Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheitssäule von Amazon ElastiCache Well-Architected Lens

Die Säule der Sicherheit konzentriert sich auf den Schutz von Informationen und Systemen. Zu den wichtigsten Themen gehören die Vertraulichkeit und Integrität von Daten, die Ermittlung und Verwaltung von Berechtigungen mithilfe der Berechtigungsverwaltung, der Schutz von Systemen und die Einrichtung von Kontrollen zur Erkennung von Sicherheitsereignissen.

SEC1: Welche Schritte ergreifen Sie, um den autorisierten Zugriff auf Daten zu ElastiCache kontrollieren?

Einführung auf Fragenebene: Alle ElastiCache Cluster sind für den Zugriff von Amazon Elastic Compute Cloud-Instances in serverlosen Funktionen (AWS Lambda) oder Containern (Amazon Elastic Container Service) konzipiert. VPC Das am häufigsten anzutreffende Szenario ist der Zugriff auf einen ElastiCache Cluster von einer Amazon Elastic Compute Cloud-Instanz innerhalb derselben Amazon Virtual Private Cloud (Amazon Virtual Private Cloud). Bevor Sie von einer EC2 Amazon-Instance aus eine Verbindung zu einem Cluster herstellen können, müssen Sie die EC2 Amazon-Instance autorisieren, auf den Cluster zuzugreifen. Um auf einen ElastiCache Cluster zuzugreifenVPC, der in einem ausgeführt wird, müssen Sie dem Cluster Netzwerkzugang gewähren.

Vorteil auf Frageebene: Der Netzwerkzugang in den Cluster wird über Sicherheitsgruppen gesteuert. VPC Eine Sicherheitsgruppe fungiert als virtuelle Firewall für Ihre EC2 Amazon-Instances, um den eingehenden und ausgehenden Datenverkehr zu kontrollieren. Eingehende Regeln steuern den eingehenden Datenverkehr zu Ihrer Instance und ausgehende Regeln steuern den ausgehenden Datenverkehr von Ihrer Instance. Im Fall von ElastiCache, wenn ein Cluster gestartet wird, muss eine Sicherheitsgruppe zugeordnet werden. Dadurch wird sichergestellt, dass Regeln für ein- und ausgehenden Datenverkehr für alle Knoten gelten, aus denen der Cluster besteht. Darüber hinaus ElastiCache ist es so konfiguriert, dass es ausschließlich in privaten Subnetzen bereitgestellt wird, sodass auf sie nur über das VPC private Netzwerk von zugegriffen werden kann.

SEC2: Benötigen Ihre Anwendungen zusätzliche Autorisierungen, die ElastiCache über netzwerkbasierte Kontrollen hinausgehen?

Einführung auf Fragenebene: In Szenarien, in denen es notwendig ist, den Zugriff auf ElastiCache (Redis-OSS) Cluster auf individueller Client-Ebene einzuschränken oder zu kontrollieren, wird empfohlen, sich über den Befehl (Redis) zu authentifizieren. ElastiCache OSS AUTH ElastiCache (RedisOSS) -Authentifizierungstoken mit optionaler Benutzer- und Benutzergruppenverwaltung ermöglichen es ElastiCache (RedisOSS), ein Passwort anzufordern, bevor Clients Befehle und Zugriffsschlüssel ausführen können, wodurch die Sicherheit der Datenebene verbessert wird.

Vorteil auf Frageebene: Um die Sicherheit Ihrer Daten zu gewährleisten, bietet ElastiCache (RedisOSS) Mechanismen zum Schutz vor unbefugtem Zugriff auf Ihre Daten. Dazu gehört auch, dass Clients eine rollenbasierte Zugriffskontrolle (RBAC) oder ein AUTH Token (Passwort) verwenden müssenAUTH, um eine Verbindung herzustellen, bevor autorisierte Befehle ausgeführt werden. ElastiCache

SEC3: Besteht das Risiko, dass Befehle versehentlich ausgeführt werden, was zu Datenverlust oder -ausfällen führt?

Einführung auf Fragenebene: Es gibt eine Reihe von Valkey- oder OSS Redis-Befehlen, die sich negativ auf den Betrieb auswirken können, wenn sie versehentlich oder von böswilligen Akteuren ausgeführt werden. Diese Befehle können im Hinblick auf die Leistung und Datensicherheit unbeabsichtigte Folgen haben. Beispielsweise kann ein Entwickler den FLUSHALL Befehl routinemäßig in einer Entwicklungsumgebung aufrufen und aufgrund eines Fehlers versehentlich versuchen, diesen Befehl auf einem Produktionssystem aufzurufen, was zu versehentlichem Datenverlust führt.

