View a markdown version of this page

Sicherheitsüberlegungen für Amazon ECS Managed Instances - Amazon Elastic Container Service
SicherheitsmodellGrundlegendes zu verwalteten InstanzenSicherheits-FeaturesUnterstützung bei Compliance und gesetzlichen VorschriftenVon Amazon ECS verwaltete Instanzen FIPS-140 ÜberlegungenDeaktivieren Sie FIPS auf von Amazon ECS verwalteten InstancesSicherheitsüberlegungenBewährte Methoden für die Gewährleistung der Sicherheit

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheitsüberlegungen für Amazon ECS Managed Instances

Amazon ECS Managed Instances bietet ein vollständig verwaltetes Container-Rechenerlebnis, mit dem Sie Workloads auf bestimmten Instance-Typen von Amazon EC2 ausführen und gleichzeitig Sicherheitsaufgaben an AWSübertragen können. In diesem Thema werden das Modell, die Features und die Überlegungen in Bezug auf Sicherheit bei der Verwendung von Amazon ECS Managed Instances beschrieben.

Für Informationen über AWS und die Verantwortung des Kunden für die Sicherheit von Amazon ECS Managed Instances finden Sie unter Modell der geteilten Verantwortung für Amazon ECS Managed Instances.

Sicherheitsmodell

Amazon ECS Managed Instances implementiert ein umfassendes Sicherheitsmodell, das Flexibilität und Schutz in Einklang bringt:

  • AWS-verwaltete Infrastruktur - AWS steuert den Lebenszyklus der verwalteten Instanzen und kümmert sich um Sicherheitspatches, wodurch die Möglichkeit menschlicher Fehler und Manipulationen ausgeschlossen wird.

  • Kein administrativer Zugriff – Das Sicherheitsmodell ist gesperrt und verbietet Administratorzugriff auf verwaltete Instances.

  • Multi-task Platzierung - Standardmäßig platziert Amazon ECS Managed Instances mehrere Aufgaben auf einer einzelnen Instance, um Kosten und Auslastung zu optimieren. Dadurch wird die Einschränkung der Workload-Isolierung im Vergleich zu Fargate gelockert.

  • Isolierung von Daten - Obwohl AWS steuert den Instanzlebenszyklus und die Aufgabenverteilung, AWS kann sich nicht bei verwalteten Instanzen anmelden oder auf Kundendaten zugreifen.

Grundlegendes zu verwalteten Instanzen

Amazon ECS Managed Instances stellt verwaltete EC2-Instances in Ihrem Konto bereit. Als designierter Betreiber verwaltet Amazon ECS in Ihrem Namen den gesamten Lebenszyklus dieser Instances, einschließlich Bereitstellung, Skalierung, Patching und Kündigung. Sie sind nicht berechtigt, diese Instances direkt zu beenden oder Instance-Einstellungen zu ändern. Weitere Informationen finden Sie unter Von Amazon EC2 verwaltete Instances.

Identifizierung verwalteter Instanzen

Sie können Amazon ECS Managed Instances in Ihrem Konto anhand der folgenden Indikatoren identifizieren:

  • Das Operator Feld im Amazon EC2 DescribeInstances Antwort mit einem Wert von ecs.amazonaws.com.

  • Das aws:ec2:managed-launch Tag auf der Instanz mit einem Wert von ecs-managed-instances.

Sichtbarkeit verwalteter Ressourcen

Ab dem 22. April 2026 verbirgt Amazon EC2 standardmäßig neue verwaltete Instances vor Ihren Amazon EC2-Konsolenansichten und API-Listenvorgängen. Die Sichtbarkeitseinstellungen wirken sich nicht auf die Abrechnung oder den Ressourcenbetrieb aus, und verwaltete Instances bleiben unabhängig von der Sichtbarkeitskonfiguration voll funktionsfähig und abrechnungsfähig. Sie können dieses Verhalten jederzeit anpassen. Weitere Informationen finden Sie unter Einstellungen für die Sichtbarkeit verwalteter Ressourcen.

