Configuração do AWS Marketplace Vendor Insights - AWS Marketplace
Criar um perfil de segurançaUpload de uma certificaçãoFazer upload de uma autoavaliaçãoHabilitar avaliações automatizadas do AWS Audit Manager

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configuração do AWS Marketplace Vendor Insights

O procedimento a seguir descreve as etapas de alto nível para configurar o AWS Marketplace Vendor Insights em sua lista de software como serviço (SaaS) do AWS Marketplace.

Para configurar o AWS Marketplace Vendor Insights em sua listagem de SaaS

  1. Criar um perfil de segurança.

  2. (Opcional) Upload de uma certificação.

  3. Fazer upload de uma autoavaliação.

  4. (Opcional) Habilitar avaliações automatizadas do AWS Audit Manager.

Criar um perfil de segurança

Um perfil de segurança fornece aos compradores uma visão detalhada da postura de segurança do seu produto de software. Um perfil de segurança usa fontes de dados associadas, incluindo autoavaliações, certificações e avaliações automatizadas do AWS Audit Manager.

nota

Você pode criar um número limitado de perfis de segurança. Para criar mais perfis de segurança, solicite um aumento de cota. Para obter mais informações, consulte Service Quotas do AWS em Referência geral da AWS.

Para criar um perfil de segurança

  1. Faça login usando um usuário ou perfil do IAM com acesso à conta do vendedor do AWS Marketplace.

  2. Escolha Produtos e selecione SaaS para navegar até a página Produtos de SaaS.

  3. Escolha um produto.

  4. Escolha a guia Vendor Insights e, em seguida, escolha Entrar em contato com suporte para adicionar o perfil de segurança.

  5. Preencha o formulário e escolha Enviar.

    A equipe de operações do vendedor do AWS Marketplace criará o perfil de segurança. Quando o perfil de segurança estiver pronto, será enviada uma mensagem de e-mail de notificação aos destinatários identificados no formulário.

Upload de uma certificação

Uma certificação é uma fonte de dados que fornece evidências da postura de segurança do seu produto em várias dimensões. AWS Marketplace O Vendor Insights é compatível com as seguintes certificações:

  • Certificação FedRAMP: valida a conformidade com os padrões de segurança na nuvem do governo dos EUA

  • Relatório de conformidade com o RGPD: demonstra a adesão aos requisitos do Regulamento Geral de Proteção de Dados (RGPD), protegendo os dados pessoais e os direitos individuais à privacidade

  • Relatório de conformidade com a HIPAA: demonstra a adesão aos regulamentos da Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA), protegendo as informações de saúde protegidas

  • Relatório de auditoria ISO/IEC 27001: confirma a conformidade com a Organização Internacional de Padronização (ISO)/Comissão Eletrotécnica Internacional (IEC) 27001, enfatizando os padrões de segurança da informação

  • Relatório de auditoria do PCI DSS: demonstra conformidade com os padrões de segurança definidos pelo PCI Security Standards Council

  • Relatório de auditoria SOC 2 tipo 2: confirma a conformidade com os controles de privacidade e segurança de dados do Service Organizational Control (SOC)

Para fazer upload de uma certificação

  1. Na guia Vendor Insights, navegue até a seção Fontes de dados.

  2. Em Certificações, escolha Carregar certificação.

  3. Em Detalhes da certificação, forneça as informações solicitadas e faça o upload da certificação.

  4. (Opcional) Em Tags, adicione novas tags.

    nota

    Para obter informações sobre tags, consulte Marcar os recursos da AWS com tags no Guia do usuário para marcar recursos da AWS com tags.

  5. Escolha Carregar certificação.

    nota

    A certificação é associada automaticamente ao perfil de segurança atual. Você também pode associar certificações que você já enviou. Na página de detalhes do produto, escolha Associar certificação em Certificações, selecione uma certificação na lista e escolha Associar certificação.

    Depois de fazer o upload da certificação, você pode baixá-la usando o botão Baixar certificação na página de detalhes do produto. Você também pode atualizar os detalhes da certificação usando o botão Atualizar certificação.

