Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Sicherheitsgruppen
In AWS VPCs agieren AWS-Sicherheitsgruppen als virtuelle Firewalls und kontrollieren den Datenverkehr für einen oder mehrere Stacks (eine Instanz oder eine Reihe von Instances). Wenn ein Stack gestartet wird, wird er einer oder mehreren Sicherheitsgruppen zugeordnet, die festlegen, welcher Datenverkehr ihn erreichen darf:
Für Stacks in Ihren öffentlichen Subnetzen akzeptieren die Standardsicherheitsgruppen Traffic von HTTP (80) und HTTPS (443) von allen Standorten (dem Internet). Die Stacks akzeptieren auch internen SSH- und RDP-Verkehr aus Ihrem Unternehmensnetzwerk und AWS-Bastionen. Diese Stacks können dann über jeden beliebigen Port ins Internet gelangen. Sie können auch in Ihre privaten Subnetze und andere Stacks in Ihrem öffentlichen Subnetz gelangen.
Stacks in Ihren privaten Subnetzen können zu jedem anderen Stack in Ihrem privaten Subnetz austreten, und Instances innerhalb eines Stacks können vollständig über jedes Protokoll miteinander kommunizieren.
Die Standardsicherheitsgruppe für Stacks in privaten Subnetzen ermöglicht es allen Stacks in Ihrem privaten Subnetz, mit anderen Stacks in diesem privaten Subnetz zu kommunizieren. Wenn Sie die Kommunikation zwischen Stacks innerhalb eines privaten Subnetzes einschränken möchten, müssen Sie neue Sicherheitsgruppen erstellen, die die Einschränkung beschreiben. Wenn Sie beispielsweise die Kommunikation mit einem Datenbankserver einschränken möchten, sodass die Stacks in diesem privaten Subnetz nur von einem bestimmten Anwendungsserver über einen bestimmten Port kommunizieren können, fordern Sie eine spezielle Sicherheitsgruppe an. Wie das geht, wird in diesem Abschnitt beschrieben.
Standardsicherheitsgruppen
- MALZ
-
In der folgenden Tabelle werden die Standardeinstellungen für eingehende Sicherheitsgruppen (SG) für Ihre Stacks beschrieben. Die SG trägt den Namen „SentinelDefaultSecurityGroupPrivateOnly-VPC-ID“, wobei ID es sich um eine VPC-ID in Ihrem AMS-Landingzone-Konto mit mehreren Konten handelt. Der gesamte Datenverkehr darf über diese Sicherheitsgruppe nach "mc-initial-garden-SentinelDefaultSecurityGroupPrivateOnly" ausgehen (der gesamte lokale Verkehr innerhalb von Stack-Subnetzen ist zulässig).
Jeglicher Datenverkehr darf von einer zweiten Sicherheitsgruppe "" nach 0.0.0.0/0 ausgehen. SentinelDefaultSecurityGroupPrivateOnly
Wenn Sie eine Sicherheitsgruppe für einen AMS-Änderungstyp wie EC2 Create oder OpenSearch Create Domain auswählen, würden Sie eine der hier beschriebenen Standardsicherheitsgruppen oder eine von Ihnen erstellte Sicherheitsgruppe verwenden. Sie finden die Liste der Sicherheitsgruppen pro VPC entweder in der EC2 AWS-Konsole oder in der VPC-Konsole.
Es gibt zusätzliche Standardsicherheitsgruppen, die für interne AMS-Zwecke verwendet werden.
AMS-Standardsicherheitsgruppen (eingehender Verkehr)
| Typ |
Protocol (Protokoll) |
Port-Bereich |
Quelle |
Gesamter Datenverkehr |
Alle |
Alle |
SentinelDefaultSecurityGroupPrivateOnly (schränkt ausgehenden Datenverkehr auf Mitglieder derselben Sicherheitsgruppe ein) |
Gesamter Datenverkehr |
Alle |
Alle |
SentinelDefaultSecurityGroupPrivateOnlyEgressAll (schränkt ausgehenden Verkehr nicht ein) |
HTTP, HTTPS, SSH, RDP |
TCP |
80/443 (Quelle 0.0.0.0/0)
SSH- und RDP-Zugriff ist von Bastionen aus erlaubt |
SentinelDefaultSecurityGroupPublic (schränkt den ausgehenden Verkehr nicht ein) |
MALZ-Bastionen: |
SSH |
TCP |
22 |
SharedServices VPC CIDR und DMZ VPC CIDR sowie vom Kunden bereitgestelltes On-Premise-System CIDRs |
SSH |
TCP |
22 |
RDP |
TCP |
3389 |
RDP |
TCP |
3389 |
SALZ-Bastionen: |
SSH |
TCP |
22 |
mc-initial-garden- SG LinuxBastion |
SSH |
TCP |
22 |
mc-initial-garden- LinuxBastion DMZSG |
RDP |
TCP |
3389 |
mc-initial-garden- SG WindowsBastion |
RDP |
TCP |
3389 |
mc-initial-garden- WindowsBastion DMZSG |
- SALZ
-
In der folgenden Tabelle werden die Standardeinstellungen für eingehende Sicherheitsgruppen (Inbound Security Group, SG) für Ihre Stacks beschrieben. Die SG trägt den Namen "mc-initial-garden- SentinelDefaultSecurityGroupPrivateOnly -ID", wobei ID es sich um einen eindeutigen Bezeichner handelt. Der gesamte Datenverkehr darf über diese Sicherheitsgruppe nach "mc-initial-garden-SentinelDefaultSecurityGroupPrivateOnly" ausgehen (der gesamte lokale Verkehr innerhalb von Stack-Subnetzen ist zulässig).
