Наборы правил Config для соответствия требованиям

Одно правило AWS Config проверяет что-то одно, например: «включено ли шифрование?» Однако реальные нормативные стандарты требуют десятков проверок во всех учетных записях.

Пакет соответствия объединяет множество правил Config и действий по устранению нарушений в один пакет, готовый к развертыванию. Благодаря этому соответствием требованиям можно управлять как единым целым, а не правилом за правилом.

Пакет соответствия — это набор правил Config и действий по устранению нарушений, определенных в одном шаблоне YAML.

• Разверните его, чтобы применить все правила одновременно.
• Отслеживайте соответствие требованиям как единого пакета.

AWS предоставляет образцы пакетов для распространенных стандартов; Вы также можете создать собственный пакет.

AWS поставляет образцы пакетов соответствия, согласованные с такими стандартами, как PCI DSS, HIPAA, NIST и эталонные требования CIS.

Они позволяют быстро начать реализацию технических средств управления, предусмотренных стандартом, однако Вам все равно необходимо тщательно сопоставить их с фактическими обязательствами Вашей организации.

Пакет может сочетать управляемые правила AWS (готовые проверки) и пользовательские правила, реализованные с помощью функций Lambda.

Это позволяет охватить стандартные требования управляемыми правилами, а политики конкретной организации, например обязательную схему тегов, реализовать как пользовательские правила в том же пакете.

Из учетной записи делегированного администратора можно одновременно развернуть пакет соответствия во всех учетных записях Вашей организации.

Новые присоединяемые учетные записи автоматически наследуют пакет. Это обеспечивает единообразные проверки соответствия во всех учетных записях без работы с каждой из них по отдельности.

Пакеты соответствия поддерживают параметры, поэтому один шаблон можно адаптировать к разным средам.

Например, минимальную обязательную длину пароля или список разрешенных регионов можно передать во время развертывания. Это позволяет повторно использовать один и тот же пакет со значениями, зависящими от среды.

Результаты проверки соответствия из множества учетных записей объединяются с помощью агрегатора Config в одном представлении.

Центральная команда видит для каждой учетной записи и каждого правила, где организация соответствует требованиям, а где нет, — на одной панели управления вместо входа в каждую учетную запись.

Пакеты могут включать устранение нарушений, которое запускается при нарушении правила с использованием документов автоматизации SSM (Systems Manager).

Например, правило, обнаружившее незашифрованное хранилище, может запустить автоматическое устранение нарушения, чтобы отклонение было исправлено, а не просто зарегистрировано.

Механизмы управления Control Tower и пакеты соответствия частично пересекаются, но решают разные задачи:

• Control Tower предоставляет подготовленную базовую конфигурацию и управление учетными записями.
• Пакеты соответствия позволяют развернуть любой большой набор правил Config, сопоставленных с конкретным стандартом.

Их часто используют вместе.

Пакет соответствия показывает оценку соответствия — процент правил пакета, которые выполняются.

Это единственное число позволяет отслеживать во времени прогресс в отношении стандарта и выявлять учетные записи, которые отстают, превращая обширный набор правил в наглядный показатель состояния для аудиторов и руководства.

Используйте пакеты соответствия, когда необходимо подтвердить соответствие конкретному стандарту во множестве учетных записей с помощью сгруппированных и отслеживаемых правил Config.

В экзаменационных вопросах они связаны со сценариями PCI DSS или HIPAA, где требуются единообразные проверки, результаты которых можно проверять на уровне всей организации.

Сопоставьте требование с возможностью.

Вы узнали, как пакеты соответствия помогают масштабировать контроль соответствия.

• Они объединяют множество правил Config и действия по устранению нарушений в один шаблон.
• Образцы пакетов соответствуют PCI DSS, HIPAA, NIST и другим стандартам.
• Пакеты можно развернуть на уровне всей организации, а результаты — централизованно объединить.