Ejemplo de carga de trabajo: servicio web en contenedores - AWS Guía prescriptiva

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejemplo de carga de trabajo: servicio web en contenedores

Esta carga de trabajo es un ejemplo de Tema 2: gestión de la infraestructura inmutable mediante canalizaciones seguras.

El servicio web se ejecuta en Amazon ECS y utiliza una base de datos en Amazon RDS. El equipo de aplicaciones define estos recursos en una CloudFormation plantilla. Los contenedores se crean con el Generador de imágenes de EC2 y se almacenan en Amazon ECR. El equipo de aplicaciones implementa los cambios en el sistema mediante AWS CodePipeline. Esta canalización está restringida al equipo de aplicaciones. Cuando el equipo de aplicaciones hace una solicitud de extracción al repositorio de código, se utiliza la regla de dos personas.

En el caso de esta carga de trabajo, el equipo de aplicaciones toma las medidas siguientes para abordar las estrategias Essential Eight.

Control de aplicaciones

Revisiones para las aplicaciones

  • El equipo de aplicaciones permite buscar imágenes de contenedores de Amazon ECR en Amazon Inspector y configura las alertas para las bibliotecas en desuso o vulnerables.

  • El equipo de aplicaciones automatiza sus respuestas a los resultados de Amazon Inspector. Los nuevos hallazgos inician su proceso de implementación a través de un EventBridge activador de Amazon, y CodePipeline es el objetivo.

  • El equipo de aplicaciones permite AWS Config realizar un seguimiento de AWS los recursos para el descubrimiento de activos.

Restricción de los privilegios administrativos

  • El equipo de aplicaciones ya restringe el acceso a las implementaciones de producción mediante una regla de aprobación en su canalización de implementaciones.

  • El equipo de aplicaciones confía en la federación de identidades del equipo de la nube centralizada para la rotación de credenciales y el registro centralizado.

  • El equipo de aplicaciones crea un CloudTrail registro y CloudWatch los filtra.

  • El equipo de aplicaciones configura las alertas de Amazon SNS para las CodePipeline implementaciones y CloudFormation las eliminaciones de pilas.

Aplicación de revisiones a sistemas operativos

  • El equipo de aplicaciones permite buscar imágenes de contenedores de Amazon ECR en Amazon Inspector y configura las alertas para las actualizaciones de revisiones del sistema operativo.

  • El equipo de aplicaciones automatiza su respuesta a los resultados de Amazon Inspector. Los nuevos hallazgos inician su proceso de implementación mediante un EventBridge disparador, y ese CodePipeline es el objetivo.

  • El equipo de aplicaciones se suscribe a las notificaciones de eventos de Amazon RDS para recibir la información acerca de las actualizaciones. Toman una decisión basada en el riesgo con el responsable de la empresa sobre si aplicar estas actualizaciones de manera manual o dejar que Amazon RDS las aplique de manera automática.

  • El equipo de aplicaciones configura la instancia de Amazon RDS para que sea un clúster de varias zonas de disponibilidad con el fin de reducir el impacto de los eventos de mantenimiento.

Autenticación multifactor

  • El equipo de aplicaciones confía en la solución de federación de identidades centralizada que se describe en la sección Arquitectura principal. Esta solución aplica la MFA, registra las autenticaciones y las alertas o responde de manera automática a los eventos de MFA sospechosos.

Copias de seguridad periódicas

  • El equipo de aplicaciones configura su clúster de Amazon RDS AWS Backup para automatizar la copia de seguridad de los datos.

  • El equipo de aplicaciones almacena las CloudFormation plantillas en un repositorio de código.

  • El equipo de aplicaciones desarrolla un proceso automatizado para crear una copia de su carga de trabajo en otra región y ejecutar pruebas automatizadas (entrada del AWS blog). Una vez ejecutadas las pruebas automatizadas, la canalización destruye la pila. Esta canalización se ejecuta de manera automática una vez al mes y valida la eficacia de los procedimientos de recuperación.