View a markdown version of this page

Considerazioni sulla sicurezza per le Istanze gestite da Amazon ECS - Amazon Elastic Container Service
Modello di sicurezzaInformazioni sulle istanze gestiteFunzionalità di sicurezzaConformità e supporto normativoIstanze gestite Amazon ECS FIPS-140 ConsiderazioniDisattiva FIPS sulle istanze gestite di Amazon ECSConsiderazioni relative alla sicurezzaBest practice di sicurezza

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Considerazioni sulla sicurezza per le Istanze gestite da Amazon ECS

Le Istanze gestite da Amazon ECS offrono un'esperienza di calcolo in container completamente gestita che consente di eseguire carichi di lavoro su tipi di istanze Amazon EC2 specifici, delegando al contempo le responsabilità di sicurezza ad AWS. Questo argomento descrive il modello di sicurezza, le caratteristiche e le considerazioni relative all'utilizzo delle Istanze gestite da Amazon ECS.

Per informazioni su AWS e le responsabilità dei clienti per la sicurezza delle istanze gestite di Amazon ECS, consulta Modello di responsabilità condivisa per le istanze gestite da Amazon ECS..

Modello di sicurezza

Le Istanze gestite da Amazon ECS implementano un modello di sicurezza completo che bilancia flessibilità e protezione:

  • AWS-infrastruttura gestita - AWS controlla il ciclo di vita delle istanze gestite e gestisce le patch di sicurezza, eliminando la possibilità di errori umani e manomissioni.

  • Nessun accesso amministrativo: il modello di sicurezza è bloccato e vieta l'accesso amministrativo alle istanze gestite.

  • Multi-task posizionamento - Per impostazione predefinita, Amazon ECS Managed Instances colloca più attività su una singola istanza per ottimizzare costi e utilizzo, il che riduce il vincolo di isolamento del carico di lavoro rispetto a Fargate.

  • Isolamento dei dati - Sebbene AWS controlla il ciclo di vita dell'istanza e il posizionamento delle attività, AWS non può accedere alle istanze gestite o accedere ai dati dei clienti.

Informazioni sulle istanze gestite

Amazon ECS Managed Instances effettua il provisioning delle istanze gestite EC2 nel tuo account. In qualità di operatore designato, Amazon ECS gestisce l'intero ciclo di vita di queste istanze per tuo conto, inclusi provisioning, scaling, patching e terminazione. Non disponi delle autorizzazioni per terminare direttamente queste istanze o modificare le impostazioni delle istanze. Per ulteriori informazioni, consulta Istanze gestite da Amazon EC2.

Identificazione delle istanze gestite

Puoi identificare le istanze gestite di Amazon ECS nel tuo account utilizzando i seguenti indicatori:

  • Le Operator campo in Amazon EC2 DescribeInstances risposta, con un valore di ecs.amazonaws.com.

  • Il aws:ec2:managed-launch tag sull'istanza, con un valore di ecs-managed-instances.

Visibilità gestita delle risorse

A partire dal 22 aprile 2026, Amazon EC2 nasconde per impostazione predefinita le nuove istanze gestite dalle visualizzazioni della console Amazon EC2 e dalle operazioni degli elenchi di API. Le impostazioni di visibilità non influiscono sulla fatturazione o sul funzionamento delle risorse e le istanze gestite rimangono completamente operative e fatturabili indipendentemente dalla configurazione della visibilità. Puoi modificare questo comportamento in qualsiasi momento. Per ulteriori informazioni, vedere Impostazioni gestite per la visibilità delle risorse.

Funzionalità di sicurezza

Le Istanze gestite da Amazon ECS includono diverse funzionalità di sicurezza integrate progettate per proteggere i carichi di lavoro e mantenere una solida posizione di sicurezza. Queste funzionalità vanno dall'applicazione automatica delle patch di sicurezza al supporto di funzionalità Linux privilegiate quando necessario.

Best practice di sicurezza

Le istanze gestite sono configurate in base a AWS best practice di sicurezza, tra cui:

  • Nessun accesso SSH: l'accesso remoto alla shell è disabilitato per impedire accessi non autorizzati.

  • Filesystem del root immutabile: il filesystem del root non può essere modificato, garantendo l'integrità del sistema.

  • Kernel-level controlli di accesso obbligatori - SELinux fornisce un'ulteriore applicazione della sicurezza a livello di kernel.

