Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheit

Wenn Sie Systeme auf der AWS-Infrastruktur aufbauen, werden die Sicherheitsaufgaben zwischen Ihnen und AWS aufgeteilt. Dieses gemeinsame Modell kann Ihren betrieblichen Aufwand reduzieren, da AWS die Komponenten vom Host-Betriebssystem und der Virtualisierungsebene bis hin zur physischen Sicherheit der Einrichtungen, in denen die Services betrieben werden, betreibt, verwaltet und kontrolliert. Weitere Informationen zur Sicherheit auf AWS finden Sie unter AWS Cloud Security.

IAM-Rollen

Mit AWS Identity and Access Management (IAM) -Rollen können Sie Services und Benutzern in der AWS-Cloud detaillierte Zugriffsrichtlinien und -berechtigungen zuweisen. Diese Lösung erstellt IAM-Rollen, die der AWS Lambda Lambda-Funktion Zugriff auf die anderen in dieser Lösung verwendeten AWS-Services gewähren.

Amazon Cognito

Der mit dieser Lösung erstellte Amazon Cognito Cognito-Benutzer ist ein lokaler Benutzer mit Berechtigungen, nur auf den Rest APIs für diese Lösung zuzugreifen. Dieser Benutzer hat keine Berechtigungen, auf andere Services in Ihrem AWS-Konto zuzugreifen. Weitere Informationen finden Sie unter Amazon Cognito User Pools im Amazon Cognito Developer Guide.

Die Lösung unterstützt optional die externe SAML-Anmeldung über die Konfiguration von Federated Identity Providers und die gehostete UI-Funktionalität von Amazon Cognito.

Amazon CloudFront

Diese Standardlösung stellt eine Webkonsole bereit, die in einem Amazon S3 S3-Bucket gehostet wird. Um die Latenz zu reduzieren und die Sicherheit zu verbessern, umfasst diese Lösung eine CloudFrontAmazon-Distribution mit einer Ursprungszugriffsidentität. Dabei handelt es sich um einen speziellen CloudFront Benutzer, der den öffentlichen Zugriff auf die Inhalte des Website-Buckets der Lösung ermöglicht. Weitere Informationen finden Sie unter Beschränken des Zugriffs auf Amazon S3 S3-Inhalte mithilfe einer Origin-Zugriffsidentität im Amazon CloudFront Developer Guide.

Wenn bei der Stack-Bereitstellung ein privater Bereitstellungstyp ausgewählt wird, wird keine CloudFront Distribution bereitgestellt und erfordert, dass ein anderer Webhosting-Dienst zum Hosten der Webkonsole verwendet wird.

AWS WAF — Firewall für Webanwendungen

Wenn der im Stack gewählte Bereitstellungstyp Öffentlich mit AWS WAF ist, CloudFormation werden das erforderliche AWS WAF WAF-Web ACLs und die Regeln bereitgestellt, die für den Schutz CloudFront, das API Gateway und die Cognito-Endpunkte konfiguriert sind, die von der CMF-Lösung erstellt wurden. Diese Endpunkte werden so eingeschränkt, dass nur bestimmte Quell-IP-Adressen auf diese Endpunkte zugreifen können. Während der Stack-Bereitstellung müssen zwei CIDR-Bereiche mit der Möglichkeit ausgestattet werden, nach der Bereitstellung über die AWS-WAF-Konsole zusätzliche Regeln hinzuzufügen.

Amazon API Gateway

Diese Lösung stellt Amazon API Gateway REST bereit APIs und verwendet den Standard-API-Endpunkt und das SSL-Zertifikat. Der Standard-API-Endpunkt unterstützt TLSv1 Sicherheitsrichtlinien. Es wird empfohlen, die Sicherheitsrichtlinie TLS_1_2 zu verwenden, um TLSv1 .2+ mit Ihrem eigenen benutzerdefinierten Domainnamen und einem benutzerdefinierten SSL-Zertifikat durchzusetzen. Weitere Informationen finden Sie unter Auswahl einer TLS-Mindestversion für eine benutzerdefinierte Domain in API Gateway und Konfiguration benutzerdefinierter Domains im Amazon API Gateway Developer Guide.