Sicherheits-Features

Amazon ECS Managed Instances umfasst mehrere integrierte Sicherheits-Features, die darauf ausgelegt sind, Ihre Workloads zu schützen und ein hohes Sicherheitsniveau aufrechtzuerhalten. Diese Features reichen von automatisiertem Sicherheits-Patching bis hin zur Unterstützung berechtigter Linux-Funktionen bei Bedarf.

Bewährte Methoden für die Gewährleistung der Sicherheit

Verwaltete Instanzen werden entsprechend konfiguriert AWS Bewährte Sicherheitsmethoden, einschließlich:

  • Kein SSH-Zugriff – Der Remote-Shell-Zugriff ist deaktiviert, um unbefugten Zugriff zu verhindern.

  • Unveränderliches Root-Dateisystem – Das Root-Dateisystem kann nicht verändert werden, wodurch die Systemintegrität gewährleistet ist.

  • Kernel-level obligatorische Zugriffskontrollen - SELinux bietet zusätzliche Sicherheitsmaßnahmen auf Kernel-Ebene.

Automatische Sicherheits-Patches

Amazon ECS Managed Instances trägt durch automatisiertes Patching zur Verbesserung der Sicherheitslage Ihrer Workloads bei:

  • Regelmäßige Sicherheitsupdates - Die Instanzen werden regelmäßig mit den neuesten Sicherheitspatches aktualisiert von AWS, in Bezug auf die Wartungsfenster, die Sie konfigurieren.

  • Eingeschränkte Instance-Lebensdauer – Die maximale Lebensdauer einer laufenden Instance beträgt 14 Tage. Dadurch wird sichergestellt, dass Ihre Anwendungen auf entsprechend konfigurierten Instances mit aktuellen Sicherheits-Patches ausgeführt werden.

  • Steuerung des Wartungsfensters – Sie können die Amazon-EC2-Funktion für Ereignisfenster verwenden, um festzulegen, wann Amazon ECS Ihre Instances durch gepatchte Instances ersetzen soll.

Berechtigte Linux-Funktionen

Amazon ECS Managed Instances unterstützt Software, die erhöhte Linux-Berechtigungen erfordert, und ermöglicht so erweiterte Überwachungs- und Sicherheitslösungen:

  • Unterstützte Funktionen - Sie können sich für alle privilegierten Linux-Funktionen anmelden, einschließlich CAP_NET_ADMIN, CAP_SYS_ADMIN, CAP_BPF, und CAP_PERFMON.

  • Beliebte Lösungen – Auf diese Weise können Sie beliebte Netzwerküberwachungs- und Beobachtbarkeits-Lösungen wie Wireshark und Datadog ausführen.

  • Explizite Konfiguration erforderlich – Sie müssen Ihren Kapazitätsanbieter für Amazon ECS Managed Instances explizit konfigurieren, um berechtigte Linux-Funktionen zu aktivieren, da dies zusätzliche Sicherheitsrisiken für Ihre Anwendungen darstellen kann.

Wichtig

Die Aktivierung berechtigter Linux-Funktionen kann Ihre Aufgaben zusätzlichen Sicherheitsrisiken aussetzen. Aktivieren Sie diese Funktionen nur, wenn Ihre Anwendungen dies erfordern, und stellen Sie sicher, dass Sie die Sicherheitsauswirkungen verstehen.

Unterstützung bei Compliance und gesetzlichen Vorschriften

Amazon ECS Managed Instances behält den gleichen Compliance-Status wie Amazon ECS bei:

  • Programme zur Einhaltung der Vorschriften - Amazon ECS Managed Instances fällt in denselben Geltungsbereich AWS Versicherungsprogramme wie Amazon ECS, einschließlich PCI-DSS, HIPAA und FedRAMP.