Der gesamte Datenverkehr darf von einer zweiten Sicherheitsgruppe "- -“ nach 0.0.0.0/0 ausgesendet werden. mc-initial-garden SentinelDefaultSecurityGroupPrivateOnlyEgressAll ID
Wenn Sie eine Sicherheitsgruppe für einen AMS-Änderungstyp wie EC2 Create oder OpenSearch Create Domain auswählen, würden Sie eine der hier beschriebenen Standardsicherheitsgruppen oder eine von Ihnen erstellte Sicherheitsgruppe verwenden. Sie finden die Liste der Sicherheitsgruppen pro VPC entweder in der EC2 AWS-Konsole oder in der VPC-Konsole.
Es gibt zusätzliche Standardsicherheitsgruppen, die für interne AMS-Zwecke verwendet werden.
AMS-Standardsicherheitsgruppen (eingehender Verkehr)
| Typ |
Protocol (Protokoll) |
Port-Bereich |
Quelle |
Gesamter Datenverkehr |
Alle |
Alle |
SentinelDefaultSecurityGroupPrivateOnly (schränkt ausgehenden Datenverkehr auf Mitglieder derselben Sicherheitsgruppe ein) |
Gesamter Datenverkehr |
Alle |
Alle |
SentinelDefaultSecurityGroupPrivateOnlyEgressAll (schränkt ausgehenden Verkehr nicht ein) |
HTTP, HTTPS, SSH, RDP |
TCP |
80/443 (Quelle 0.0.0.0/0)
SSH- und RDP-Zugriff ist von Bastionen aus erlaubt |
SentinelDefaultSecurityGroupPublic (schränkt den ausgehenden Verkehr nicht ein) |
MALZ-Bastionen: |
SSH |
TCP |
22 |
SharedServices VPC CIDR und DMZ VPC CIDR sowie vom Kunden bereitgestelltes On-Premise-System CIDRs |
SSH |
TCP |
22 |
RDP |
TCP |
3389 |
RDP |
TCP |
3389 |
SALZ-Bastionen: |
SSH |
TCP |
22 |
mc-initial-garden- SG LinuxBastion |
SSH |
TCP |
22 |
mc-initial-garden- LinuxBastion DMZSG |
RDP |
TCP |
3389 |
mc-initial-garden- SG WindowsBastion |
RDP |
TCP |
3389 |
mc-initial-garden- WindowsBastion DMZSG |
Sicherheitsgruppen erstellen, ändern oder löschen
Sie können benutzerdefinierte Sicherheitsgruppen anfordern. In Fällen, in denen die Standardsicherheitsgruppen nicht den Anforderungen Ihrer Anwendungen oder Ihrer Organisation entsprechen, können Sie neue Sicherheitsgruppen ändern oder erstellen. Eine solche Anfrage würde als genehmigungspflichtig erachtet und vom AMS-Betriebsteam geprüft.
Um eine Sicherheitsgruppe außerhalb von Stacks zu erstellen und einen RFC mit dem Deployment | Advanced stack components | Security group | Create (review required) Änderungstyp ( VPCsct-1oxx2g2d7hc90) einzureichen.
Verwenden Sie für Änderungen an Active Directory (AD) -Sicherheitsgruppen die folgenden Änderungstypen:
Um einen Benutzer hinzuzufügen: Senden Sie einen RFC mit Management | Directory Service | Benutzer und Gruppen | Benutzer zur Gruppe hinzufügen [ct-24pi85mjtza8k]
Um einen Benutzer zu entfernen: Senden Sie einen RFC mit Management | Directory Service | Benutzer und Gruppen | Benutzer aus Gruppe entfernen [ct-2019s9y3nfml4]
Wenn Sie „Überprüfung erforderlich“ verwenden CTs, empfiehlt AMS, die ASAP-Scheduling-Option zu verwenden (wählen Sie ASAP in der Konsole, lassen Sie Start- und Endzeit leer in der API/CLI), da diese einen AMS-Operator CTs erfordern, der den RFC überprüft und möglicherweise mit Ihnen kommuniziert, bevor er genehmigt und ausgeführt werden kann. Wenn Sie diese einplanen, achten Sie darauf RFCs, dass Sie mindestens 24 Stunden einplanen. Wenn die Genehmigung nicht vor der geplanten Startzeit erfolgt, wird der RFC automatisch abgelehnt.
Suchen Sie nach Sicherheitsgruppen
Verwenden Sie die EC2 Konsole, um die Sicherheitsgruppen zu finden, die einem Stack oder einer Instance zugeordnet sind. Nachdem Sie den Stack oder die Instance gefunden haben, können Sie alle damit verbundenen Sicherheitsgruppen sehen.
Möglichkeiten, Sicherheitsgruppen in der Befehlszeile zu finden und die Ausgabe zu filtern, finden Sie unter describe-security-groups.