Amazon CloudWatch Alarms//Kanaren

Mit CloudWatch Amazon-Alarmen können Sie überwachen, ob die Funktions- und Sicherheitsannahmen der Lösung eingehalten werden. Die Lösung umfasst Protokollierung und Metriken für AWS Lambda Lambda-Funktionen und API Gateway Gateway-Endpunkte. Wenn für Ihren speziellen Anwendungsfall zusätzliche Überwachung erforderlich ist, können Sie CloudWatch Alarme zur Überwachung von Folgendem konfigurieren:

Sie können diese Alarme mit der CloudWatch Konsole oder mithilfe von CloudFormation AWS-Vorlagen erstellen. Eine ausführliche Anleitung zur Erstellung von CloudWatch Alarmen finden Sie unter CloudWatch Amazon-Alarme erstellen im CloudWatch Amazon-Benutzerhandbuch.

Vom Kunden verwaltete AWS-KMS-Schlüssel

Diese Lösung verwendet Verschlüsselung im Ruhezustand zur Sicherung von Daten und verwendet von AWS verwaltete Schlüssel für Kundendaten. Diese Schlüssel werden verwendet, um Ihre Daten automatisch und transparent zu verschlüsseln, bevor sie in Speicherebenen geschrieben werden. Einige Benutzer bevorzugen möglicherweise mehr Kontrolle über ihre Datenverschlüsselungsprozesse. Dieser Ansatz ermöglicht es Ihnen, Ihre eigenen Sicherheitsanmeldedaten zu verwalten und bietet so ein höheres Maß an Kontrolle und Transparenz. Weitere Informationen finden Sie unter Basic Concepts and AWS KMS Keys im AWS Key Management Service Developer Guide.

Aufbewahrung von Protokollen

Diese Lösung erfasst Anwendungs- und Serviceprotokolle, indem sie CloudWatch Amazon-Protokollgruppen in Ihrem Konto erstellt. Standardmäßig werden Protokolle 10 Jahre lang aufbewahrt. Sie können den LogRetentionPeriod Parameter für jede Protokollgruppe anpassen, zur unbefristeten Aufbewahrung wechseln oder je nach Ihren Anforderungen eine Aufbewahrungsdauer zwischen einem Tag und 10 Jahren wählen. Weitere Informationen finden Sie unter Was ist Amazon CloudWatch Logs? im Amazon CloudWatch Logs-Benutzerhandbuch.

Amazon Bedrock

Die Lösung wählt bei der CloudFormation Stack-Bereitstellung automatisch das beste verfügbare Fundamentmodell für Ihre Region aus. Der Auswahlprozess verwendet eine Lambda-Funktion, die das erste verfügbare Modell aus dieser Prioritätsreihenfolge aufruft list_foundation_models() und auswählt:

Sie müssen das ausgewählte Modell in Ihrem AWS-Konto über die Bedrock-Konsole aktivieren, um die GenAI-Funktionen nutzen zu können. Die Kernfunktionen der Lösung bleiben voll funktionsfähig, ohne dass die GenAI-Funktionen aktiviert werden. Kunden können sich dafür entscheiden, das Tool mit manuellen Eingaben zu verwenden, wenn sie die KI-gestützten Funktionen nicht nutzen möchten.

Nach der Bereitstellung finden Sie den ausgewählten Modell-ARN in den CloudFormation Stack-Ausgaben unter dem GenAISelectedModelArn Feld im WPMStack.

In der Standardkonfiguration dieser Lösung wird Amazon Bedrock Guardrails bereitgestellt, um:

Weitere Informationen finden Sie unter Amazon Bedrock Guardrails. Um Guardrails in der CMF-Lösung zu deaktivieren, können Sie im Abschnitt mit den Vorlagenparametern die Option False auswählen.