Pertimbangan keamanan untuk Instans Terkelola Amazon ECS - Amazon Elastic Container Service
Model keamananFitur keamananKepatuhan dan dukungan peraturanInstans Terkelola Amazon ECS Pertimbangan FIPS-140Nonaktifkan FIPS di Instans Terkelola Amazon ECS Pertimbangan keamananPraktik terbaik keamanan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pertimbangan keamanan untuk Instans Terkelola Amazon ECS

Instans Terkelola Amazon ECS menyediakan pengalaman komputasi kontainer terkelola sepenuhnya yang memungkinkan Anda menjalankan beban kerja pada jenis EC2 instans Amazon tertentu sambil menurunkan tanggung jawab keamanan. AWS Topik ini menjelaskan model keamanan, fitur, dan pertimbangan saat menggunakan Instans Terkelola Amazon ECS.

Model keamanan

Instans Terkelola Amazon ECS menerapkan model keamanan komprehensif yang menyeimbangkan fleksibilitas dengan perlindungan:

  • AWS-Managed Infrastructure - AWS mengontrol siklus hidup instans terkelola dan menangani patch keamanan, menghilangkan kemungkinan kesalahan manusia dan gangguan.

  • Tidak ada akses administratif - Model keamanan dikunci dan melarang akses administratif ke instans yang dikelola.

  • Penempatan multi-tugas - Secara default, Instans Terkelola Amazon ECS menempatkan beberapa tugas pada satu instans untuk mengoptimalkan biaya dan pemanfaatan, yang melonggarkan kendala isolasi beban kerja dibandingkan dengan Fargate.

  • Isolasi data - Meskipun AWS mengontrol siklus hidup instance dan penempatan tugas, AWS tidak dapat masuk ke instance terkelola atau mengakses data pelanggan.

Fitur keamanan

Instans Terkelola Amazon ECS mencakup beberapa fitur keamanan bawaan yang dirancang untuk melindungi beban kerja Anda dan mempertahankan postur keamanan yang kuat. Fitur-fitur ini berkisar dari patch keamanan otomatis hingga dukungan untuk kemampuan Linux istimewa bila diperlukan.

Praktik terbaik keamanan

Instans terkelola dikonfigurasi sesuai dengan praktik terbaik AWS keamanan, termasuk:

  • Tidak ada akses SSH - Akses shell jarak jauh dinonaktifkan untuk mencegah akses yang tidak sah.

  • Sistem file root yang tidak dapat diubah - Sistem file root tidak dapat dimodifikasi, memastikan integritas sistem.

  • Kontrol akses wajib tingkat kernel - SELinux menyediakan penegakan keamanan tambahan di tingkat kernel.

Penambalan keamanan otomatis

Instans Terkelola Amazon ECS membantu meningkatkan postur keamanan beban kerja Anda melalui penambalan otomatis:

  • Pembaruan keamanan reguler - Instans diperbarui secara berkala dengan tambalan keamanan terbaru oleh AWS, sehubungan dengan jendela pemeliharaan yang Anda konfigurasikan.

  • Masa pakai instans terbatas - Masa pakai maksimum instance yang sedang berjalan dibatasi hingga 14 hari untuk memastikan aplikasi berjalan pada instance yang dikonfigurasi dengan tepat dengan patch up-to-date keamanan.

  • Kontrol jendela pemeliharaan - Anda dapat menggunakan kemampuan jendela EC2 acara Amazon untuk menentukan kapan Amazon ECS harus mengganti instans Anda dengan yang ditambal.

Kemampuan Linux istimewa

Instans Terkelola Amazon ECS mendukung perangkat lunak yang memerlukan hak istimewa Linux yang ditingkatkan, memungkinkan solusi pemantauan dan keamanan lanjutan:

  • Kemampuan yang didukung - Anda dapat ikut serta dalam semua kemampuan Linux istimewa, termasuk, CAP_NET_ADMINCAP_SYS_ADMIN, dan. CAP_BPF

  • Solusi populer - Ini memungkinkan Anda untuk menjalankan pemantauan jaringan populer dan solusi observabilitas seperti Wireshark dan Datadog.

