View a markdown version of this page

Pertimbangan keamanan untuk Instans Terkelola Amazon ECS - Amazon Elastic Container Service
Model keamananMemahami contoh terkelolaFitur keamananKepatuhan dan dukungan peraturanPertimbangan FIPS-140 Instans Terkelola Amazon ECSNonaktifkan FIPS di Instans Terkelola Amazon ECSPertimbangan keamananPraktik terbaik keamanan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pertimbangan keamanan untuk Instans Terkelola Amazon ECS

Instans Terkelola Amazon ECS menyediakan pengalaman komputasi kontainer terkelola sepenuhnya yang memungkinkan Anda menjalankan beban kerja pada jenis instans Amazon EC2 tertentu saat menurunkan tanggung jawab keamanan. AWS Topik ini menjelaskan model keamanan, fitur, dan pertimbangan saat menggunakan Instans Terkelola Amazon ECS.

Model keamanan

Instans Terkelola Amazon ECS menerapkan model keamanan komprehensif yang menyeimbangkan fleksibilitas dengan perlindungan:

  • AWS-Managed Infrastructure - AWS mengontrol siklus hidup instans terkelola dan menangani patch keamanan, menghilangkan kemungkinan kesalahan manusia dan gangguan.

  • Tidak ada akses administratif - Model keamanan dikunci dan melarang akses administratif ke instans yang dikelola.

  • Multi-task penempatan - Secara default, Instans Terkelola Amazon ECS menempatkan beberapa tugas pada satu instans untuk mengoptimalkan biaya dan pemanfaatan, yang melonggarkan kendala isolasi beban kerja dibandingkan dengan Fargate.

  • Isolasi data - Meskipun AWS mengontrol siklus hidup instance dan penempatan tugas, AWS tidak dapat masuk ke instance terkelola atau mengakses data pelanggan.

Memahami contoh terkelola

Instans Terkelola Amazon ECS menyediakan instans terkelola EC2 di akun Anda. Sebagai operator yang ditunjuk, Amazon ECS mengelola siklus hidup penuh instans ini atas nama Anda, termasuk penyediaan, penskalaan, penambalan, dan penghentian. Anda tidak memiliki izin untuk menghentikan instans ini secara langsung atau mengubah pengaturan instans. Untuk informasi selengkapnya, lihat instans terkelola Amazon EC2.

Mengidentifikasi instans terkelola

Anda dapat mengidentifikasi Instans Terkelola Amazon ECS di akun Anda dengan menggunakan indikator berikut:

  • OperatorBidang dalam DescribeInstances respons Amazon EC2, dengan nilai. ecs.amazonaws.com

  • aws:ec2:managed-launchTag pada instance, dengan nilaiecs-managed-instances.

Visibilitas sumber daya terkelola

Mulai 22 April 2026, Amazon EC2 menyembunyikan instans terkelola baru dari tampilan konsol Amazon EC2 dan operasi daftar API secara default. Pengaturan visibilitas tidak memengaruhi operasi penagihan atau sumber daya, dan instans terkelola tetap beroperasi penuh dan dapat ditagih terlepas dari konfigurasi visibilitas. Anda dapat menyesuaikan perilaku ini kapan saja. Untuk informasi selengkapnya, lihat Pengaturan visibilitas sumber daya terkelola.

Fitur keamanan

Instans Terkelola Amazon ECS mencakup beberapa fitur keamanan bawaan yang dirancang untuk melindungi beban kerja Anda dan mempertahankan postur keamanan yang kuat. Fitur-fitur ini berkisar dari patch keamanan otomatis hingga dukungan untuk kemampuan Linux istimewa bila diperlukan.

Praktik terbaik keamanan

Instans terkelola dikonfigurasi sesuai dengan praktik terbaik AWS keamanan, termasuk:

  • Tidak ada akses SSH - Akses shell jarak jauh dinonaktifkan untuk mencegah akses yang tidak sah.

  • Sistem file root yang tidak dapat diubah - Sistem file root tidak dapat dimodifikasi, memastikan integritas sistem.

  • Kernel-level kontrol akses wajib - SELinux menyediakan penegakan keamanan tambahan di tingkat kernel.

Penambalan keamanan otomatis

Instans Terkelola Amazon ECS membantu meningkatkan postur keamanan beban kerja Anda melalui penambalan otomatis:

  • Pembaruan keamanan reguler - Instans diperbarui secara berkala dengan tambalan keamanan terbaru oleh AWS, sehubungan dengan jendela pemeliharaan yang Anda konfigurasikan.