  • FIPS-Endpunkte - Amazon ECS Managed Instances unterstützt die FIPS-Endpunktkonfiguration auf Ebene des Kapazitätsanbieters. Im Gegensatz zu Fargate, das eine Einstellung auf Kontoebene verwendet, verwendet Amazon ECS Managed Instances eine Einstellung pro Kapazitätsanbieter, da FIPS eine Konfiguration pro Instanz ist. Sie konfigurieren FIPS, wenn Sie einen Kapazitätsanbieter erstellen oder aktualisieren.

  • Vom Kunden verwaltete Schlüssel – Unterstützt Sicherheits-Features, die für die Compliance erforderlich sind, wie z. B. vom Kunden verwaltete Schlüssel zur Verschlüsselung.

Von Amazon ECS verwaltete Instanzen FIPS-140 Überlegungen

Beachten Sie bei der Verwendung von FIPS-140 Konformität bei von Amazon ECS verwalteten Instances:

  • FIPS-140-compliant AMIs für verwaltete Instances sind verfügbar im AWS GovCloud (US) Nur Regionen.

  • Amazon ECS Managed Instances unterstützt FIPS-140-3

  • FIPS-140 Compliance ist standardmäßig in der AWS GovCloud (US) Regionen. Wenn Sie Workloads ohne FIPS-Konformität ausführen müssen, deaktivieren Sie die FIPS-Konformität in der Managed Instances Capacity Provider-Konfiguration.

  • Der cpuArchitecture für deine Aufgaben muss X86_64 zum FIPS-140 Einhaltung.

Deaktivieren Sie FIPS auf von Amazon ECS verwalteten Instances

Standardmäßig sind die Kapazitätsanbieter für Amazon ECS verwaltete Instances in AWS GovCloud (US) Die Regionen werden gestartet FIPS-compliant AMIs. Sie entscheiden sich für die Deaktivierung FIPS-140 Einhaltung der Vorschriften bei der Erstellung eines neuen Amazon ECS Managed Instances Capacity Providers. Folgen Sie diesen Schritten, um einen neuen Kapazitätsanbieter ohne FIPS-Konformität zu erstellen.

  1. Deaktivieren FIPS-140 Einhaltung der Vorschriften bei Capacity Provider.

    aws ecs create-capacity-provider \
    --cluster cluster-name \
    --name capacity-provider-name \
    --managed-instances-provider '{
        "infrastructureRoleArn": "infrastructure-role-arn",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "instance-profile-arn",
            "fipsEnabled": false,
            "networkConfiguration": {
                "subnets": ["subnet-id"],
                "securityGroups": ["security-group-id"]
            }
        }
    }'

  2. Sie können optional ECS Exec verwenden, um den folgenden Befehl auszuführen, um Folgendes zu überprüfen FIPS-140 Konformitätsstatus für einen Kapazitätsanbieter.

    Ersetzen cluster-name mit dem Namen Ihres Clusters, task-id mit der ID oder ARN Ihrer Aufgabe und container-name mit dem Namen des Containers in Ihrer Aufgabe, für die Sie den Befehl ausführen möchten.

    Ein Rückgabewert von „1“ gibt an, dass Sie FIPS verwenden.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

Sicherheitsüberlegungen

Bei der Verwendung von Amazon ECS Managed Instances müssen mehrere wichtige Sicherheitsüberlegungen beachtet und berücksichtigt werden. Diese Überlegungen helfen Ihnen dabei, fundierte Entscheidungen über Ihre Workload-Architektur und Ihre Sicherheitsanforderungen zu treffen.

Multi-task Sicherheitsmodell

Das standardmäßige Platzierungsmodell für mehrere Aufgaben in Amazon ECS Managed Instances unterscheidet sich von der Einzelaufgaben-Isolierung von Fargate:

  • Gemeinsam genutzte Instance-Ressourcen – Es können mehrere Aufgaben auf derselben Instance ausgeführt werden, wodurch eine Aufgabe potenziell Sicherheitslücken aufgrund anderer Aufgaben, die auf derselben Instance oder im selben ECS-Cluster ausgeführt werden, ausgesetzt ist.

