主题 2：通过安全管线管理不可变基础设施 - AWS 规范性指导
相关最佳实践实现此主题监控此主题

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

主题 2：通过安全管线管理不可变基础设施

涵盖八大要点策略

应用程序控制、修补应用程序、修补操作系统

对于不可变的基础架构，您必须保护部署管道以进行系统更改。 AWS 杰出工程师Colm MacCárthaigh在2022年re: Invent会议上的 “零权限操作：在不访问数据的情况下运行服务”（YouTube视频）演示中解释了这一原则。 AWS

通过限制对配置 AWS 资源的直接访问，您可以要求通过经批准的、安全的自动化管道来部署或更改所有资源。通常，您可以创建 AWS Identity and Access Management （IAM）策略以允许用户仅访问托管部署管线的账户。您还可以配置 IAM 策略，以允许有限数量的用户进行紧急访问。为防止手动更改，您可以使用安全组阻止对服务器的 SSH 和 Windows 远程桌面协议（RDP）访问。会话管理器是一项功能 AWS Systems Manager，可以提供对实例的访问权限，而无需打开入站端口或维护堡垒主机。

亚马逊机器映像（AMI）和容器映像必须安全且可重复构建。对于 Amazon EC2 实例，您可以使用 EC2 Image Builder 来构建 AMIs 具有内置安全功能（例如实例发现、应用程序控制和日志记录）的实例。有关应用程序控制的更多信息，请参阅 ACSC 网站上的实现应用程序控制。您也可以使用 Image Builder 来构建容器映像，且可以使用 Amazon Elastic Container Registry（Amazon ECR）跨账户共享这些映像。中央安全团队可以批准构建这些镜像 AMIs 和容器镜像的自动流程，以便应用程序团队批准使用生成的任何 AMI 或容器映像。

必须使用 AWS CloudFormation 或 AWS Cloud Development Kit (AWS CDK) 等服务在基础设施即代码（IaC）中定义应用程序。代码分析工具 AWS CloudFormation Guard，例如 cfn-nag 或 cdk-nag，可以根据您批准的管道中的安全最佳实践自动测试代码。

与主题 1：使用托管服务一样，Amazon Inspector 可以报告您 AWS 账户中的漏洞。集中的云和安全团队可以使用此信息，来验证应用程序团队是否满足安全性和合规性要求。

要监控和报告合规性，请持续审查 IAM 资源和日志。使用 AWS Config 规则确保只使用经批准 AMIs 的资源，并确保将 Amazon Inspector 配置为扫描 Amazon ECR 资源中是否存在漏洞。

Well-Architecte AWS d Framework 中的相关最佳实践

实现此主题

实施 AMI 和容器构建管线

实施安全的应用程序构建管线

实施漏洞扫描

监控此主题

持续监控 IAM 和日志

  • 定期查看您的 IAM 策略，以确保：

    • 只有部署管线可以直接访问资源

    • 只有经批准的服务才能直接访问数据

    • 用户没有直接访问资源或数据的权限。

  • 监控 AWS CloudTrail 日志以确认用户正在通过管道修改资源，而不是直接修改资源或访问数据

  • 定期查看 IAM 访问权限分析器调查发现

  • 设置提醒，以便在 AWS 账户 的根用户凭证被使用时通知您。

实施以下 AWS Config 规则

  • APPROVED_AMIS_BY_ID

  • APPROVED_AMIS_BY_TAG

  • ECR_PRIVATE_IMAGE_SCANNING_ENABLED