  • Masa pakai instans terbatas - Masa pakai maksimum instans yang sedang berjalan dibatasi hingga 14 hari untuk memastikan aplikasi berjalan pada instans yang dikonfigurasi dengan tepat dengan patch keamanan terkini.

  • Kontrol jendela pemeliharaan - Anda dapat menggunakan kemampuan jendela acara Amazon EC2 untuk menentukan kapan Amazon ECS harus mengganti instans Anda dengan yang ditambal.

Kemampuan Linux istimewa

Instans Terkelola Amazon ECS mendukung perangkat lunak yang memerlukan hak istimewa Linux yang ditingkatkan, memungkinkan solusi pemantauan dan keamanan lanjutan:

  • Kemampuan yang didukung - Anda dapat ikut serta dalam semua kemampuan Linux istimewa, termasuk, CAP_NET_ADMINCAP_SYS_ADMIN, dan. CAP_BPF

  • Solusi populer - Ini memungkinkan Anda untuk menjalankan pemantauan jaringan populer dan solusi observabilitas seperti Wireshark dan Datadog.

  • Diperlukan konfigurasi eksplisit - Anda harus mengonfigurasi penyedia kapasitas Instans Terkelola Amazon ECS secara eksplisit untuk mengaktifkan kemampuan Linux yang memiliki hak istimewa, karena dapat menimbulkan risiko keamanan tambahan bagi aplikasi Anda.

penting

Mengaktifkan kemampuan Linux istimewa dapat mengekspos tugas Anda ke risiko keamanan tambahan. Hanya aktifkan kemampuan ini bila diperlukan oleh aplikasi Anda dan pastikan Anda memahami implikasi keamanan.

Kepatuhan dan dukungan peraturan

Instans Terkelola Amazon ECS mempertahankan postur kepatuhan yang sama dengan Amazon ECS:

  • Program kepatuhan - Instans Terkelola Amazon ECS berada dalam lingkup Program AWS Jaminan yang sama dengan Amazon ECS, termasuk, HIPAA PCI-DSS, dan FedRAMP.

  • Titik akhir FIPS - Instans Terkelola Amazon ECS mendukung konfigurasi titik akhir FIPS di tingkat penyedia kapasitas. Tidak seperti Fargate, yang menggunakan setelan tingkat akun, Instans Terkelola Amazon ECS menggunakan setelan per-kapasitas-penyedia karena FIPS adalah konfigurasi per-instance. Anda mengonfigurasi FIPS saat membuat atau memperbarui penyedia kapasitas.

  • Customer Managed Keys - Mendukung fitur keamanan yang diperlukan untuk mencapai kepatuhan, seperti Customer Managed Keys untuk enkripsi.

Pertimbangan FIPS-140 Instans Terkelola Amazon ECS

Pertimbangkan hal berikut saat menggunakan FIPS-140 kepatuhan pada Instans Terkelola Amazon ECS:

  • FIPS-140-compliant AMI Instans Terkelola hanya tersedia di AWS GovCloud (US) Wilayah.

  • Instans Terkelola Amazon ECS mendukung FIPS-140-3

  • FIPS-140 kepatuhan diaktifkan secara default di AWS GovCloud (US) Wilayah. Jika Anda perlu menjalankan beban kerja tanpa kepatuhan FIPS, matikan kepatuhan FIPS dalam konfigurasi Penyedia Kapasitas Instans Terkelola.

  • cpuArchitectureUntuk tugas Anda harus X86_64 untuk FIPS-140 kepatuhan.

Nonaktifkan FIPS di Instans Terkelola Amazon ECS

Secara default, Penyedia Kapasitas Instans Terkelola Amazon ECS di AWS GovCloud (US) Wilayah meluncurkan FIPS-compliant AMI. Anda memilih untuk menonaktifkan FIPS-140 kepatuhan saat membuat Penyedia Kapasitas Instans Terkelola Amazon ECS baru. Ikuti langkah-langkah ini untuk membuat Penyedia Kapasitas baru tanpa kepatuhan FIPS.

  1. Nonaktifkan FIPS-140 kepatuhan pada Penyedia Kapasitas.

    aws ecs create-capacity-provider \
    --cluster cluster-name \
    --name capacity-provider-name \
    --managed-instances-provider '{
        "infrastructureRoleArn": "infrastructure-role-arn",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "instance-profile-arn",
            "fipsEnabled": false,
            "networkConfiguration": {
                "subnets": ["subnet-id"],
                "securityGroups": ["security-group-id"]
            }
        }
    }'

  2. Anda dapat menggunakan ECS Exec secara opsional untuk menjalankan perintah berikut untuk memverifikasi status FIPS-140 kepatuhan untuk penyedia kapasitas.