    O status da certificação muda para ValidationPending até que os detalhes da certificação sejam validados. Um status alternativo aparece durante e após o processamento da fonte de dados:

    • Disponível: a fonte de dados foi carregada e as validações do sistema foram concluídas com êxito.

    • AccessDenied: a referência da fonte externa da fonte de dados não está mais acessível para leitura do AWS Marketplace Vendor Insights.

    • ResourceNotFound: a referência da fonte externa da fonte de dados não está mais disponível para leitura pelo Vendor Insights.

    • ResourceNotSupported: a fonte de dados foi carregada, mas a fonte fornecida ainda não é suportada. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

    • ValidationPending: a fonte de dados foi carregada, mas as validações do sistema ainda estão em execução. Não há nenhum item de ação para você neste estágio. O status é atualizado para Disponível, ResourceNotSupported ou ValidationFailed.

    • ValidationFailed: a fonte de dados foi carregada, mas a validação do sistema falhou por um ou mais motivos. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

Fazer upload de uma autoavaliação

Uma autoavaliação é um tipo de fonte de dados que fornece evidências da postura de segurança do seu produto. AWS Marketplace O Vendor Insights é compatível com as seguintes autoavaliações:

  • Autoavaliação do AWS Marketplace Vendor Insights

  • Questionário da Iniciativa de Avaliação de Consenso (CAIQ). Para obter mais informações, consulte O que é o CAIQ, no site da Cloud Security Alliance.

Para fazer upload de uma autoavaliação

  1. Abra o console do AWS Marketplace em https://console.aws.amazon.com/marketplace.

  2. Na guia Vendor Insights, navegue até a seção Fontes de dados.

  3. Em Autoavaliações, escolha Carregar autoavaliação.

  4. Em Detalhes da autoavaliação, preencha as seguintes informações:

    1. Nome: insira um nome para a autoavaliação.

    2. Tipo: escolha um tipo de avaliação na lista.

      nota

      Se você escolheu Autoavaliação de segurança do Vendor Insights, escolha Baixar modelo para baixar a autoavaliação. Escolha Sim, Não ou N/A para cada resposta na planilha.

  5. Para fazer upload da avaliação concluída, escolha Fazer upload da autoavaliação.

  6. (Opcional) Em Tags, adicione novas tags.

    nota

    Para obter informações sobre tags, consulte Marcar os recursos da AWS com tags no Guia do usuário para marcar recursos da AWS com tags.

  7. Escolha Carregar autoavaliação.

    nota

    A autoavaliação é associada automaticamente ao perfil de segurança atual. Você também pode associar autoavaliações que já enviou. Na página de detalhes do produto, escolha Associar autoavaliação em Autoavaliações, selecione uma autoavaliação na lista e escolha Associar autoavaliação.

    Depois de fazer o upload de uma autoavaliação, você pode baixá-la usando o botão Baixar autoavaliação na página de detalhes do produto. Você também pode atualizar os detalhes da autoavaliação usando o botão Atualizar autoavaliação.

    O status é atualizado para um dos seguintes:

    • Disponível: a fonte de dados foi carregada e as validações do sistema foram concluídas com êxito.

    • AccessDenied: a referência da fonte externa da fonte de dados não está mais disponível para leitura pelo Vendor Insights.

    • ResourceNotFound: a referência da fonte externa da fonte de dados não está mais disponível para leitura pelo Vendor Insights.

    • ResourceNotSupported: a fonte de dados foi carregada, mas a fonte fornecida ainda não é suportada. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

    • ValidationPending: a fonte de dados foi carregada, mas as validações do sistema ainda estão em execução. Não há nenhum item de ação para você neste estágio. O status é atualizado para Disponível, ResourceNotSupported ou ValidationFailed.

    • ValidationFailed: a fonte de dados foi carregada, mas a validação do sistema falhou por um ou mais motivos. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

Habilitar avaliações automatizadas do AWS Audit Manager

O AWS Marketplace Vendor Insights usa vários Serviços da AWS para coletar automaticamente evidências para seu perfil de segurança.

