View a markdown version of this page

AWS Fargate Bundesstandard für die Informationsverarbeitung (FIPS-140) - Amazon Elastic Container Service
AWS Fargate FIPS-140 ÜberlegungenFIPS auf Fargate verwendenCloudTrail Für Fargate-Auditing FIPS-140 verwenden

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS Fargate Bundesstandard für die Informationsverarbeitung (FIPS-140)

Der Federal Information Processing Standard (FIPS-140) ist ein U.S Standard der kanadischen Regierung, der die Sicherheitsanforderungen für kryptografische Module zum Schutz vertraulicher Informationen festlegt. FIPS-140 definiert eine Reihe validierter Kryptografiefunktionen, die zum Verschlüsseln von Daten bei der Übertragung und Daten im Ruhezustand verwendet werden können.

Wenn Sie FIPS-140 Compliance aktivieren, können Sie Workloads auf Fargate auf eine Weise ausführen, die den Anforderungen entspricht. FIPS-140 Weitere Informationen zur FIPS-140 Einhaltung der Vorschriften finden Sie unter Federal Information Processing Standard (FIPS) 140-3.

AWS Fargate FIPS-140 Überlegungen

Beachten Sie Folgendes, wenn Sie FIPS-140 Compliance auf Fargate verwenden:

  • FIPS-140 Compliance ist nur in den AWS GovCloud (US) Regionen verfügbar.

  • Fargate unterstützt FIPS-140 Version 140.3

  • FIPS-140 Die Konformität ist standardmäßig deaktiviert. Sie müssen sie einschalten.

  • Amazon unterstützt CloudWatch keinen DualStack-FIPS-Endpunkt, der zur Überwachung von Amazon ECS-Aufgaben in einer IPv6-only Konfiguration verwendet werden kann, die Compliance verwendet. FIPS-140

  • Ihre Aufgaben müssen aus Compliance-Gründen die folgende Konfiguration verwenden: FIPS-140

    • Der operatingSystemFamily muss LINUX sein.

    • Der cpuArchitecture muss X86_64 sein.

    • Die Fargate-Plattformversion muss 1.4.0 oder höher sein.

FIPS auf Fargate verwenden

Gehen Sie wie folgt vor, um FIPS-140 Compliance auf Fargate zu verwenden.

  1. Schalten Sie FIPS-140 Compliance ein. Weitere Informationen finden Sie unter AWS Fargate Einhaltung des Federal Information Processing Standard (FIPS-140).

  2. Sie können optional ECS Exec verwenden, um den folgenden Befehl auszuführen, um den FIPS-140 Konformitätsstatus für einen Cluster zu überprüfen.

    cluster-nameErsetzen Sie durch den Namen Ihres Clusters, task-id durch die ID oder ARN Ihrer Aufgabe und container-name durch den Namen des Containers in Ihrer Aufgabe, für den Sie den Befehl ausführen möchten.

    Ein Rückgabewert von „1“ gibt an, dass Sie FIPS verwenden.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

CloudTrail Für Fargate-Auditing FIPS-140 verwenden

CloudTrail ist in Ihrem AWS Konto aktiviert, wenn Sie das Konto erstellen. Wenn API- und Konsolenaktivitäten in Amazon ECS auftreten, wird diese Aktivität zusammen mit anderen AWS Serviceereignissen im Eventverlauf in einem CloudTrail Ereignis aufgezeichnet. Sie können aktuelle Ereignisse in Ihrem AWS Konto anzeigen, suchen und herunterladen. Weitere Informationen finden Sie unter Ereignisse mit dem CloudTrail Eventverlauf anzeigen.

Für eine fortlaufende Aufzeichnung der Ereignisse in Ihrem AWS Konto, einschließlich der Ereignisse für Amazon ECS, erstellen Sie einen Trail, der zur CloudTrail Übertragung von Protokolldateien an einen Amazon S3-Bucket verwendet wird. Wenn Sie einen Trail in der Konsole anlegen, gilt dieser für alle -Regionen. Der Trail protokolliert Ereignisse aus allen Regionen in der AWS Partition und übermittelt die Protokolldateien an den von Ihnen angegebenen Amazon S3-Bucket. Darüber hinaus können Sie andere AWS Dienste konfigurieren, um die in den CloudTrail Protokollen gesammelten Ereignisdaten weiter zu analysieren und darauf zu reagieren. Weitere Informationen finden Sie unter Protokollieren Sie Amazon ECS-API-Aufrufe mit AWS CloudTrail.

Das folgende Beispiel zeigt einen CloudTrail Protokolleintrag, der die PutAccountSettingDefault API-Aktion veranschaulicht:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDAIV5AJI5LXF5EXAMPLE",
         "arn": "arn:aws:iam::123456789012:user/jdoe",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIPWIOFC3EXAMPLE",
    },
    "eventTime": "2023-03-01T21:45:18Z",
    "eventSource": "ecs.amazonaws.com",
    "eventName": "PutAccountSettingDefault",
    "awsRegion": "us-gov-east-1",
    "sourceIPAddress": "52.94.133.131",
    "userAgent": "aws-cli/2.9.8 Python/3.9.11 Windows/10 exe/AMD64 prompt/off command/ecs.put-account-setting",
    "requestParameters": {
        "name": "fargateFIPSMode",
        "value": "enabled"
    },
    "responseElements": {
        "setting": {
            "name": "fargateFIPSMode",
            "value": "enabled",
            "principalArn": "arn:aws:iam::123456789012:user/jdoe"
        }
    },
    "requestID": "acdc731e-e506-447c-965d-f5f75EXAMPLE",
    "eventID": "6afced68-75cd-4d44-8076-0beEXAMPLE",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "ecs-fips.us-gov-east-1.amazonaws.com"
    }
}