Configuration de AWS Marketplace Vendor Insights - AWS Marketplace
Création d'un profil de sécuritéTéléchargez une certificationTéléchargez une auto-évaluationActivez les évaluations AWS Audit Manager automatisées

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de AWS Marketplace Vendor Insights

La procédure suivante décrit les étapes de haut niveau pour configurer AWS Marketplace Vendor Insights sur votre liste de AWS Marketplace logiciels en tant que service (SaaS).

Pour configurer AWS Marketplace Vendor Insights sur votre fiche SaaS

  1. Création d'un profil de sécurité.

  2. (Facultatif) Téléchargez une certification.

  3. Téléchargez une auto-évaluation.

  4. (Facultatif) Activez les évaluations AWS Audit Manager automatisées.

Création d'un profil de sécurité

Un profil de sécurité fournit à vos acheteurs un aperçu détaillé du niveau de sécurité de votre produit logiciel. Un profil de sécurité utilise des sources de données associées, notamment des auto-évaluations, des certifications et des évaluations AWS Audit Manager automatisées.

Note

Vous pouvez créer un nombre limité de profils de sécurité. Pour créer d'autres profils de sécurité, demandez une augmentation du quota. Pour plus d'informations, consultez la section sur les quotas de AWS service dans le Références générales AWS.

Pour créer un profil de sécurité

  1. Connectez-vous en utilisant un IAM utilisateur ou un rôle ayant accès au compte AWS Marketplace vendeur.

  2. Choisissez Produits et sélectionnez SaaS pour accéder à la page des produits SaaS.

  3. Choisissez un produit.

  4. Choisissez l'onglet Vendor Insights, puis sélectionnez Contacter le support pour ajouter un profil de sécurité.

  5. Remplissez le formulaire, puis choisissez Soumettre.

    L'équipe chargée des opérations avec les AWS Marketplace vendeurs créera le profil de sécurité. Lorsque le profil de sécurité est prêt, ils envoient un e-mail de notification aux destinataires identifiés sur le formulaire.

Téléchargez une certification

Une certification est une source de données qui fournit des preuves du niveau de sécurité de votre produit dans de multiples dimensions. AWS Marketplace Vendor Insights prend en charge les certifications suivantes :

  • RAMPCertification de la Fed — Valide la conformité aux normes de sécurité cloud du gouvernement américain

  • GDPRrapport de conformité — Démontre le respect des exigences du règlement général sur la protection des données (GDPR), protégeant les données personnelles et les droits des individus à la vie privée

  • HIPAArapport de conformité — Démontre le respect des réglementations de la Health Insurance Portability and Accountability Act (HIPAA), en protégeant les informations de santé protégées

  • ISO/IEC 27001 audit report – Confirms compliance with International Organization for Standardization (ISO)/InternationalElectrotechnical Commission (IEC) 27001, mettant l'accent sur les normes de sécurité de l'information

  • PCIDSSrapport d'audit — Démontre la conformité aux normes de sécurité établies par le Conseil des normes PCI de sécurité

  • SOC2 Rapport d'audit de type 2 — Confirme la conformité aux contrôles de confidentialité et de sécurité des données du Service Organizational Control (SOC)

Pour télécharger une certification

  1. Dans l'onglet Vendor Insights, accédez à la section Sources de données.

  2. Sous Certifications, choisissez Télécharger la certification.

  3. Sous Détails de la certification, fournissez les informations demandées et téléchargez la certification.

  4. (Facultatif) Sous Balises, ajoutez de nouvelles balises.

    Note

    Pour plus d'informations sur les balises, consultez la section Marquage de vos AWS ressources dans le Guide de l'utilisateur AWS des ressources de balisage.

  5. Choisissez Upload certification.

    Note

    La certification est automatiquement associée au profil de sécurité actuel. Vous pouvez également associer des certifications que vous avez déjà téléchargées. Sur la page détaillée du produit, choisissez Certification associée sous Certifications, sélectionnez une certification dans la liste, puis sélectionnez Certification associée.

    Après avoir chargé la certification, vous pouvez la télécharger à l'aide du bouton Télécharger la certification sur la page détaillée du produit. Vous pouvez également mettre à jour les détails de la certification à l'aide du bouton Mettre à jour la certification.

    Le statut de certification change ValidationPendingjusqu'à ce que les détails de la certification soient validés. Un autre état apparaît pendant et après le traitement de la source de données :

    • Disponible — La source de données a été téléchargée et les validations du système ont été effectuées avec succès.

    • AccessDenied— La référence de source externe de la source de données n'est plus accessible à AWS Marketplace Vendor Insights.

    • ResourceNotFound— La référence de source externe de la source de données n'est plus disponible VendorInsights pour lecture.

    • ResourceNotSupported— La source de données a été téléchargée mais la source fournie n'est pas encore prise en charge. Pour plus de détails sur l'erreur de validation, reportez-vous au message d'état.

