko raz i automatycznie obowiązuje wszędzie. Konta członkowskie mogą wyświetlać ścieżkę organizacji w konsoli CloudTrail, ale nie mogą jej modyfikować ani usuwać.

Bucket S3 ścieżki organizacji używa uporządkowanego prefiksu klucza: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Ta hierarchia umożliwia odpytywanie dzienników wszystkich kont za pomocą jednej tabeli Athena partycjonowanej według identyfikatora organizacji i identyfikatora konta albo użycie prefiksów obiektów S3 w celu przyznania określonym kontom dostępu do odczytu wyłącznie ich własnych dzienników. Zasady bucketa muszą jawnie zezwalać usłudze cloudtrail.amazonaws.com na zapisywanie danych ze wszystkich kont w organizacji.

Service Control Policies (SCP) w AWS Organisations to uzupełniający mechanizm kontroli prewencyjnej, który ogranicza działania dozwolone kontom członkowskim. Połączenie SCP z regułami Config tworzy wielowarstwową ochronę: SCP zapobiegają wykonywaniu niezgodnych działań (na przykład odmawiają utworzenia niezaszyfrowanych woluminów EBS), podczas gdy reguły Config wykrywają niezgodne stany i uruchamiają remediację. Egzamin SAA-C03 sprawdza umiejętność wyboru między mechanizmami kontroli prewencyjnej (SCP) i detekcyjnej (Config) w różnych scenariuszach.

AWS Security Hub pobiera wyniki z Config (wyniki kontroli zgodności), GuardDuty (wykryte zagrożenia), Inspector (wyniki analizy podatności), Macie (wrażliwość danych) i narzędzi partnerów, prezentując je w jednym, ujednoliconym widoku. Mapuje wyniki względem standardów bezpieczeństwa, takich jak CIS Foundations, PCI-DSS i AWS Foundational Security Best Practices. Podczas gdy Config koncentruje się na stanie konfiguracji, Security Hub służy do uzyskiwania ogólnego wyniku bezpieczeństwa i uporządkowanej według priorytetów listy wyników ze wszystkich usług.

Kompletna architektura zarządzania w przedsiębiorstwie wykorzystuje wspólnie wiele usług: SCP zapobiegają naruszeniom, zanim do nich dojdzie, AWS Config + Organisation Conformance Packs automatycznie wykrywają naruszenia i przeprowadzają ich remediację, Organisation CloudTrail centralnie rejestruje całą aktywność API, Security Hub agreguje wyniki i tworzy uporządkowany według priorytetów wynik bezpieczeństwa, a EventBridge + Lambda zapewnia automatyczne reakcje na wyniki o wysokim poziomie ważności. To wielowarstwowe podejście AWS nazywa modelem defence-in-depth zarządzania chmurą.

Sprawdź swoją wiedzę na temat zagadnień AWS Solutions Architect (SAA-C03) omówionych w tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: Conformance Packs łączą wiele reguł Config w jeden możliwy do wdrożenia szablon YAML zapewniający zgodność ze strukturą, Organisation Conformance Packs są automatycznie stosowane do wszystkich kont organizacji AWS i nie mogą być modyfikowane przez konta członkowskie, a Organisation Trails centralizują dzienniki audytu API ze wszystkich kont bez konieczności konfiguracji każdego konta z osobna. Następnie omówimy typy woluminów EBS w ramach szczegółowego omówienia pamięci masowej.