Você precisa dos seguintes Serviços da AWS e dos recursos para avaliações automatizadas:

  • AWS Audit Manager: para simplificar a configuração do AWS Marketplace Vendor Insights, usamos Stacks e StackSets do CloudFormation, que cuidam do provisionamento e configuração dos recursos necessários. O conjunto de pilhas cria uma avaliação automatizada contendo controles que são preenchidos automaticamente pelo AWS Config.

    Para obter mais informações sobre o AWS Audit Manager, consulte o Guia do usuário do AWS Audit Manager.

  • AWS Config: o conjunto de pilhas implanta um pacote de conformidade do AWS Config para configurar as regras necessárias do AWS Config. Essas regras permitem que a avaliação automatizada do Audit Manager reúna evidências ao vivo de outros Serviços da AWS implantados nessa Conta da AWS. Para obter mais informações sobre os recursos do AWS Config, consulte o Guia do desenvolvedor do AWS Config.

    nota

    Você pode notar um aumento na atividade em sua conta durante o registro do mês inicial com o AWS Config em comparação com os meses subsequentes. Durante o processo inicial de bootstrapping, o AWS Config revisa todos os recursos na conta que você selecionou para o AWS Config registrar.

    Se você executar workloads efêmeras, poderá observar um aumento na atividade do AWS Config conforme ele registra as alterações de configuração associadas à criação e exclusão desses recursos temporários. Workload efêmera refere-se ao uso temporário de recursos de computação que são carregados e executados quando necessário.

    Exemplos de workloads efêmeras incluem instâncias spot do Amazon Elastic Compute Cloud (Amazon EC2), trabalhos do Amazon EMR, AWS Auto Scaling e AWS Lambda. Para evitar o aumento da atividade decorrente da execução de workloads efêmeras, você pode executar esses tipos de workload em uma conta separada com o AWS Config desabilitado. Essa abordagem evita o aumento do registro de configurações e das avaliações de regras.

  • Amazon S3: o conjunto de pilhas cria estes dois buckets do Amazon Simple Storage Service:

    • vendor-insights-stack-set-output-bucket-{número da conta}: esse bucket contém saídas da execução do conjunto de pilhas. A equipe de operações do vendedor do AWS Marketplace usa os resultados para concluir o processo automatizado de criação da fonte de dados.

    • vendor-insights-assessment-reports-bucket-{número da conta}: o AWS Audit Manager publica relatórios de avaliação neste bucket do Amazon S3. Para obter mais informações sobre a publicação de relatórios de avaliação, consulte Relatórios de avaliação no Guia do usuário do AWS Audit Manager.

      Para obter mais informações sobre os recursos do Amazon S3, consulte o Guia do usuário da Amazon S3.

  • IAM: o conjunto de pilhas de integração provisiona os seguintes perfis do AWS Identity and Access Management (IAM) em sua conta:

    • Quando o modelo VendorInsightsPrerequisiteCFT.yml é implantado, ele cria a função de administrador AWSVendorInsightsOnboardingStackSetsAdmin e a função de execução AWSVendorInsightsOnboardingStackSetsExecution. O conjunto de pilhas usa a função de administrador para implantar as pilhas necessárias em várias Regiões da AWS simultaneamente. A função de administrador assume a função de execução para implantar as pilhas principais e aninhadas necessárias como parte do processo de configuração do AWS Marketplace Vendor Insights. Para obter mais informações sobre permissões autogerenciadas, consulte Conceder permissões autogerenciadas no Guia do usuário do CloudFormation.

    • A função AWSVendorInsightsRole fornece ao AWS Marketplace Vendor Insights acesso para ler as avaliações nos recursos do AWS Audit Manager. AWS Marketplace O Vendor Insights exibe as evidências encontradas nas avaliações em seu perfil do AWS Marketplace Vendor Insights.

