Das ist der AWS CDK v2-Entwicklerhandbuch. Für das ältere CDK v1 wurde am 1. Juni 2022 der Wartungsservice aufgenommen und der Support endete am 1. Juni 2023.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheit für die AWS Cloud-Entwicklungskit (AWS CDK)

Das Tool AWS Modell der übergreifenden Verantwortlichkeit

Cloud-Sicherheit genießt bei Amazon Web Services (AWS) höchste Priorität. Als AWS Als Kunde profitieren Sie von einer Rechenzentrums- und Netzwerkarchitektur, die auf die Anforderungen der sicherheitsrelevantesten Organisationen zugeschnitten ist. Sicherheit ist eine gemeinsame Verantwortung zwischen AWS und du. Im Modell der übergreifenden Verantwortlichkeit wird Folgendes mit „Sicherheit der Cloud“ bzw. „Sicherheit in der Cloud“ umschrieben:

Sicherheit der Cloud — AWS ist verantwortlich für den Schutz der Infrastruktur, auf der alle in der AWS Cloud und Bereitstellung von Diensten, die Sie sicher nutzen können. Unsere Sicherheitsverantwortung hat höchste Priorität bei AWS, und die Wirksamkeit unserer Sicherheit wird regelmäßig von externen Auditoren im Rahmen der AWS Programme zur Einhaltung der Vorschriften.

Sicherheit in der Cloud — Ihre Verantwortung wird bestimmt durch AWS den Service, den Sie nutzen, und andere Faktoren, einschließlich der Vertraulichkeit Ihrer Daten, der Anforderungen Ihres Unternehmens und der geltenden Gesetze und Vorschriften.

Der AWS Cloud-Entwicklungskit (AWS CDK) folgt dem Modell der geteilten Verantwortung über die spezifischen Amazon Web Services (AWS) Dienste, die es unterstützt. Für AWS Informationen zur Sicherheit des Dienstes finden Sie im AWS Seite mit der Dokumentation zur Servicesicherheit und AWS Dienstleistungen, die im Umfang von AWS Maßnahmen zur Einhaltung der Vorschriften im Rahmen des Compliance-Programms.

Sicherheit der AWS CDK

Bei einem in einer allgemeinen Programmiersprache geschriebenen Programm, das die Form Ihrer gewünschten Infrastruktur beschreibt, AWS CDK generiert eine Reihe von implementierbaren Artefakten, mit denen diese Infrastruktur erstellt wird.

Sicherheit der standardmäßig generierten Infrastruktur

(AWS'Verantwortung) Konstrukte in der AWS Die Construct Library ist so konzipiert, dass sie eine Infrastruktur bereitstellen, die die Offenlegung, Manipulation, Erhöhung von Rechten oder andere Manipulationen durch externe Parteien (d. h. nicht authentifizierte Identitäten oder Identitäten anderer AWS Konten, sofern nicht ausdrücklich anders konfiguriert, was mit dem Modell der geteilten Verantwortung).

Jeder Verstoß gegen diese Erwartung kann gemeldet werden über die unternehmensweiten Mechanismen zur Meldung von Sicherheitslücken.

Führen Sie CDK-Code in einer vertrauenswürdigen Ausführungsumgebung aus

(Ihre Verantwortung) CDK ist so konzipiert, dass es in einem läuft vertrauenswürdige Umgebung mit vertrauenswürdige Eingaben. Es liegt in Ihrer Verantwortung, sicherzustellen, dass der Benutzercode, alle in den Speicher geladenen Bibliotheken (einschließlich der Bibliotheken, die über einen Paketmanager wie NPM oder Pip aus dem Internet heruntergeladen wurden) oder Eingaben in die CDK-Konstruktbibliotheken vertrauenswürdig sind. Das CDK kann Sie nicht vor böswilligen Absichten schützen.

Sie sollten CDK nicht in einer Umgebung verwenden, in der nicht vertrauenswürdige Autoren Teile des Codes schreiben, der eine CDK-Anwendung steuert, oder in der nicht vertrauenswürdige Parteien Eingaben in CDK-Konstrukte ohne Überprüfung kontrollieren.

Ebenso sollten Sie keine Cloud-Assemblys aus Quellen bereitstellen, denen Sie nicht vertrauen. Durch die Synthese einer CDK-App entsteht eine Cloud-Assembly (die cdk.out Verzeichnis (standardmäßig). Es ist möglich, eine zuvor synthetisierte Cloud-Assembly aus einer anderen Quelle bereitzustellen, zum Beispiel cdk deploy --app /downloaded/file/path/cdk.out. Stellen Sie nur eine Cloud-Assembly bereit, die Sie selbst erstellt haben oder die aus einer vertrauenswürdigen Quelle stammt.

Stellen Sie die Bereitstellung in einer vertrauenswürdigen Umgebung bereit

(Ihre Verantwortung) CDK behandelt die AWS Konto als Sicherheitsgrenze. Das steht im Einklang mit AWS Well-Architected Rahmen. CDK kann nicht garantieren, dass die gesamte synthetisierte Infrastruktur vor Akteuren mit Berechtigungen für dasselbe Konto geschützt ist. Zu den Beispielen für Szenarien, vor denen sich CDK nicht schützen kann, gehören unter anderem die folgenden:

Sie sollten CDK nicht in einer Umgebung verwenden, in der nicht vertrauenswürdige Identitäten auftreten könnten AWS CloudFormation Bereitstellungen oder wo nicht vertrauenswürdige Identitäten AWS Identitäts- und Zugriffsmanagement (IAM) -Berechtigungen, die möglicherweise mit Ressourcen interagieren, die von CDK erstellt wurden.

Die Konformitätsprüfung ist ein externer Prozess

(Ihre Verantwortung) Aufgrund der unbegrenzten Ausdruckskraft, die eine allgemeine Programmiersprache bietet, können benutzerdefinierte CDK-Konstrukte das nicht garantieren eine unumgehbare Einhaltung der Sicherheitsrichtlinien. CDK verfügt über folgende Mechanismen Konformitätsprüfungen nach links verschiebenund Mechanismen, die das können helfen Entwicklern, Compliance-Anforderungen mit minimalem Aufwand zu erfüllen; aber ein entschlossener Entwickler wird immer in der Lage sein, die Ausgabe der speziell entworfenen Konstrukte zu umgehen.

Wenn Sie Konformitätsgarantien benötigen, setzen Sie diese über einen Prozess außerhalb der CDK-Anwendung fest, wie CloudFormation Haken, oder ein separater CloudFormation Schritt zur Vorlagenvalidierung in der CI-Pipeline.