Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Prácticas recomendadas de seguridad para AWS AppSync
Asegurar AWS AppSync es más que simplemente activar algunas palancas o configurar el registro. En las secciones siguientes se analizan las prácticas recomendadas de seguridad, que varían según el uso que se haga del servicio.
Métodos de autenticación
AWS AppSync proporciona varias formas de autenticar a sus usuarios en su APIs GraphQL. Cada método tiene ventajas y desventajas en cuanto a seguridad, auditabilidad y usabilidad.
Están disponibles los siguientes métodos de autenticación comunes.
-
Los grupos de usuarios de Amazon Cognito permiten que GraphQL utilice los atributos de usuario API para un filtrado y un control de acceso detallados.
-
APILos tokens tienen una vida útil limitada y son adecuados para sistemas automatizados, como los sistemas de integración continua y la integración con sistemas externos. APIs
-
AWS Identity and Access Management (IAM) es adecuado para las aplicaciones internas gestionadas en su Cuenta de AWS.
-
OpenID Connect permite controlar y federar el acceso con el protocolo OpenID Connect.
Para obtener más información sobre la autenticación y la autorización en AWS AppSync, consulteConfiguración de la autorización y la autenticación para proteger su GraphQL APIs.
TLSUtilícelo para HTTP resolutores
Cuando utilice HTTP resolutores, asegúrese de utilizar conexiones TLS -secure (HTTPS) siempre que sea posible. Para obtener una lista completa de los TLS certificados en los que se AWS AppSync confía, consulte. Entidades de certificación (CA) reconocidas por AWS AppSync para los puntos de conexión HTTPS
Utilice roles con el menor número de permisos posible
Al utilizar solucionadores como el solucionador de DynamoDB, use roles que proporcionen la vista más restrictiva de sus recursos, como las tablas de Amazon DynamoDB.
IAMprácticas recomendadas en materia de políticas
Las políticas basadas en la identidad determinan si alguien puede crear AWS AppSync recursos de tu cuenta, acceder a ellos o eliminarlos. Estas acciones pueden generar costes adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:
-
Comience con las políticas AWS administradas y avance hacia los permisos con privilegios mínimos: para empezar a conceder permisos a sus usuarios y cargas de trabajo, utilice las políticas AWS administradas que otorgan permisos para muchos casos de uso comunes. Están disponibles en su. Cuenta de AWS Le recomendamos que reduzca aún más los permisos definiendo políticas administradas por el AWS cliente que sean específicas para sus casos de uso. Para obtener más información, consulte las políticas AWS gestionadas o las políticas AWS gestionadas para las funciones laborales en la Guía del IAM usuario.
-
Aplique permisos con privilegios mínimos: cuando establezca permisos con IAM políticas, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como permisos de privilegios mínimos. Para obtener más información sobre cómo IAM aplicar permisos, consulte Políticas y permisos IAM en la IAM Guía del usuario.
-
Utilice las condiciones en IAM las políticas para restringir aún más el acceso: puede añadir una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de política para especificar que todas las solicitudes deben enviarse medianteSSL. También puedes usar condiciones para conceder el acceso a las acciones del servicio si se utilizan a través de una acción específica Servicio de AWS, por ejemplo AWS CloudFormation. Para obtener más información, consulte los elementos IAM JSON de la política: Condición en la Guía del IAM usuario.
-
Utilice IAM Access Analyzer para validar sus IAM políticas y garantizar permisos seguros y funcionales: IAM Access Analyzer valida las políticas nuevas y existentes para que se ajusten al lenguaje de las políticas (JSON) y IAM a las IAM mejores prácticas. IAMAccess Analyzer proporciona más de 100 comprobaciones de políticas y recomendaciones prácticas para ayudarle a crear políticas seguras y funcionales. Para obtener más información, consulte Validar políticas con IAM Access Analyzer en la Guía del IAM usuario.
-
Requerir autenticación multifactorial (MFA): si se encuentra en una situación en la que se requieren IAM usuarios o un usuario raíz Cuenta de AWS, actívela MFA para aumentar la seguridad. Para solicitarlo MFA cuando se convoque a API las operaciones, añada MFA condiciones a sus políticas. Para obtener más información, consulte APIAcceso seguro con MFA en la Guía del IAM usuario.
Para obtener más información sobre las prácticas recomendadasIAM, consulte las prácticas recomendadas de seguridad IAM en la Guía del IAM usuario.