    • ValidationPending— La source de données a été téléchargée mais les validations du système sont toujours en cours. Il n'y a aucune action pour vous à ce stade. Le statut est mis à jour sur Disponible ResourceNotSupported, ou ValidationFailed.

    • ValidationFailed— La source de données a été téléchargée, mais la validation du système a échoué pour une ou plusieurs raisons. Pour plus de détails sur l'erreur de validation, reportez-vous au message d'état.

Téléchargez une auto-évaluation

Une auto-évaluation est un type de source de données qui fournit des preuves du niveau de sécurité de votre produit. AWS Marketplace Vendor Insights prend en charge les auto-évaluations suivantes :

  • AWS Marketplace Auto-évaluation de Vendor Insights

  • Questionnaire de l'initiative d'évaluation consensuelle (CAIQ). Pour plus d'informations, consultez la section Qu'est-ce que c'est CAIQ, sur le site Web de la Cloud Security Alliance.

Pour télécharger une auto-évaluation

  1. Ouvrez la AWS Marketplace console à l'adresse https://console.aws.amazon.com/market.

  2. Dans l'onglet Vendor Insights, accédez à la section Sources de données.

  3. Sous Auto-évaluations, choisissez Télécharger l'auto-évaluation.

  4. Dans Détails de l'auto-évaluation, complétez les informations suivantes :

    1. Nom — Entrez un nom pour l'auto-évaluation.

    2. Type : choisissez un type d'évaluation dans la liste.

      Note

      Si vous avez choisi Vendor Insights Security Self-Assessment, choisissez Télécharger le modèle pour télécharger l'auto-évaluation. Choisissez Oui, Non ou N/A pour chaque réponse de la feuille de calcul.

  5. Pour télécharger l'évaluation terminée, choisissez Télécharger l'auto-évaluation.

  6. (Facultatif) Sous Balises, ajoutez de nouvelles balises.

    Note

    Pour plus d'informations sur les balises, consultez la section Marquage de vos AWS ressources dans le Guide de l'utilisateur AWS des ressources de balisage.

  7. Choisissez Télécharger l'auto-évaluation.

    Note

    L'auto-évaluation est automatiquement associée au profil de sécurité actuel. Vous pouvez également associer des auto-évaluations que vous avez déjà téléchargées. Sur la page détaillée du produit, choisissez l'auto-évaluation associée sous Auto-évaluations, sélectionnez une auto-évaluation dans la liste, puis choisissez l'auto-évaluation associée.

    Après avoir chargé une auto-évaluation, vous pouvez la télécharger à l'aide du bouton Télécharger l'auto-évaluation sur la page détaillée du produit. Vous pouvez également mettre à jour les détails de l'auto-évaluation à l'aide du bouton Mettre à jour l'auto-évaluation.

    Le statut est mis à jour selon l'une des valeurs suivantes :

    • Disponible — La source de données a été téléchargée et les validations du système ont été effectuées avec succès.

    • AccessDenied— La référence de source externe de la source de données n'est plus disponible VendorInsights pour lecture.

    • ResourceNotFound— La référence de source externe de la source de données n'est plus disponible VendorInsights pour lecture.

    • ResourceNotSupported— La source de données a été téléchargée mais la source fournie n'est pas encore prise en charge. Pour plus de détails sur l'erreur de validation, reportez-vous au message d'état.

    • ValidationPending— La source de données a été téléchargée, mais les validations du système sont toujours en cours. Il n'y a aucune action pour vous à ce stade. Le statut est mis à jour sur Disponible ResourceNotSupported, ou ValidationFailed.

    • ValidationFailed— La source de données a été téléchargée, mais la validation du système a échoué pour une ou plusieurs raisons. Pour plus de détails sur l'erreur de validation, reportez-vous au message d'état.

Activez les évaluations AWS Audit Manager automatisées

AWS Marketplace Vendor Insights en utilise plusieurs Services AWS pour recueillir automatiquement des preuves de votre profil de sécurité.

Pour les évaluations automatisées, vous avez besoin des ressources suivantes Services AWS  :

  • AWS Audit Manager— Pour simplifier la configuration de AWS Marketplace Vendor Insights, nous utilisons AWS CloudFormation Stacks and StackSets, qui se charge de l'approvisionnement et de la configuration des ressources nécessaires. L'ensemble de piles crée une évaluation automatisée contenant des contrôles qui sont automatiquement renseignés par AWS Config.

    Pour plus d'informations AWS Audit Manager, consultez le guide de AWS Audit Manager l'utilisateur.

  • AWS Config— Le stack set déploie un pack de AWS Config conformité pour définir les règles nécessaires AWS Config . Ces règles permettent à l'évaluation automatisée d'Audit Manager de recueillir des preuves concrètes pour les autres entités Services AWS déployées dans ce cadre Compte AWS. Pour plus d'informations sur les AWS Config fonctionnalités, consultez le guide du AWS Config développeur.