    • AWSVendorInsightsOnboardingDelegationRole fornece ao AWS Marketplace Vendor Insights acesso para listar e ler objetos no bucket vendor-insights-stack-set-output-bucket. Esse recurso permite que a equipe de operações do catálogo do AWS Marketplace ajude você a configurar um perfil do AWS Marketplace Vendor Insights.

    • A função AWSAuditManagerAdministratorAccess fornece acesso administrativo para habilitar ou desabilitar AWS Audit Manager, atualizar configurações e gerenciar avaliações, controles e estruturas. Você ou sua equipe podem assumir essa função para realizar ações para avaliações automatizadas no AWS Audit Manager.

Para permitir avaliações automatizadas do AWS Audit Manager, você deve implantar as pilhas de integração.

Implantar as pilhas de integração

Para simplificar a configuração do AWS Marketplace Vendor Insights, usamos Stacks e StackSets do CloudFormation, que cuidam do provisionamento e configuração dos recursos necessários. Se você tiver uma solução de SaaS com várias contas ou várias Região da AWS, os StackSets permitem que você implante as pilhas de integração a partir de uma conta de gerenciamento central.

Para obter mais informações sobre o CloudFormation StackSets, consulte Trabalhar com o StackSets do CloudFormation no Guia do usuário do AWS CloudFormation.

A configuração do AWS Marketplace Vendor Insights exige que você use os seguintes modelos do CloudFormation:

  • VendorInsightsPrerequisiteCFT: configura a função e as permissões de administrador necessárias para executar o CloudFormation StackSets em sua conta. Crie essa pilha na sua conta de vendedor.

  • VendorInsightsOnboardingCFT: configura os Serviços da AWS necessários e configura as permissões apropriadas do IAM. Essas permissões permitem que o AWS Marketplace Vendor Insights reúna dados do produto de SaaS em execução no Contas da AWS e exiba os dados no seu perfil do AWS Marketplace Vendor Insights. Crie essa pilha na sua conta de vendedor e nas contas de produção que hospedam sua solução de SaaS por meio do StackSets.

Crir a pilha VendorInsightsPrerequisiteCFT

Ao executar a pilha VendorInsightsPrerequisiteCFT do CloudFormation, você configura as permissões do IAM para começar a integrar conjuntos de pilhas.

Para criar a pilha VendorInsightsPrerequisiteCFT

  1. Analise e baixe o arquivo VendorInsightsPrerequisiteCFT.yml mais recente do Repositório de exemplos da AWS para o Vendor Insights no site do GitHub.

  2. Faça login no Console de gerenciamento da AWS usando sua conta de vendedor do AWS Marketplace e abra o console do CloudFormation em https://console.aws.amazon.com/cloudformation.

  3. No painel de navegação do console do CloudFormation, escolha Pilhas e, em seguida, escolha Criar pilha e Com novos recursos (padrão) no menu suspenso. (Se o painel de navegação não estiver visível, no canto superior esquerdo, selecione e expanda o painel de navegação.)

  4. Em Especificar modelo, escolha Fazer upload de um arquivo de modelo. Para carregar o arquivo VendorInsightsPrerequisiteCFT.yml que você baixou, use Escolher arquivo. Em seguida, escolha Próximo.

  5. Insira um nome para a pilha e escolha Avançar.

  6. (Opcional) Configure as opções de pilha conforme desejar.

    Escolha Próximo.

  7. Na página Analisar, examine suas escolhas. Para fazer as alterações, escolha Editar na área em que você deseja alterar. Antes de criar a pilha, você deve marcar as caixas de seleção de confirmação na área Capacidades.

    Selecione Enviar.

  8. Depois que a pilha for criada, escolha a guia Recursos e anote as seguintes funções que são criadas:

    • AWSVendorInsightsOnboardingStackSetsAdmin

    • AWSVendorInsightsOnboardingStackSetsExecution

Criar o conjunto de pilhas VendorInsightsOnboardingCFT

Ao executar o conjunto de pilhas VendorInsightsOnboardingCFT do CloudFormation, você configura os Serviços da AWS necessários e configura as permissões apropriadas do IAM. Isso permite que o AWS Marketplace Vendor Insights reúna dados do produto de SaaS em execução no Conta da AWS e os exiba no seu perfil do AWS Marketplace Vendor Insights.