  • Diperlukan konfigurasi eksplisit - Anda harus mengonfigurasi penyedia kapasitas Instans Terkelola Amazon ECS secara eksplisit untuk mengaktifkan kemampuan Linux yang memiliki hak istimewa, karena dapat menimbulkan risiko keamanan tambahan bagi aplikasi Anda.

penting

Mengaktifkan kemampuan Linux istimewa dapat mengekspos tugas Anda ke risiko keamanan tambahan. Hanya aktifkan kemampuan ini bila diperlukan oleh aplikasi Anda dan pastikan Anda memahami implikasi keamanan.

Kepatuhan dan dukungan peraturan

Instans Terkelola Amazon ECS mempertahankan postur kepatuhan yang sama dengan Amazon ECS:

  • Program kepatuhan - Instans Terkelola Amazon ECS berada dalam lingkup Program AWS Jaminan yang sama dengan Amazon ECS, termasuk PCI-DSS, HIPAA, dan FedRAMP.

  • Titik akhir FIPS - Instans Terkelola Amazon ECS menghormati pengaturan tingkat akun Anda untuk menggunakan titik akhir FIPS di Wilayah guna membantu mencapai kepatuhan FedRAMP. AWS

  • Customer Managed Keys - Mendukung fitur keamanan yang diperlukan untuk mencapai kepatuhan, seperti Customer Managed Keys untuk enkripsi.

Instans Terkelola Amazon ECS Pertimbangan FIPS-140

Pertimbangkan hal berikut saat menggunakan kepatuhan FIPS-140 pada Instans Terkelola Amazon ECS:

  • Instans AMIs Terkelola yang Sesuai dengan FIPS-140 hanya tersedia di Wilayah. AWS GovCloud (US)

  • Instans Terkelola Amazon ECS mendukung FIPS-140-3

  • Kepatuhan FIPS-140 diaktifkan secara default di Wilayah. AWS GovCloud (US) Jika Anda perlu menjalankan beban kerja tanpa kepatuhan FIPS, matikan kepatuhan FIPS dalam konfigurasi Penyedia Kapasitas Instans Terkelola.

  • cpuArchitectureUntuk tugas Anda harus X86_64 untuk kepatuhan FIPS-140.

Nonaktifkan FIPS di Instans Terkelola Amazon ECS

Secara default, Penyedia Kapasitas Instans Terkelola Amazon ECS di AWS GovCloud (US) Wilayah meluncurkan FIPS-compliant. AMIs Anda memilih untuk menonaktifkan kepatuhan FIPS-140 saat membuat Penyedia Kapasitas Instans Terkelola Amazon ECS baru. Ikuti langkah-langkah ini untuk membuat Penyedia Kapasitas baru tanpa kepatuhan FIPS.

  1. Nonaktifkan kepatuhan FIPS-140 pada Penyedia Kapasitas.

    aws ecs create-capacity-provider \
    --cluster cluster-name \
    --name capacity-provider-name \
    --managed-instances-provider '{
        "infrastructureRoleArn": "infrastructure-role-arn",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "instance-profile-arn",
            "fipsEnabled": false,
            "networkConfiguration": {
                "subnets": ["subnet-id"],
                "securityGroups": ["security-group-id"]
            }
        }
    }'

  2. Anda dapat menggunakan ECS Exec secara opsional untuk menjalankan perintah berikut untuk memverifikasi status kepatuhan FIPS-140 untuk penyedia kapasitas.

    Ganti cluster-name dengan nama cluster Anda, task-id dengan ID atau ARN tugas Anda, dan container-name dengan nama wadah dalam tugas Anda, Anda ingin menjalankan perintah terhadap.

