Considerazioni sulla sicurezza per le Istanze gestite da Amazon ECS - Amazon Elastic Container Service
Modello di sicurezzaFunzionalità di sicurezzaConformità e supporto normativoConsiderazioni FIPS-140 sulle istanze gestite di Amazon ECSDisattiva FIPS sulle istanze gestite di Amazon ECS Considerazioni relative alla sicurezzaBest practice di sicurezza

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Considerazioni sulla sicurezza per le Istanze gestite da Amazon ECS

Amazon ECS Managed Instances offre un'esperienza di calcolo in container completamente gestita che ti consente di eseguire carichi di lavoro su tipi di EC2 istanze Amazon specifici, delegando al contempo le responsabilità di sicurezza. AWS Questo argomento descrive il modello di sicurezza, le caratteristiche e le considerazioni relative all'utilizzo delle Istanze gestite da Amazon ECS.

Modello di sicurezza

Le Istanze gestite da Amazon ECS implementano un modello di sicurezza completo che bilancia flessibilità e protezione:

  • AWS-infrastruttura gestita: AWS controlla il ciclo di vita delle istanze gestite e gestisce le patch di sicurezza, eliminando la possibilità di errori umani e manomissioni.

  • Nessun accesso amministrativo: il modello di sicurezza è bloccato e vieta l'accesso amministrativo alle istanze gestite.

  • Posizionamento multi-task: per impostazione predefinita, le Istanze gestite da Amazon ECS collocano più attività su una singola istanza per ottimizzare costi e utilizzo, il che allenta il vincolo di isolamento del carico di lavoro rispetto a Fargate.

  • Isolamento dei dati: sebbene AWS controlli il ciclo di vita delle istanze e il posizionamento delle attività, AWS non può accedere alle istanze gestite o accedere ai dati dei clienti.

Funzionalità di sicurezza

Le Istanze gestite da Amazon ECS includono diverse funzionalità di sicurezza integrate progettate per proteggere i carichi di lavoro e mantenere una solida posizione di sicurezza. Queste funzionalità vanno dall'applicazione automatica delle patch di sicurezza al supporto di funzionalità Linux privilegiate quando necessario.

Best practice di sicurezza

Le istanze gestite sono configurate in base alle migliori pratiche di AWS sicurezza, tra cui:

  • Nessun accesso SSH: l'accesso remoto alla shell è disabilitato per impedire accessi non autorizzati.

  • Filesystem del root immutabile: il filesystem del root non può essere modificato, garantendo l'integrità del sistema.

  • Controlli di accesso obbligatori a livello di kernel: SELinux forniscono un'ulteriore applicazione della sicurezza a livello di kernel.

Applicazione automatica delle patch di sicurezza

Le Istanze gestite da Amazon ECS aiutano a migliorare il livello di sicurezza dei carichi di lavoro attraverso l'applicazione di patch automatizzate:

  • Aggiornamenti di sicurezza regolari: le istanze vengono regolarmente aggiornate con le ultime patch di sicurezza entro le AWS finestre di manutenzione configurate.

  • Durata limitata delle istanze: la durata massima di un'istanza in esecuzione è limitata a 14 giorni per garantire che le applicazioni vengano eseguite su istanze configurate in modo appropriato con patch di sicurezza. up-to-date

  • Controllo delle finestre di manutenzione: puoi utilizzare la funzionalità delle finestre EC2 degli eventi di Amazon per specificare quando Amazon ECS deve sostituire le istanze con istanze con patch.

Funzionalità Linux privilegiate

Le Istanze gestite da Amazon ECS supportano software che richiedono privilegi Linux elevati, abilitando soluzioni di monitoraggio e sicurezza avanzate:

  • Funzionalità supportate: è possibile attivare tutte le funzionalità Linux privilegiate, tra cui CAP_NET_ADMIN, CAP_SYS_ADMIN e CAP_BPF.

  • Soluzioni popolari: ciò consente di eseguire le più diffuse soluzioni di monitoraggio e osservabilità della rete come Wireshark e Datadog.

  • Configurazione esplicita richiesta: è necessario configurare in modo esplicito il provider di capacità delle Istanze gestite da Amazon ECS per abilitare funzionalità Linux privilegiate, poiché ciò potrebbe comportare rischi di sicurezza aggiuntivi per le applicazioni.

Importante

L'attivazione delle funzionalità privilegiate di Linux può esporre le attività a rischi di sicurezza aggiuntivi. Abilitare queste funzionalità solo quando richiesto dalle applicazioni e assicurarsi di comprendere le implicazioni sulla sicurezza.

Conformità e supporto normativo

Le Istanze gestite da Amazon ECS mantengono lo stesso livello di conformità di Amazon ECS:

  • Programmi di conformità: Amazon ECS Managed Instances rientra nell'ambito degli stessi programmi di AWS garanzia di Amazon ECS, inclusi PCI-DSS, HIPAA e FedRAMP.

  • Endpoint FIPS: Amazon ECS Managed Instances rispetta le impostazioni a livello di account per l'utilizzo degli endpoint FIPS nelle regioni per contribuire a raggiungere la conformità FedRAMP. AWS

  • Chiavi gestite dal cliente: supporta le funzionalità di sicurezza necessarie per il raggiungimento della conformità, come le chiavi gestite dal cliente per la crittografia.

Considerazioni FIPS-140 sulle istanze gestite di Amazon ECS

Considera quanto segue quando utilizzi la conformità FIPS-140 su istanze gestite di Amazon ECS:

  • Le istanze gestite conformi allo standard FIPS-140 sono disponibili solo nelle regioni. AMIs AWS GovCloud (US)

  • Le istanze gestite di Amazon ECS supportano FIPS-140-3

  • La conformità FIPS-140 è abilitata per impostazione predefinita nelle regioni. AWS GovCloud (US) Se devi eseguire carichi di lavoro senza la conformità FIPS, disattiva la conformità FIPS nella configurazione Managed Instances Capacity Provider.