Se você tiver uma solução de várias contas ou se tiver contas de vendedor e de produção separadas, deverá implantar essa pilha em várias contas. Os StackSets permitem que você faça isso a partir da conta de gerenciamento na qual você criou a pilha de pré-requisitos.

O conjunto de pilhas é implantado usando permissões autogerenciadas. Para obter mais informações, consulte Criar um conjunto de pilhas com permissões autogerenciadas no Guia do usuário do AWS CloudFormation.

Para criar o conjunto de pilhas VendorInsightsOnboardingCFT

  1. Analise e baixe o arquivo VendorInsightsOnboardingCFT.yml mais recente do Repositório de exemplos da AWS para o Vendor Insights no site do GitHub.

  2. Faça login no Console de gerenciamento da AWS usando sua conta de vendedor do AWS Marketplace e abra o console do CloudFormation em https://console.aws.amazon.com/cloudformation.

  3. No painel de navegação do console do CloudFormation, escolha Criar StackSet. (Se o painel de navegação não estiver visível, no canto superior esquerdo, selecione e expanda o painel de navegação.)

  4. Em Permissões, para a função de administrador, escolha o Nome do perfil do IAM e, em seguida, escolha AWSVendorInsightsOnboardingStacksetsAdmin como nome da função no menu suspenso.

  5. Insira AWSVendorInsightsOnboardingStackSetsExecution como Nome da função de execução do IAM.

  6. Em Especificar modelo, escolha Fazer upload de um arquivo de modelo. Para carregar o arquivo VendorInsightsOnboardingCFT.yml que você baixou, use Escolher arquivo e escolha Avançar.

  7. Forneça os seguintes parâmetros do StackSet e escolha Avançar.

    • CreateVendorInsightsAutomatedAssessment: este parâmetro configura a avaliação automatizada do AWS Audit Manager na sua Conta da AWS. Se você tiver contas de gerenciamento e de produção separadas, essa opção deverá ser selecionada somente para contas de produção e não para a conta de gerenciamento.

    • CreateVendorInsightsIAMRoles: esse parâmetro provisiona um perfil do IAM que permite que o AWS Marketplace Vendor Insights leia os dados de avaliação na sua Conta da AWS.

    • PrimaryRegion: esse parâmetro define a Região da AWS primária para sua implantação de SaaS. Esta é a região onde o bucket do Amazon S3 é criado na Conta da AWS. Se seu produto de SaaS for implantado em apenas uma região, essa região será a região principal.

  8. Configure as opções do StackSet como quiser. Mantenha a configuração de Execução como Inativa e escolha Avançar.

  9. Configure as opções de implantação. Se você tiver uma solução de várias contas, poderá configurar o conjunto de pilhas para ser implantado em várias contas e regiões como uma única operação. Escolha Próximo.

    nota

    Se você tiver uma solução para várias contas, não recomendamos implantá-la em todas as contas como um único conjunto de pilhas. Preste muita atenção aos parâmetros definidos na etapa 7. Talvez você queira habilitar ou desabilitar alguns parâmetros, dependendo do tipo de conta em que você está implantando. Os StackSets aplicam os mesmos parâmetros a todas as contas especificadas em uma única implantação. Você pode reduzir o tempo de implantação agrupando contas em um conjunto de pilhas, mas ainda precisa implantar várias vezes para uma solução de várias contas.

    Importante

    Se você estiver implantando em várias regiões, a primeira região que listar deve ser a PrimaryRegion. Deixe a opção Concorrência de região como a configuração padrão de Sequencial.

  10. Na página Analisar, examine suas escolhas. Para fazer as alterações, escolha Editar na área em que você deseja alterar. Antes de criar o conjunto de pilhas, você deve marcar a caixa de seleção de confirmação na área Capacidades.

    Selecione Enviar.

    O conjunto de pilhas leva cerca de cinco minutos por região para ser concluído.