  • Single-task Option - Sie können Amazon ECS Managed Instances so konfigurieren, dass sie den Einzelaufgabenmodus für Kunden verwenden, die das standardmäßige Fargate-Sicherheitsmodell benötigen VM-level Sicherheitsisolierung, Grenze.

  • Kompromiss zwischen Kosten und Sicherheit - Multi-task Der Modus bietet Kostenoptimierung und schnellere Startzeiten von Aufgaben, während der Single-Task-Modus eine stärkere Isolierung bietet.

Umgang mit Instance-Unterbrechungen

Es ist wichtig, dass Ihre Anwendungen so konzipiert sind, dass sie Unterbrechungen bei der Verwendung von Amazon ECS Managed Instances tolerieren:

  • Unterbrechungstoleranz – Verwenden Sie Amazon ECS Managed Instances mit Anwendungen, die eine Unterbrechung der zugrunde liegenden Services oder Aufgaben tolerieren.

  • Service-based Arbeitsbelastungen - Verwenden Sie Amazon ECS-Services für den automatischen Austausch von Aufgaben oder führen Sie Workloads mit kontrollierter und begrenzter Dauer von höchstens 14 Tagen für eigenständige Aufgaben aus.

  • Ordnungsgemäßes Herunterfahren – Konfigurieren Sie einen Übergangszeitraum für das Herunterfahren von Aufgaben, um die Auswirkungen von Unterbrechungen zu kontrollieren.

Datenzugriff und Datenschutz

Amazon ECS Managed Instances unterhält strenge Daten-Zugriffskontrollen:

  • Kein Zugriff auf Kundendaten - Obwohl AWS steuert den Lebenszyklus der verwalteten Instanzen und die Platzierung von Aufgaben auf den Instanzen, AWS kann sich nicht bei verwalteten Instanzen anmelden oder auf Kundendaten zugreifen.

  • Nur Metriken und Protokolle - AWS erfasst nur Metriken und zugehörige Protokolle, die für die Bereitstellung der Funktionen von Amazon ECS Managed Instances erforderlich sind.

  • Locked-down Sicherheitsmodell - Das Sicherheitsmodell verbietet Administratorzugriff und verhindert so menschliche Fehler und Manipulationen.

Bewährte Methoden für die Gewährleistung der Sicherheit

Folgen Sie diesen bewährten Methoden bei Ihrer Verwendung von Amazon ECS Managed Instances:

  • Evaluieren Sie das Sicherheitsmodell – Treffen Sie eine bewusste Entscheidung für die Einführung von Amazon ECS Managed Instances auf der Grundlage Ihrer Sicherheitsanforderungen, insbesondere im Hinblick auf das Multi-Task-Placement-Modell.

  • Verwenden Sie bei Bedarf den Modus für einzelne Aufgaben – Wenn Ihre Workloads stärker isoliert werden müssen, konfigurieren Sie Amazon ECS Managed Instances für die Verwendung des Einzelaufgabenmodus.

  • Minimierung berechtigter Funktionen – Aktivieren Sie berechtigte Linux-Funktionen nur, wenn dies unbedingt erforderlich ist, und machen Sie sich mit den damit verbundenen Sicherheitsrisiken vertraut.

  • Planen Sie Unterbrechungen ein  – Entwickeln Sie Anwendungen so, dass sie problemlos mit dem Austausch von Instances umgehen können, insbesondere unter Berücksichtigung der maximalen Instance-Lebensdauer von 14 Tagen.

  • Wartungsfenster konfigurieren – Verwenden Sie EC2-Ereignisfenster, um zu kontrollieren, wann Instances ausgetauscht werden, um die Auswirkungen auf Ihre Workloads zu minimieren.

  • Überwachung und Prüfung – Überprüfen Sie regelmäßig die Konfiguration für Amazon ECS Managed Instances und überwachen Sie sicherheitsrelevante Ereignisse oder Änderungen.