Conformità AWS Config-IAM

Questo blog fa parte della serie in cui discutiamo dei concetti DevOps di Ground Zero per un pubblico con conoscenze iniziali limitate. Questo articolo fa parte della serie Expert-Level poiché implica la comprensione del funzionamento del servizio A WS Config Cloud per garantire la conformità della sicurezza AWS IAM .

Alcuni dei blog precedenti della serie Cloud sono i seguenti.

TweetBot Funzioni di Azure-GitHub Actions Bot incidente

Che cos'è AWS IAM?

IAM sta per Identity and Access Management Service, la spina dorsale per l'accesso agli account AWS utilizzando il giusto set di ruoli, identità, gruppi e policy . Queste identità sono varie: accesso umano per console/cli, account di servizio utilizzati per l'automazione tramite AWS SDK , ruoli collegati ai servizi AWS per l'accesso ad altri servizi AWS per casi d'uso aziendali. Data la natura del rischio di esporre le password, l'applicazione di una policy di accesso catch-all: l'automazione della sicurezza attorno ad AWS IAM è molto importante sia per le piccole startup che per le multinazionali aziendali.

Che cos'è AWS Config?

AWS Config viene utilizzato per l'audit, l'accesso e la configurazione di risorse selezionate nell'account AWS specificato tramite alcune policy predefinite ( fornite da AWS) o personalizzate ( esecuzione di AWS Lambda ). Oltre al controllo, le regole di riparazione delle risorse possono essere definite utilizzando pipeline manuali o automatizzate. Config riduce la necessità del monitoraggio manuale del bulbo oculare e le stesse regole possono essere estese a più servizi/account/domini aziendali AWS.

Casi d'uso di conformità IAM

Alcuni dei casi d'uso di conformità IAM più comuni che automatizzeremo utilizzando Terraform in questo blog sono

i) Controllo della chiave dell'utente root: questa politica verifica se viene generata una chiave di accesso per l' utente root. Un utente root è un super amministratore dell'account AWS che ha accesso come amministratore a tutti i servizi nell'account e il rischio più elevato di esposizione vulnerabile.

ii) Account abilitati per MFA : questa policy verifica se tutti gli utenti nell'account AWS dispongono dell'autenticazione a più fattori tramite un dispositivo secondario diverso dalle password abilitate sui propri account.

iii) MFA Enabled for Console- Subset of Policy 3, solo per gli utenti che hanno abilitato una password per la console.

iv) Credenziali IAM inutilizzate : questa policy verifica la presenza di chiavi di accesso non utilizzate che non sono state utilizzate per un numero X di giorni definito nella policy (impostazione predefinita 90 giorni)

Panoramica sull'automazione di AWS Config

Leggenda

1–2 Configura le politiche di AWS Config utilizzando i moduli Terraform di aws_providers nella comunità HashiCorp .
2–3 Trigger periodici a intervalli orari per verificare la presenza di modifiche alla configurazione sulle risorse IAM.
3–4 Acquisisci log, snapshot dalla cronologia di esecuzione in AWS S3 Bucket .
3–5 Risorse AWS IAM che soddisfano le politiche di cui sopra contrassegnate come conformi.
3–6 Risorse AWS IAM che soddisfano le policy di cui sopra contrassegnate come non conformi.
6–7 Risorse non conformi contrassegnate per la correzione manuale .
6–8 Risorse non conformi contrassegnate per la correzione automatica .

Nota : tratteremo 6–8 in un altro blog a causa di alcune limitazioni su Terraform utilizzando un altro strumento di automazione

AWS Config Terraform Automation

Installazione di Terraform

Utilizzo dei passaggi nel blog specificato —https://blog.devgenius.io/public-cloud-first-static-website-7d6f7c6f794

Creazione di moduli

Utilizzando la seguente configurazione main.tf

Moduli in esecuzione

Initialising Modules
terraform init
Planning Modules
terraform plan
Applying Modules
terraform apply

Accedi alla Console AWS per verificare quanto segue

Configurazione delle regole di AWS Config

Configurazione del canale di consegna AWS S3

Risorse addizionali

Per feedback, invia un messaggio a amit[dot]894[at]gmail[dot]com o contatta uno qualsiasi dei link su https://about.me/amit_raj .