Cómo aislar los datos de operadores propios
El sistema AWS Nitro no tiene acceso de operador. No existe ningún mecanismo que permita que un sistema o una persona de AWS inicie sesión en los hosts de Amazon EC2 Nitro, acceda a la memoria de las instancias de EC2 ni a los datos de clientes almacenados en el almacenamiento cifrado local de las instancias o en los volúmenes cifrados de Amazon EBS.
Cuando se trata de información altamente confidencial, puede considerar restringir el acceso a esa información para evitar que incluso operadores propios accedan a la instancia de EC2.
Es posible crear AMI personalizadas con capacidad de atestación configuradas para proporcionar un entorno de computación aislado. La configuración de la AMI depende de la carga de trabajo y de los requisitos de la aplicación. Tenga en cuenta estas prácticas recomendadas al crear una AMI para establecer un entorno de computación aislado.
-
Elimine todos los accesos interactivos para impedir que los operadores o usuarios accedan a la instancia.
-
Asegúrese de que en la AMI solo se incluyan software y código confiables.
-
Configure un firewall de red dentro de la instancia para bloquear el acceso.
-
Garantice estados de solo lectura e inmutables para todos los sistemas de almacenamiento y archivos.
-
Limite el acceso a las instancias únicamente a las llamadas a la API que estén autenticadas, autorizadas y registradas.
