部署公有子網路的預防性屬性型存取控制

Joel Alfredo Nunez Gonzalez 和 Samuel Ortega Sancho，Amazon Web Services

Summary

在集中式網路架構中，檢查和邊緣虛擬私有雲端 (VPCs) 會集中所有傳入和傳出流量，例如往返網際網路的流量。不過，這可能會產生瓶頸，或導致達到 AWS 服務配額的限制。與更常見、集中的方法相比，在其 VPCs中的工作負載中部署網路邊緣安全性可提供前所未有的可擴展性。這稱為分散式邊緣架構。

雖然在工作負載帳戶中部署公有子網路可以帶來好處，但它也會帶來新的安全風險，因為它會增加攻擊面。我們建議您僅在這些 VPCs 的公有子網路中部署 Elastic Load Balancing (ELB) 資源，例如 Application Load Balancer 或 NAT 閘道。在專用公有子網路中使用負載平衡器和 NAT 閘道，可協助您針對傳入和傳出流量實作精細的控制。

屬性型存取控制 (ABAC) 是根據使用者屬性建立精細許可的做法，例如部門、任務角色和團隊名稱。如需詳細資訊，請參閱 ABAC for AWS。ABAC 可以為工作負載帳戶中的公有子網路提供防護機制。這有助於應用程式團隊保持敏捷，而不會影響基礎設施的安全性。

此模式說明如何透過 AWS Organizations 中的服務控制政策 (SCP) 和 AWS Identity and Access Management (IAM) 中的政策來實作 ABAC，以協助保護公有子網路的安全。 AWS Organizations 您可以將 SCP 套用到組織的成員帳戶或組織單位 (OU)。這些 ABAC 政策允許使用者在目標子網路中部署 NAT 閘道，並防止他們部署其他 Amazon Elastic Compute Cloud (Amazon EC2) 資源，例如 EC2 執行個體和彈性網路介面。  

先決條件和限制

先決條件

限制

架構

目標技術堆疊

目標架構

自動化和擴展

為了協助保護公有子網路，必須套用對應的 AWS 標籤。套用 SCP 後，NAT 閘道是授權使用者可在具有 SubnetType:IFA標籤的子網路中建立的唯一 Amazon EC2 資源類型。(IFA 表示面向網際網路的資產。) SCP 可防止建立其他 Amazon EC2 資源，例如執行個體和彈性網路介面。我們建議您使用擔任該AutomationAdminRole角色的 CI/CD 管道來建立 VPC 資源，以便將這些標籤正確套用至公有子網路。

工具

AWS 服務

史詩

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:root"
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

相關資源

AWS 文件

其他 AWS 參考

其他資訊

下列服務控制政策是您可以用來在組織中測試此方法的範例。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyVPCActions",
      "Effect": "Deny",
      "Action": [
        "ec2:CreateVPC",
        "ec2:CreateRoute",
        "ec2:CreateSubnet",
        "ec2:CreateInternetGateway",
        "ec2:DeleteVPC",
        "ec2:DeleteRoute",
        "ec2:DeleteSubnet",
        "ec2:DeleteInternetGateway"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:*"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "AllowNATGWOnIFASubnet",
      "Effect": "Deny",
      "NotAction": [
        "ec2:CreateNatGateway",
        "ec2:DeleteNatGateway"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:subnet/*"
      ],
      "Condition": {
        "ForAnyValue:StringEqualsIfExists": {
          "aws:ResourceTag/SubnetType": "IFA"
        },
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "DenyChangesToAdminRole",
      "Effect": "Deny",
      "NotAction": [
        "iam:GetContextKeysForPrincipalPolicy",
        "iam:GetRole",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListInstanceProfilesForRole",
        "iam:ListRolePolicies",
        "iam:ListRoleTags"
      ],
      "Resource": [
        "arn:aws:iam::*:role/AutomationAdminRole"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    }
  ]
}