AWS Config-IAM-Compliance

Dieser Blog ist Teil der Reihe, in der wir DevOps -Konzepte von Ground Zero für ein Publikum diskutieren, das über begrenzte Grundkenntnisse verfügt. Dieser Artikel gehört zur Expert-Level- Reihe, da es darum geht, die Funktionsweise des A WS Config Cloud-Dienstes zu verstehen, um die Sicherheitskonformität AWS IAM sicherzustellen .

Einige der früheren Blogs in der Cloud-Serie sind wie folgt.

TweetBot Azure Functions-GitHub Actions Incident Bot

Was ist AWS IAM?

IAM steht für Identity and Access Management Service, das Rückgrat für den Zugriff auf AWS-Konten mit den richtigen Rollen, Identitäten, Gruppen und Richtlinien . Diese Identitäten sind vielfältig – menschlicher Zugriff für Konsole/CLI, Dienstkonten, die für die Automatisierung durch AWS SDK verwendet werden, an AWS-Services angehängte Rollen für den Zugriff auf andere Anwendungsfälle von AWS-Services für Unternehmen. Angesichts der Natur des Risikos der Offenlegung von Passwörtern ist die Anwendung einer Catch-All-Zugriffsrichtlinie – Sicherheitsautomatisierung rund um AWS IAM – sowohl für kleine Startups als auch für multinationale Unternehmen von großer Bedeutung.

Was ist AWS Config?

AWS Config wird verwendet, um ausgewählte Ressourcen im angegebenen AWS-Konto durch einige vordefinierte (von AWS bereitgestellt) oder benutzerdefinierte Richtlinien ( Ausführung von AWS Lambda ) zu prüfen, darauf zuzugreifen und sie zu konfigurieren. Zusätzlich zur Überwachung können die Ressourcen-Korrekturregeln mithilfe manueller/automatisierter Pipelines definiert werden. Config reduziert die Notwendigkeit einer manuellen Augapfelüberwachung und dieselben Regeln können auf mehrere AWS-Services/Konten/Geschäftsdomänen ausgedehnt werden.

IAM-Compliance-Anwendungsfälle

Einige der häufigsten IAM-Compliance-Anwendungsfälle, die wir in diesem Blog mithilfe von Terraform automatisieren werden, sind:

i) Root-Benutzerschlüsselprüfung – Diese Richtlinie prüft, ob ein Zugriffsschlüssel für den Root-Benutzer generiert wird. Ein Root-Benutzer ist ein Superadministrator für das AWS-Konto, der Administratorzugriff auf alle Dienste im Konto hat und das höchste Risiko einer Gefährdung aufweist.

ii) MFA-aktivierte Konten – Diese Richtlinie prüft, ob alle Benutzer im AWS-Konto über eine Multi-Faktor-Authentifizierung über ein sekundäres Gerät verfügen, bei dem es sich nicht um Passwörter handelt, die für ihre Konten aktiviert sind.

iii) MFA für Konsole aktiviert – Teilmenge von Richtlinie 3, nur für Benutzer, die ein Konsolenkennwort aktiviert haben.

iv) Nicht verwendete IAM -Anmeldeinformationen – Diese Richtlinie prüft, ob es nicht verwendete Zugriffsschlüssel gibt, die für eine definierte Anzahl von X Tagen in der Richtlinie nicht verwendet wurden (Standard 90 Tage).

Überblick über AWS Config-Automatisierung

Legende

1–2 Richten Sie AWS Config-Richtlinien mithilfe der Terraform-Module von aws_providers in der HashiCorp- Community ein.
2–3 Regelmäßige Trigger in stündlichen Intervallen, um nach Konfigurationsänderungen an IAM-Ressourcen zu suchen.
3–4 Erfassen von Protokollen, Snapshots aus dem Ausführungsverlauf im AWS S3-Bucket .
3–5 AWS IAM-Ressourcen, die die oben genannten Richtlinien erfüllen, wurden als konform gekennzeichnet.
3–6 AWS IAM-Ressourcen, die die oben genannten Richtlinien erfüllen, wurden als nicht konform markiert.
6–7 Nicht konforme Ressourcen, die zur manuellen Behebung markiert sind .
6–8 Nicht konforme Ressourcen, die für die automatische Behebung gekennzeichnet sind .

Hinweis – Wir werden 6–8 in einem anderen Blog behandeln, da Terraform einige Einschränkungen bei der Verwendung eines anderen Automatisierungstools hat

AWS Config Terraform-Automatisierung

Installieren von Terraform

Verwenden von Schritten im angegebenen Blog —https://blog.devgenius.io/public-cloud-first-static-website-7d6f7c6f794

Module erstellen

Verwenden Sie die folgende main.tf- Konfiguration

Laufende Module

Initialising Modules
terraform init
Planning Modules
terraform plan
Applying Modules
terraform apply

Melden Sie sich bei der AWS-Konsole an, um Folgendes zu überprüfen

Einrichtung der AWS Config-Regeln

Einrichtung des AWS S3-Bereitstellungskanals

Zusätzliche Ressourcen

Für Feedback senden Sie bitte eine Nachricht an amit[dot]894[at]gmail[dot]com oder wenden Sie sich an einen der Links unter https://about.me/amit_raj .