Applicazione automatica delle patch di sicurezza

Le Istanze gestite da Amazon ECS aiutano a migliorare il livello di sicurezza dei carichi di lavoro attraverso l'applicazione di patch automatizzate:

  • Aggiornamenti di sicurezza regolari - Le istanze vengono aggiornate regolarmente con le ultime patch di sicurezza da AWS, rispetto alle finestre di manutenzione configurate.

  • Durata limitata dell'istanza: la durata massima di un'istanza in esecuzione è limitata a 14 giorni, per garantire che le applicazioni vengano eseguite su istanze configurate in modo appropriato con patch di sicurezza aggiornate.

  • Controllo delle finestre di manutenzione: è possibile utilizzare la funzionalità delle finestre degli eventi di Amazon EC2 per specificare quando Amazon ECS deve sostituire le istanze con quelle con patch.

Funzionalità Linux privilegiate

Le Istanze gestite da Amazon ECS supportano software che richiedono privilegi Linux elevati, abilitando soluzioni di monitoraggio e sicurezza avanzate:

  • Funzionalità supportate - Puoi attivare tutte le funzionalità Linux privilegiate, tra cui CAP_NET_ADMIN, CAP_SYS_ADMIN, CAP_BPF, e CAP_PERFMON.

  • Soluzioni popolari: ciò consente di eseguire le più diffuse soluzioni di monitoraggio e osservabilità della rete come Wireshark e Datadog.

  • Configurazione esplicita richiesta: è necessario configurare in modo esplicito il provider di capacità delle Istanze gestite da Amazon ECS per abilitare funzionalità Linux privilegiate, poiché ciò potrebbe comportare rischi di sicurezza aggiuntivi per le applicazioni.

Importante

L'attivazione delle funzionalità privilegiate di Linux può esporre le attività a rischi di sicurezza aggiuntivi. Abilitare queste funzionalità solo quando richiesto dalle applicazioni e assicurarsi di comprendere le implicazioni sulla sicurezza.

Conformità e supporto normativo

Le Istanze gestite da Amazon ECS mantengono lo stesso livello di conformità di Amazon ECS:

  • Programmi di conformità - Le istanze gestite di Amazon ECS rientrano nello stesso ambito AWS Programmi di assurance come Amazon ECS, tra cui PCI-DSS, HIPAA e FedRAMP.

  • Endpoint FIPS - Le istanze gestite di Amazon ECS supportano la configurazione degli endpoint FIPS a livello di fornitore di capacità. A differenza di Fargate, che utilizza un'impostazione a livello di account, Amazon ECS Managed Instances utilizza un'impostazione per provider di capacità perché FIPS è una configurazione per istanza. Si configura FIPS durante la creazione o l'aggiornamento di un fornitore di capacità.

  • Chiavi gestite dal cliente: supporta le funzionalità di sicurezza necessarie per il raggiungimento della conformità, come le chiavi gestite dal cliente per la crittografia.

Istanze gestite Amazon ECS FIPS-140 Considerazioni

Considera quanto segue quando usi FIPS-140 conformità sulle istanze gestite di Amazon ECS:

  • FIPS-140-compliant Le istanze gestite (AMI) sono disponibili in AWS GovCloud (US) Solo regioni.

  • Le istanze gestite di Amazon ECS supportano FIPS-140-3

  • FIPS-140 la conformità è abilitata per impostazione predefinita in AWS GovCloud (US) Regioni. Se devi eseguire carichi di lavoro senza la conformità FIPS, disattiva la conformità FIPS nella configurazione Managed Instances Capacity Provider.

  • Il cpuArchitecture per i tuoi compiti deve essere X86_64 per FIPS-140 conformità.

Disattiva FIPS sulle istanze gestite di Amazon ECS

Per impostazione predefinita, i fornitori di capacità delle istanze gestite di Amazon ECS in AWS GovCloud (US) Lancio delle regioni FIPS-compliant AMI. Scegli di disattivare FIPS-140 conformità durante la creazione di un nuovo Amazon ECS Managed Instances Capacity Provider. Segui questi passaggi per creare un nuovo Capacity Provider senza conformità FIPS.

  1. Disattiva FIPS-140 conformità su Capacity Provider.

    aws ecs create-capacity-provider \
    --cluster cluster-name \
    --name capacity-provider-name \
    --managed-instances-provider '{
        "infrastructureRoleArn": "infrastructure-role-arn",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "instance-profile-arn",
            "fipsEnabled": false,
            "networkConfiguration": {
                "subnets": ["subnet-id"],
                "securityGroups": ["security-group-id"]
            }
        }
    }'

  2. Facoltativamente, è possibile utilizzare ECS Exec per eseguire il comando seguente per verificare FIPS-140 stato di conformità per un fornitore di capacità.