Vorteil auf Fragenebene: Ab ElastiCache (RedisOSS) 5.0.3 haben Sie die Möglichkeit, bestimmte Befehle umzubenennen, die Ihre Arbeitslast stören könnten. Durch das Umbenennen der Befehle kann verhindert werden, dass diese versehentlich auf dem Cluster ausgeführt werden.

SEC4: Wie stellen Sie die Datenverschlüsselung im Ruhezustand sicher ElastiCache

Einführung auf Fragenebene: Obwohl es sich bei ElastiCache (RedisOSS) um einen In-Memory-Datenspeicher handelt, ist es im Rahmen der Standardoperationen des Clusters möglich, alle Daten zu verschlüsseln, die möglicherweise dauerhaft (im Speicher) gespeichert werden. Dazu gehören sowohl geplante als auch manuelle Backups, die in Amazon S3 geschrieben wurden, sowie Daten, die aufgrund von Synchronisierungs- und Swap-Vorgängen auf dem Festplattenspeicher gespeichert wurden. Instance-Typen der M6g- und R6g-Familien verfügen außerdem über eine ständig aktive In-Memory-Verschlüsselung.

Vorteil auf Fragenebene: ElastiCache (RedisOSS) bietet optionale Verschlüsselung im Ruhezustand, um die Datensicherheit zu erhöhen.

SEC5: Wie verschlüsselt man Daten bei der Übertragung mit? ElastiCache

Einführung auf Fragenebene: Es ist eine gängige Anforderung, zu verhindern, dass Daten während der Übertragung beschädigt werden. Dabei handelt es sich um Daten innerhalb von Komponenten eines verteilten Systems sowie zwischen Anwendungsclients und Clusterknoten. ElastiCache (RedisOSS) unterstützt diese Anforderung, indem es die Verschlüsselung von Daten ermöglicht, die zwischen Clients und Clustern sowie zwischen den Clusterknoten selbst übertragen werden. Instance-Typen der M6g- und R6g-Familien verfügen außerdem über eine ständig aktive In-Memory-Verschlüsselung.

Vorteil auf Frageebene: Die Verschlüsselung ElastiCache während der Übertragung durch Amazon ist eine optionale Funktion, mit der Sie die Sicherheit Ihrer Daten an den anfälligsten Stellen erhöhen können, wenn sie von einem Ort zum anderen übertragen werden.

SEC6: Wie schränken Sie den Zugriff auf Ressourcen der Kontrollebene ein?

Einführung auf Fragenebene: IAM Richtlinien und Bereitstellung ARN detaillierter Zugriffskontrollen für ElastiCache (RedisOSS), sodass die Erstellung, Änderung und Löschung von ElastiCache (Redis-) Clustern genauer kontrolliert werden kann. OSS

Vorteil auf Fragenebene: Die Verwaltung von ElastiCache Amazon-Ressourcen wie Replikationsgruppen, Knoten usw. kann auf AWS Konten beschränkt werden, die über spezifische Berechtigungen auf der Grundlage von IAM Richtlinien verfügen, wodurch die Sicherheit und Zuverlässigkeit der Ressourcen verbessert wird.

SEC7: Wie erkennen Sie Sicherheitsereignisse und reagieren darauf?

Einführung auf Fragenebene: ElastiCache Exportiert bei der Bereitstellung mit RBAC aktivierter Option CloudWatch Metriken, um Benutzer über Sicherheitsereignisse zu informieren. Diese Metriken helfen dabei, fehlgeschlagene Versuche zu identifizieren, auf Schlüssel zuzugreifen oder Befehle auszuführen, für die RBAC Benutzer, für die eine Verbindung hergestellt wird, nicht autorisiert sind.

Darüber hinaus tragen AWS Produkt- und Serviceressourcen dazu bei, Ihre gesamte Arbeitslast zu sichern, indem sie Bereitstellungen automatisieren und alle Aktionen und Änderungen für eine spätere Überprüfung/Prüfung protokollieren.

Vorteil auf Fragenebene: Durch die Überwachung von Ereignissen ermöglichen Sie Ihrem Unternehmen, gemäß Ihren Anforderungen, Richtlinien und Verfahren zu reagieren. Durch die Automatisierung der Überwachung und Reaktion auf diese Sicherheitsereignisse wird Ihre allgemeine Sicherheitslage gestärkt.