使用以下方法为公共子网部署基于侦探属性的访问控制 AWS Config

Alberto Menendez，Amazon Web Services

Summary

分布式边缘网络架构依赖于与其虚拟私有云中的工作负载一起运行的网络边缘安全（VPCs）。与更常见的集中式方法相比，此方法的可扩展性无可比拟。尽管在工作负载账户中部署公有子网可以带来好处，但它也会带来新的安全风险，因为它增加了攻击面。我们建议您仅在这些资源的公有子网中部署 Elastic Load Balancing 资源，例如应用程序负载均衡器或 NAT 网关。 VPCs在专用公有子网中使用负载均衡器和 NAT 网关有助于实现对入站和出站流量的精细控制。

我们建议您同时实施预防性控件和检测性控件，以限制可在公有子网中部署的资源类型。有关使用基于属性的访问权限控制（ABAC）为公有子网部署预防性控件的更多信息，请参阅为公有子网部署预防性的基于属性的访问权限控制。尽管这些预防性控件对大多数情况都有效，但可能无法处理所有可能的使用案例。因此，此模式以 ABAC 方法为基础，可帮助您配置提醒，就部署在公有子网中的不合规资源发出提醒。该解决方案检查弹性网络接口是否属于公有子网中不允许使用的资源。

为此，此模式使用 AWS Config 自定义规则和 ABAC。无论何时创建或修改弹性网络接口的配置，自定义规则都会对其进行处理。简而言之，此规则会执行两个操作，以来确定网络接口是否合规：

先决条件和限制

先决条件

架构

目标架构

下图说明了以下内容：

Lambda 函数评估逻辑

下图显示了 Lambda 函数用于评估弹性网络接口的合规性的逻辑。

自动化和扩展

此模式是一种检测性解决方案。您还可以使用修复规则对其进行补充，以自动解决任何不合规的资源。有关更多信息，请参阅使用规则修复不合规的 AWS Config 资源。

您可以通过以下方式扩展此解决方案：

工具

最佳实践

有关开发自定义 AWS Config 规则的更多示例和最佳实践，请参阅上的官方AWS Config 规则存储库 GitHub。

操作说明

相关资源

AWS 文档

其他 AWS 资源

附加信息

以下是一个 Lambda 函数示例，仅用于演示目的。

import boto3
import json
import os

# Init clients
config_client = boto3.client('config')
ec2_client = boto3.client('ec2')

def lambda_handler(event, context):

    # Init values
    compliance_value = 'NOT_APPLICABLE'
    invoking_event = json.loads(event['invokingEvent'])
    configuration_item = invoking_event['configurationItem']
    
    status = configuration_item['configurationItemStatus']
    eventLeftScope = event['eventLeftScope']

    # First check if the event configuration applies. Ex. resource event is not delete
    if (status == 'OK' or status == 'ResourceDiscovered') and not eventLeftScope:
        compliance_value = evaluate_change_notification_compliance(configuration_item)
    
    
    config_client.put_evaluations(
       Evaluations=[
           {
               'ComplianceResourceType': invoking_event['configurationItem']['resourceType'],
               'ComplianceResourceId': invoking_event['configurationItem']['resourceId'],
               'ComplianceType': compliance_value,
               'OrderingTimestamp': invoking_event['configurationItem']['configurationItemCaptureTime']
           },
       ],
       ResultToken=event['resultToken'])
    
# Function with the logs to evaluate the resource
def evaluate_change_notification_compliance(configuration_item):
    is_in_scope = is_in_scope_subnet(configuration_item['configuration']['subnetId'])
    
    if (configuration_item['resourceType'] != 'AWS::EC2::NetworkInterface') or not is_in_scope:
        return 'NOT_APPLICABLE'

    else:
        alb_condition = configuration_item['configuration']['requesterId'] in ['amazon-elb']
        nlb_condition = configuration_item['configuration']['interfaceType'] in ['network_load_balancer']
        nat_gateway_condition = configuration_item['configuration']['interfaceType'] in ['nat_gateway']

        if alb_condition or nlb_condition or nat_gateway_condition:
            return 'COMPLIANT'
    return 'NON_COMPLIANT'

# Function to check if elastic network interface is in public subnet
def is_in_scope_subnet(eni_subnet):

    subnet_description = ec2_client.describe_subnets(
        SubnetIds=[eni_subnet]
    )

    for subnet in subnet_description['Subnets']:
        for tag in subnet['Tags']:
            if tag['Key'] == os.environ.get('TAG_KEY') and tag['Value'] == os.environ.get('TAG_VALUE'):
                return True
    
    return False