    Sostituisci cluster-name con il nome del tuo cluster, task-id con l'ID o l'ARN della tua attività e container-name con il nome del contenitore dell'attività su cui vuoi eseguire il comando.

    Un valore restituito corrispondente a "1" indica che stai utilizzando FIPS.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

Considerazioni relative alla sicurezza

Quando si utilizzano le Istanze gestite da Amazon ECS, ci sono diverse importanti considerazioni sulla sicurezza da comprendere e pianificare. Queste considerazioni ti aiutano a prendere decisioni informate sull'architettura del carico di lavoro e sui requisiti di sicurezza.

Multi-task modello di sicurezza

Il modello di posizionamento multi-task predefinito nelle Istanze gestite da Amazon ECS è diverso dall'isolamento a singola attività di Fargate:

  • Risorse condivise di istanze: è possibile eseguire più attività sulla stessa istanza, esponendo potenzialmente un'attività alle vulnerabilità di altre attività in esecuzione sulla stessa istanza o nello stesso cluster ECS.

  • Single-task opzione - Puoi configurare Amazon ECS Managed Instances per utilizzare la modalità single-task per i clienti che richiedono il modello di sicurezza Fargate predefinito con VM-level limite di isolamento di sicurezza.

  • compromesso tra costi e sicurezza - Multi-task la modalità consente l'ottimizzazione dei costi e tempi di avvio delle attività più rapidi, mentre la modalità a singola attività offre un maggiore isolamento.

Gestione delle interruzioni dell'istanza

È importante progettare le applicazioni in modo da tollerare le interruzioni quando si utilizzano le Istanze gestite da Amazon ECS:

  • Tolleranza all'interruzione: utilizzare le Istanze gestite da Amazon ECS con applicazioni che tollerano l'interruzione dei servizi o delle attività sottostanti.

  • Service-based carichi di lavoro - Utilizza i servizi Amazon ECS per la sostituzione automatica delle attività o esegui carichi di lavoro con una durata controllata e limitata non superiore a 14 giorni su attività autonome.

  • Arresto regolare: configurare il periodo di tolleranza per la chiusura delle attività per controllare l'impatto delle interruzioni.

Accesso e privacy dei dati

Le Istanze gestite da Amazon ECS mantengono rigorosi controlli di accesso ai dati:

  • Nessun accesso ai dati dei clienti - Sebbene AWS controlla il ciclo di vita delle istanze gestite e il posizionamento delle attività sulle istanze, AWS non può accedere alle istanze gestite o accedere ai dati dei clienti.

  • Solo metriche e registri - AWS acquisisce solo le metriche e i relativi log necessari per fornire le funzionalità delle istanze gestite di Amazon ECS.

  • Locked-down modello di sicurezza - Il modello di sicurezza vieta l'accesso amministrativo, eliminando la possibilità di errori umani e manomissioni.

Best practice di sicurezza

Seguire queste best practice quando si utilizzano le Istanze gestite da Amazon ECS:

  • Valutare il modello di sicurezza: prendere una decisione consapevole sull'adozione delle Istanze gestite da Amazon ECS in base ai requisiti di sicurezza, in particolare per quanto riguarda il modello di posizionamento multi-task.

  • Usare la modalità single-task quando necessario: se i carichi di lavoro richiedono un isolamento più forte, configurare le Istanze gestite da Amazon ECS per utilizzare la modalità single-task.

  • Ridurre al minimo le funzionalità privilegiate: abilitare le funzionalità privilegiate di Linux solo quando assolutamente necessario e comprendere i rischi per la sicurezza associati.

  • Pianificare le interruzioni: progettare le applicazioni per gestire le sostituzioni delle istanze in modo corretto, soprattutto considerando la durata massima delle istanze di 14 giorni.

  • Configurare le finestre di manutenzione: utilizzare le finestre degli eventi EC2 per controllare quando avvengono le sostituzioni delle istanze e ridurre al minimo l'impatto sui carichi di lavoro.

  • Monitoraggio e verifica: esaminare regolarmente la configurazione delle Istanze gestite da Amazon ECS e monitorare eventuali eventi o modifiche relativi alla sicurezza.