Pelare för operativ excellens och säkerhet

Att behandla infrastruktur som kod innebär att hela er miljö — VPC:er, EC2-instanser, RDS-databaser och IAM-roller — definieras i versionshanterade mallar som kan granskas, testas och distribueras konsekvent. AWS CloudFormation är den inbyggda IaC-tjänsten med detektering av konfigurationsdrift och ändringsuppsättningar. Med AWS CDK kan ni skriva infrastruktur i välbekanta programmeringsspråk som Python och TypeScript. AWS Systems Manager Automation kodifierar operativa runbooks, till exempel patchning och ögonblicksbilder, som körbara dokument.

Ni kan inte förbättra det ni inte kan se. Operational Excellence kräver observability: mätvärden, loggar och traces som ger insyn i systemets beteende. I AWS innebär detta CloudWatch Metrics för numeriska datapunkter, CloudWatch Logs för samling och analys av loggar, AWS X-Ray för distribuerad tracing över mikrotjänster samt CloudWatch Dashboards för insyn i driften i realtid. Definiera verksamhetsmässiga och tekniska KPI:er och mät dem kontinuerligt för att förstå när ni uppfyller era operativa mål.

Runbooks är stegvisa driftprocedurer för rutinuppgifter, till exempel att distribuera en ny version eller skala upp inför en trafikhändelse. Playbooks är procedurer för att hantera incidenter, till exempel databasfailover eller ett säkerhetsintrång. AWS Systems Manager Run Command och Automation gör det möjligt att köra runbooks programmatiskt över hela er EC2-flotta. Lagra runbooks i versionshantering, granska dem regelbundet och kör dem i övningar så att jourteknikerna känner till dem innan incidenter inträffar.

Säkerhetspelaren fokuserar på att skydda information, system och tillgångar. Viktiga designprinciper: Implementera en stark grund för identitet — använd IAM med minsta möjliga behörighet och eliminera långlivade autentiseringsuppgifter. möjliggör spårbarhet — logga och granska alla åtgärder. Tillämpa säkerhet på alla lager — inte bara vid perimetern, utan på nätverks-, beräknings-, data- och applikationslagren. Skydda data under överföring och i vila — kryptera allt. Automatisera bästa praxis för säkerhet — använd Config-regler och Security Hub för kontinuerlig utvärdering.

Minsta möjliga behörighet innebär att endast bevilja de minsta behörigheter som krävs för en uppgift — inget mer. I praktiken: använd IAM-roller i stället för långlivade åtkomstnycklar för tjänster. Använd behörighetsgränser för att begränsa vad roller kan bevilja till andra roller. Använd Service Control Policies (SCPs) i AWS Organizations för att sätta skyddsräcken som gäller för flera konton. Granska regelbundet behörigheter med IAM Access Analyzer för att upptäcka alltför tillåtande policyer. Rotera åtkomstnycklar och aktivera MFA för alla mänskliga användare.

Säkerhetspelaren kräver att data krypteras i vila och under överföring. För data i vila: aktivera KMS-kryptering för S3-buckets, EBS-volymer, RDS, DynamoDB och EFS. Använd kundhanterade nycklar (CMK) för känsliga arbetsbelastningar där ni behöver kontroll över nyckelrotationen. För data under överföring: tvinga fram TLS 1.2+ på alla API-slutpunkter (ALB, API Gateway), använd ACM-certifikat och konfigurera säkerhetspolicyer som avvisar svaga chiffersviter. Skicka aldrig autentiseringsuppgifter eller känsliga data i klartext.

Manuell incidenthantering är för långsam när säkerhetshändelser inträffar i molnskala. Säkerhetspelaren betonar automatisering av incidenthantering. Exempel: GuardDuty upptäcker en komprometterad EC2-instans som upprättar misstänkta utgående anslutningar. En EventBridge-regel utlöser en Lambda-funktion som automatiskt isolerar instansen (tar bort den från ASG och tillämpar en restriktiv säkerhetsgrupp) och skickar en avisering till säkerhetsteamet. Denna automatiserade åtgärd sker på sekunder, inte timmar.

Säkerhetspelaren kräver spårbarhet — att veta vem som gjorde vad, när och varifrån. AWS CloudTrail registrerar varje API-anrop i ert konto: vem som gjorde anropet, från vilken IP-adress, med vilka autentiseringsuppgifter och vilket resultatet blev. AWS Config övervakar kontinuerligt resurskonfigurationer och upptäcker när de avviker från era efterlevnadsregler (till exempel när en S3-bucket blev offentlig). Tillsammans ger CloudTrail och Config ett heltäckande granskningsspår för säkerhetsutredningar och efterlevnadsbevis.

AWS Security Hub samlar säkerhetsfynd från GuardDuty, Inspector, Macie, IAM Access Analyzer, Config och verktyg från tredje part i en enda instrumentpanel. Tjänsten utvärderar er miljö mot säkerhetsstandarder som CIS AWS Foundations Benchmark, PCI DSS och AWS Foundational Security Best Practices. Security Hub tilldelar allvarlighetsgrader till fynd och låter er konfigurera automatiserade åtgärder via EventBridge. Aktivera Security Hub som den centrala knutpunkten för hantering av er säkerhetsposition.

I den här lektionen lärde ni er att Operational Excellence fokuserar på drift som kod, små reversibla ändringar och att lära sig av fel, att säkerhetspelaren kräver minsta möjliga behörighet, försvar på djupet och automatiserad incidenthantering samt att CloudTrail, Config och Security Hub tillhandahåller detekterande kontroller för kontinuerlig säkerhetsövervakning. Båda pelarna är grundläggande för alla välarkitekturerade AWS-system. Nästa steg är att utforska pelarna Tillförlitlighet och Prestandaeffektivitet.