  • Le cpuArchitecture tue attività devono essere X86_64 conformi allo standard FIPS-140.

Disattiva FIPS sulle istanze gestite di Amazon ECS

Per impostazione predefinita, i fornitori di capacità di Amazon ECS Managed Instances in AWS GovCloud (US) Regions avviano la versione conforme a FIPS. AMIs Scegli di disabilitare la conformità FIPS-140 quando crei un nuovo Amazon ECS Managed Instances Capacity Provider. Segui questi passaggi per creare un nuovo Capacity Provider senza conformità FIPS.

  1. Disabilita la conformità FIPS-140 su Capacity Provider.

    aws ecs create-capacity-provider \
    --cluster cluster-name \
    --name capacity-provider-name \
    --managed-instances-provider '{
        "infrastructureRoleArn": "infrastructure-role-arn",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "instance-profile-arn",
            "fipsEnabled": false,
            "networkConfiguration": {
                "subnets": ["subnet-id"],
                "securityGroups": ["security-group-id"]
            }
        }
    }'

  2. Facoltativamente, è possibile utilizzare ECS Exec per eseguire il seguente comando per verificare lo stato di conformità FIPS-140 per un provider di capacità.

    Sostituisci cluster-name con il nome del cluster, task-id con l'ID o l'ARN dell'attività e container-name con il nome del contenitore dell'attività su cui desideri eseguire il comando.

    Un valore restituito corrispondente a "1" indica che stai utilizzando FIPS.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

Considerazioni relative alla sicurezza

Quando si utilizzano le Istanze gestite da Amazon ECS, ci sono diverse importanti considerazioni sulla sicurezza da comprendere e pianificare. Queste considerazioni ti aiutano a prendere decisioni informate sull'architettura del carico di lavoro e sui requisiti di sicurezza.

Modello di sicurezza multitasking

Il modello di posizionamento multi-task predefinito nelle Istanze gestite da Amazon ECS è diverso dall'isolamento a singola attività di Fargate:

  • Risorse condivise di istanze: è possibile eseguire più attività sulla stessa istanza, esponendo potenzialmente un'attività alle vulnerabilità di altre attività in esecuzione sulla stessa istanza o nello stesso cluster ECS.

  • Opzione single-task: è possibile configurare le Istanze gestite da Amazon ECS per utilizzare la modalità single-task per i clienti che richiedono il modello di sicurezza Fargate predefinito con limite di isolamento di sicurezza a livello di macchina virtuale.

  • Compromesso tra costi e sicurezza: la modalità multi-task consente di ottimizzare i costi e velocizzare i tempi di startup delle attività, mentre la modalità single-task offre un maggiore isolamento.

Gestione delle interruzioni dell'istanza

È importante progettare le applicazioni in modo da tollerare le interruzioni quando si utilizzano le Istanze gestite da Amazon ECS:

  • Tolleranza all'interruzione: utilizzare le Istanze gestite da Amazon ECS con applicazioni che tollerano l'interruzione dei servizi o delle attività sottostanti.

  • Carichi di lavoro basati sui servizi: utilizzare i servizi Amazon ECS per la sostituzione automatica delle attività o eseguire carichi di lavoro con una durata controllata e limitata non superiore a 14 giorni su attività autonome.

  • Arresto regolare: configurare il periodo di tolleranza per la chiusura delle attività per controllare l'impatto delle interruzioni.

Accesso e privacy dei dati

Le Istanze gestite da Amazon ECS mantengono rigorosi controlli di accesso ai dati:

  • Nessun accesso ai dati dei clienti: sebbene AWS controlli il ciclo di vita delle istanze gestite e il posizionamento delle attività sulle istanze, AWS non può accedere alle istanze gestite o accedere ai dati dei clienti.

  • Solo parametri e log: AWS acquisisce solo i parametri e i log correlati necessari per fornire le funzionalità di Amazon ECS Managed Instances.

  • Modello di sicurezza bloccato: il modello di sicurezza vieta l'accesso amministrativo, eliminando la possibilità di errori umani e manomissioni.

Best practice di sicurezza

Seguire queste best practice quando si utilizzano le Istanze gestite da Amazon ECS:

  • Valutare il modello di sicurezza: prendere una decisione consapevole sull'adozione delle Istanze gestite da Amazon ECS in base ai requisiti di sicurezza, in particolare per quanto riguarda il modello di posizionamento multi-task.

  • Usare la modalità single-task quando necessario: se i carichi di lavoro richiedono un isolamento più forte, configurare le Istanze gestite da Amazon ECS per utilizzare la modalità single-task.

  • Ridurre al minimo le funzionalità privilegiate: abilitare le funzionalità privilegiate di Linux solo quando assolutamente necessario e comprendere i rischi per la sicurezza associati.

  • Pianificare le interruzioni: progettare le applicazioni per gestire le sostituzioni delle istanze in modo corretto, soprattutto considerando la durata massima delle istanze di 14 giorni.

  • Configura le finestre di manutenzione: utilizza le finestre EC2 degli eventi per controllare quando avvengono le sostituzioni delle istanze per ridurre al minimo l'impatto sui carichi di lavoro.

  • Monitoraggio e verifica: esaminare regolarmente la configurazione delle Istanze gestite da Amazon ECS e monitorare eventuali eventi o modifiche relativi alla sicurezza.