    Ganti cluster-name dengan nama cluster Anda, task-id dengan ID atau ARN tugas Anda, dan container-name dengan nama wadah dalam tugas Anda, Anda ingin menjalankan perintah terhadap.

    Nilai pengembalian “1" menunjukkan bahwa Anda menggunakan FIPS.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

Pertimbangan keamanan

Saat menggunakan Instans Terkelola Amazon ECS, ada beberapa pertimbangan keamanan penting yang harus dipahami dan direncanakan. Pertimbangan ini membantu Anda membuat keputusan berdasarkan informasi tentang arsitektur beban kerja dan persyaratan keamanan Anda.

Multi-task model keamanan

Model penempatan multi-tugas default di Instans Terkelola Amazon ECS berbeda dari isolasi tugas tunggal Fargate:

  • Sumber daya instans bersama - Beberapa tugas dapat berjalan pada instance yang sama, berpotensi mengekspos tugas ke kerentanan dari tugas lain yang berjalan pada instance yang sama atau di cluster ECS yang sama.

  • Single-task opsi - Anda dapat mengonfigurasi Instans Terkelola Amazon ECS untuk menggunakan mode tugas tunggal bagi pelanggan yang memerlukan model keamanan Fargate default dengan batas isolasi keamanan. VM-level

  • Biaya vs keamanan trade-off - Multi-task mode menyediakan pengoptimalan biaya dan waktu startup tugas yang lebih cepat, sementara mode tugas tunggal memberikan isolasi yang lebih kuat.

Menangani interupsi instance

Penting untuk merancang aplikasi Anda agar dapat mentolerir interupsi saat menggunakan Instans Terkelola Amazon ECS:

  • Toleransi gangguan - Gunakan Instans Terkelola Amazon ECS dengan aplikasi yang mentolerir gangguan pada layanan atau tugas yang mendasarinya.

  • Service-based beban kerja - Gunakan layanan Amazon ECS untuk penggantian tugas otomatis, atau jalankan beban kerja dengan durasi terkontrol dan terbatas tidak melebihi 14 hari pada tugas mandiri.

  • Graceful shutdown - Konfigurasikan masa tenggang shutdown tugas untuk mengontrol dampak interupsi.

Akses data dan privasi

Instans Terkelola Amazon ECS mempertahankan kontrol akses data yang ketat:

  • Tidak ada akses data pelanggan - Meskipun AWS mengontrol siklus hidup instans terkelola dan penempatan tugas pada instans, AWS tidak dapat masuk ke instans terkelola atau mengakses data pelanggan.

  • Hanya metrik dan log - hanya AWS menangkap metrik dan log terkait yang diperlukan untuk menyediakan kemampuan Instans Terkelola Amazon ECS.

  • Locked-down Model keamanan - Model keamanan melarang akses administratif, menghilangkan kemungkinan kesalahan manusia dan gangguan.

Praktik terbaik keamanan

Ikuti praktik terbaik ini saat menggunakan Instans Terkelola Amazon ECS:

  • Evaluasi model keamanan - Buat keputusan sadar tentang mengadopsi Instans Terkelola Amazon ECS berdasarkan persyaratan keamanan Anda, terutama mengenai model penempatan multi-tugas.

  • Gunakan mode tugas tunggal bila diperlukan - Jika beban kerja Anda memerlukan isolasi yang lebih kuat, konfigurasikan Instans Terkelola Amazon ECS untuk menggunakan mode tugas tunggal.

  • Minimalkan kemampuan istimewa - Hanya aktifkan kemampuan Linux istimewa bila benar-benar diperlukan dan pahami risiko keamanan terkait.

  • Rencanakan interupsi - Rancang aplikasi untuk menangani penggantian instans dengan anggun, terutama mengingat masa pakai instans maksimum 14 hari.

  • Konfigurasikan jendela pemeliharaan - Gunakan jendela acara EC2 untuk mengontrol kapan penggantian instans terjadi untuk meminimalkan dampak pada beban kerja Anda.

  • Pantau dan audit - Tinjau secara teratur konfigurasi Instans Terkelola Amazon ECS Anda dan pantau setiap peristiwa atau perubahan terkait keamanan.