Основы операционного совершенства и безопасности

AWS Well-Architected Framework содержит набор лучших практик и направляющих вопросов, которые помогают архитекторам создавать безопасную, высокопроизводительную, устойчивую и эффективную облачную инфраструктуру. Он организован по шести направлениям: Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimisation и Sustainability. В этом уроке рассматриваются первые два направления. На экзамене SAA-C03 часто спрашивают, к какому направлению относится тот или иной принцип проектирования, поэтому важно чётко понимать каждое из них.

Направление Operational Excellence посвящено эксплуатации и мониторингу систем для обеспечения бизнес-ценности, а также постоянному совершенствованию процессов. Основные принципы проектирования: выполняйте операции как код — используйте CloudFormation, CDK или Systems Manager для автоматизации инфраструктуры и эксплуатационных задач. Вносите частые, небольшие и обратимые изменения — развёртывайте изменения небольшими этапами, чтобы их можно было отменить. Предвидьте сбои — проектируйте системы с учётом сбоев и практикуйте восстановление после них. Извлекайте уроки из эксплуатационных сбоев — проводите разборы инцидентов и совершенствуйте систему.

Подход Infrastructure as Code означает, что вся Ваша среда — VPC, экземпляры EC2, базы данных RDS и роли IAM — описана в шаблонах под управлением версий, которые можно проверять, тестировать и единообразно развёртывать. AWS CloudFormation — это нативная служба IaC с обнаружением расхождений и наборами изменений. AWS CDK позволяет описывать инфраструктуру на привычных языках программирования (Python, TypeScript). AWS Systems Manager Automation превращает эксплуатационные регламенты (например, установку исправлений и создание снимков) в исполняемые документы.

Невозможно улучшить то, чего Вы не видите. Operational Excellence требует наблюдаемости: метрик, журналов и трассировок, которые дают представление о поведении системы. В AWS это означает CloudWatch Metrics для числовых значений, CloudWatch Logs для сбора и анализа журналов, AWS X-Ray для распределённой трассировки между микросервисами и CloudWatch Dashboards для оперативного мониторинга в реальном времени. Определите бизнес- и технические ключевые показатели эффективности и постоянно измеряйте их, чтобы понимать, достигаете ли Вы эксплуатационных целей.

Эксплуатационные регламенты — это пошаговые процедуры для стандартных задач (развёртывание новой версии, масштабирование при резком росте трафика). Сценарии реагирования — это процедуры для обработки инцидентов (переход базы данных в резервный режим, нарушение безопасности). AWS Systems Manager Run Command и Automation позволяют программно выполнять эксплуатационные регламенты на всех экземплярах EC2. Храните регламенты в системе управления версиями, регулярно проверяйте их и выполняйте во время тренировок, чтобы дежурные инженеры были знакомы с ними до возникновения инцидентов.

Пиллар Security посвящён защите информации, систем и ресурсов. Основные принципы проектирования: создайте надёжную основу идентификации — используйте IAM с минимально необходимыми привилегиями и исключите долгосрочные учётные данные. Обеспечьте возможность отслеживания — записывайте в журналы и проверяйте все действия. Применяйте средства защиты на всех уровнях — не только на периметре, но и на уровнях сети, вычислений, данных и приложений. Защищайте данные при передаче и хранении — шифруйте всё. Автоматизируйте лучшие практики безопасности — используйте правила Config и Security Hub для непрерывной оценки.

Минимальные привилегии означают предоставление только минимального набора разрешений, необходимого для выполнения задачи, — и ничего сверх этого. На практике: используйте роли IAM вместо долгосрочных ключей доступа для сервисов. Используйте границы разрешений, чтобы ограничить набор разрешений, которые роли могут предоставлять другим ролям. Используйте политики управления сервисами (SCP) в AWS Organizations, чтобы установить единые ограничения для всех аккаунтов. Регулярно проверяйте разрешения с помощью IAM Access Analyzer, чтобы обнаруживать политики со слишком широкими разрешениями. Регулярно меняйте ключи доступа и включите MFA для всех пользователей-людей.

Пиллар Security требует шифровать данные при хранении и при передаче. Для данных при хранении включите шифрование KMS для бакетов S3, томов EBS, RDS, DynamoDB и EFS. Для конфиденциальных рабочих нагрузок используйте ключи, управляемые клиентом (CMK), если Вам необходимо контролировать ротацию ключей. Для данных при передаче включите обязательное использование TLS 1.2+ для всех конечных точек API (ALB, API Gateway), используйте сертификаты ACM и настройте политики безопасности, отклоняющие слабые наборы шифров. Никогда не передавайте учётные данные или конфиденциальную информацию в открытом виде.

Ручное реагирование на инциденты слишком медленное, когда события безопасности происходят в облаке в больших масштабах. Пиллар Security подчёркивает необходимость автоматизации реагирования на инциденты. Пример: GuardDuty обнаруживает скомпрометированный экземпляр EC2, устанавливающий подозрительные исходящие соединения. Правило EventBridge запускает функцию Lambda, которая автоматически изолирует экземпляр (удаляет его из ASG и применяет ограничительную группу безопасности) и отправляет уведомление команде безопасности. Такая автоматическая реакция занимает секунды, а не часы.

Пиллар Security требует возможности отслеживания — необходимо знать, кто, что, когда и откуда сделал. AWS CloudTrail записывает каждый вызов API в Вашем аккаунте: кто его выполнил, с какого IP-адреса, используя какие учётные данные, и каким был результат. AWS Config Continuously отслеживает конфигурации ресурсов и обнаруживает их отклонение от правил соответствия (например, если бакет S3 стал общедоступным). Вместе CloudTrail и Config предоставляют полный журнал аудита для расследований безопасности и подтверждения соответствия требованиям.

AWS Security Hub объединяет результаты проверок GuardDuty, Inspector, Macie, IAM Access Analyzer, Config и сторонних инструментов на одной панели. Он оценивает Вашу среду на соответствие стандартам безопасности, таким как CIS AWS Foundations Benchmark, PCI DSS и AWS Foundational Security Best Practices. Security Hub присваивает результатам проверок оценки серьёзности и позволяет задавать автоматические действия по устранению проблем через EventBridge. Включите Security Hub как центральный узел управления состоянием безопасности.

Проверьте, насколько хорошо Вы поняли концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что Operational Excellence сосредоточен на представлении операций в виде кода, небольших обратимых изменениях и изучении причин сбоев, пиллар Security требует минимальных привилегий, эшелонированной защиты и автоматического реагирования на инциденты, а CloudTrail, Config и Security Hub предоставляют средства обнаружения для непрерывного мониторинга безопасности. Оба пиллара являются основой любой хорошо спроектированной системы AWS. Далее мы рассмотрим пиллары Reliability и Performance Efficiency.