    Nilai pengembalian “1" menunjukkan bahwa Anda menggunakan FIPS.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

Pertimbangan keamanan

Saat menggunakan Instans Terkelola Amazon ECS, ada beberapa pertimbangan keamanan penting yang harus dipahami dan direncanakan. Pertimbangan ini membantu Anda membuat keputusan berdasarkan informasi tentang arsitektur beban kerja dan persyaratan keamanan Anda.

Model keamanan multi-tugas

Model penempatan multi-tugas default di Instans Terkelola Amazon ECS berbeda dari isolasi tugas tunggal Fargate:

  • Sumber daya instans bersama - Beberapa tugas dapat berjalan pada instance yang sama, berpotensi mengekspos tugas ke kerentanan dari tugas lain yang berjalan pada instance yang sama atau di cluster ECS yang sama.

  • Opsi tugas tunggal - Anda dapat mengonfigurasi Instans Terkelola Amazon ECS untuk menggunakan mode tugas tunggal bagi pelanggan yang memerlukan model keamanan Fargate default dengan batas isolasi keamanan tingkat VM.

  • Trade-off biaya vs keamanan - Mode multi-tugas memberikan pengoptimalan biaya dan waktu startup tugas yang lebih cepat, sementara mode tugas tunggal memberikan isolasi yang lebih kuat.

Menangani interupsi instance

Penting untuk merancang aplikasi Anda agar dapat mentolerir interupsi saat menggunakan Instans Terkelola Amazon ECS:

  • Toleransi gangguan - Gunakan Instans Terkelola Amazon ECS dengan aplikasi yang mentolerir gangguan pada layanan atau tugas yang mendasarinya.

  • Beban kerja berbasis layanan - Gunakan layanan Amazon ECS untuk penggantian tugas otomatis, atau jalankan beban kerja dengan durasi terkontrol dan terbatas tidak melebihi 14 hari pada tugas mandiri.

  • Graceful shutdown - Konfigurasikan masa tenggang shutdown tugas untuk mengontrol dampak interupsi.

Akses data dan privasi

Instans Terkelola Amazon ECS mempertahankan kontrol akses data yang ketat:

  • Tidak ada akses data pelanggan - Meskipun AWS mengontrol siklus hidup instans terkelola dan penempatan tugas pada instans, AWS tidak dapat masuk ke instans terkelola atau mengakses data pelanggan.

  • Hanya metrik dan log - hanya AWS menangkap metrik dan log terkait yang diperlukan untuk menyediakan kemampuan Instans Terkelola Amazon ECS.

  • Model keamanan terkunci - Model keamanan melarang akses administratif, menghilangkan kemungkinan kesalahan manusia dan gangguan.

Praktik terbaik keamanan

Ikuti praktik terbaik ini saat menggunakan Instans Terkelola Amazon ECS:

  • Evaluasi model keamanan - Buat keputusan sadar tentang mengadopsi Instans Terkelola Amazon ECS berdasarkan persyaratan keamanan Anda, terutama mengenai model penempatan multi-tugas.

  • Gunakan mode tugas tunggal bila diperlukan - Jika beban kerja Anda memerlukan isolasi yang lebih kuat, konfigurasikan Instans Terkelola Amazon ECS untuk menggunakan mode tugas tunggal.

  • Minimalkan kemampuan istimewa - Hanya aktifkan kemampuan Linux istimewa bila benar-benar diperlukan dan pahami risiko keamanan terkait.

  • Rencanakan interupsi - Rancang aplikasi untuk menangani penggantian instans dengan anggun, terutama mengingat masa pakai instans maksimum 14 hari.

  • Konfigurasikan jendela pemeliharaan - Gunakan jendela EC2 acara untuk mengontrol kapan penggantian instance terjadi untuk meminimalkan dampak pada beban kerja Anda.

  • Pantau dan audit - Tinjau secara teratur konfigurasi Instans Terkelola Amazon ECS Anda dan pantau setiap peristiwa atau perubahan terkait keamanan.