Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Isolieren Sie Daten von Ihren eigenen Bedienern
[Das](https://docs.aws.amazon.com/whitepapers/latest/security-design-of-aws-nitro-system/no-aws-operator-access.html) Nitro-System hat keinen Bedienerzugriff. AWS Es gibt keinen Mechanismus, mit dem sich ein AWS System oder eine Person bei Amazon EC2 Nitro-Hosts anmelden, auf den Speicher von EC2-Instances zugreifen oder auf Kundendaten zugreifen kann, die auf lokal verschlüsselten Instance-Speichern oder fernverschlüsselten Amazon EBS-Volumes gespeichert sind.
Bei der Verarbeitung hochsensibler Daten könnten Sie erwägen, den Zugriff auf diese Daten einzuschränken, indem Sie selbst Ihre eigenen Bediener am Zugriff auf die EC2-Instance hindern.
Sie können benutzerdefinierte Attestable erstellen, die so konfiguriert sind AMIs , dass sie eine isolierte Computerumgebung bereitstellen. Die AMI-Konfiguration hängt von Ihrer Workload und Ihren Anwendungsanforderungen ab. Beachten Sie diese bewährten Methoden, wenn Sie Ihr AMI zum Erstellen einer isolierten Rechenumgebung erstellen.
+ **Entfernen Sie jeglichen interaktiven Zugriff**, um zu verhindern, dass Ihre Bediener oder Benutzer auf die Instance zugreifen.
+ **Stellen Sie sicher, dass nur vertrauenswürdige Software und vertrauenswürdiger Code** im AMI enthalten sind.
+ **Konfigurieren Sie eine Netzwerk-Firewall** innerhalb der Instance, um den Zugriff zu blockieren.
+ **Schreibgeschützten und unveränderlichen Status** für alle Speicher- und Dateisysteme sicherstellen.
+ **Beschränken Sie den Instance-Zugriff** auf authentifizierte, autorisierte und protokollierte API-Aufrufe.
# Attestable, die keinen interaktiven Zugriff haben AMIs , werden aktualisiert
Sobald Sie eine Instance mit einem AMI für eine isolierte Rechenumgebung gestartet haben, kann kein Benutzer oder Bediener eine Verbindung zu der Instance herstellen. Das bedeutet, dass es nach dem Start keine Möglichkeit gibt, Software auf der Instance zu installieren oder zu aktualisieren.
Wenn neue Software oder ein Softwareupdate erforderlich ist, müssen Sie ein neues attestierbares AMI erstellen, das die erforderliche Software oder Softwareupdates enthält. Verwenden Sie dann dieses AMI, um eine neue Instance zu starten oder um ein Root-Volume auf der ursprünglichen Instance zu ersetzen. Alle am AMI vorgenommenen Softwareänderungen führen dazu, dass ein neuer Hash generiert wird.
Die folgenden Maßnahmen führen zu einer Änderung der Referenzmessungen im NitroTPM-Attestierungsdokument:
+ Anhalten und Starten einer Instance, die mit einem attestierbaren AMI gestartet wurde
+ Einen Root-Volume-Ersatz mit einem anderen AMI durchführen
Wenn Sie eine dieser Aktionen durchführen, müssen Sie anschließend Ihren Attestierungsservice mit den neuen Referenzmessungen aktualisieren. Beispielsweise müssen Sie Ihre KMS-Schlüsselrichtlinie auf die neuen Referenzmessungen aktualisieren, wenn Sie diese AWS KMS für Bescheinigungen verwenden.
Eine Instance behält ihr NitroTPM-Schlüsselmaterial für den gesamten Instance-Lebenszyklus bei und setzt sie auch während des Austauschs von Root-Volumes stop/starts fort.