    Note

    Vous remarquerez peut-être une augmentation de l'activité de votre compte au cours du premier mois d' AWS Config enregistrement par rapport aux mois suivants. Au cours du processus de démarrage initial, AWS Config passe en revue toutes les ressources de votre compte que vous avez sélectionnées AWS Config pour l'enregistrement.

    Si vous exécutez des charges de travail éphémères, vous constaterez peut-être une augmentation de l'activité en raison de AWS Config l'enregistrement des modifications de configuration associées à la création et à la suppression de ces ressources temporaires. Une charge de travail éphémère est une utilisation temporaire des ressources informatiques chargées et exécutées si nécessaire.

    Les exemples de charges de travail éphémères incluent les instances ponctuelles Amazon Elastic Compute Cloud (AmazonEC2), les EMR tâches Amazon et AWS Auto Scaling. AWS Lambda Pour éviter l'augmentation de l'activité liée à l'exécution de charges de travail éphémères, vous pouvez exécuter ces types de charges de travail dans un compte distinct en désactivant. AWS Config Cette approche permet d'éviter d'augmenter l'enregistrement des configurations et l'évaluation des règles.

  • Amazon S3 — Le stack set crée les deux compartiments Amazon Simple Storage Service (Amazon S3) suivants :

    • vendor-insights-stack-set-output-bucket- {numéro de compte} — Ce compartiment contient les sorties du stack set exécuté. L'équipe des opérations des AWS Marketplace vendeurs utilise les résultats pour terminer le processus de création automatique de votre source de données.

    • vendor-insights-assessment-reports-bucket- {account number} — AWS Audit Manager publie des rapports d'évaluation dans ce compartiment Amazon S3. Pour plus d'informations sur la publication de rapports d'évaluation, consultez la section Rapports d'évaluation du Guide de AWS Audit Manager l'utilisateur.

      Pour plus d'informations sur les fonctionnalités d'Amazon S3, consultez le guide de l'utilisateur d'Amazon S3.

  • IAM— Le kit d'intégration prévoit les AWS Identity and Access Management (IAM) rôles suivants dans votre compte :

    • Lorsque le VendorInsightsPrerequisiteCFT.yml modèle est déployé, il crée le rôle d'administrateur AWSVendorInsightsOnboardingStackSetsAdmin et le rôle d'exécutionAWSVendorInsightsOnboardingStackSetsExecution. L'ensemble de piles utilise le rôle d'administrateur pour déployer Régions AWS simultanément les piles requises dans plusieurs piles. Le rôle d'administrateur assume le rôle d'exécution pour déployer les piles parentes et imbriquées nécessaires dans le cadre du processus de configuration de AWS Marketplace Vendor Insights. Pour plus d'informations sur les autorisations autogérées, voir Accorder des autorisations autogérées dans le Guide de l'AWS CloudFormation utilisateur.

    • Ce AWSVendorInsightsRole rôle permet à AWS Marketplace Vendor Insights de lire les évaluations dans les AWS Audit Manager ressources. AWS Marketplace Vendor Insights affiche les preuves trouvées dans les évaluations de votre profil AWS Marketplace Vendor Insights.

    • Permet AWSVendorInsightsOnboardingDelegationRole à AWS Marketplace Vendor Insights d'accéder à la liste et à la lecture des objets du vendor-insights-stack-set-output-bucket compartiment. Cette fonctionnalité permet à l'équipe chargée des opérations de AWS Marketplace catalogue de vous aider à configurer un profil AWS Marketplace Vendor Insights.

    • Le AWSAuditManagerAdministratorAccess rôle fournit un accès administratif pour activer ou désactiver AWS Audit Manager, mettre à jour les paramètres et gérer les évaluations, les contrôles et les cadres. Vous ou votre équipe pouvez assumer ce rôle pour prendre des mesures pour des évaluations automatisées dans AWS Audit Manager.

Pour activer les évaluations AWS Audit Manager automatisées, vous devez déployer les piles d'intégration.

Déployez les piles d'intégration

Pour simplifier la configuration de AWS Marketplace Vendor Insights, nous utilisons AWS CloudFormation Stacks and StackSets, qui se charge de l'approvisionnement et de la configuration des ressources nécessaires. Si vous possédez plusieurs comptes ou une solution Région AWS SaaS multiple, StackSets permettez-vous de déployer les outils d'intégration à partir d'un compte de gestion central.

Pour plus d'informations à ce sujet CloudFormation StackSets, consultez la section Travailler avec AWS CloudFormation StackSets dans le guide de AWS CloudFormation l'utilisateur.

AWS Marketplace La configuration de Vendor Insights nécessite que vous utilisiez les CloudFormation modèles suivants :

  • VendorInsightsPrerequisiteCFT— Configure le rôle d'administrateur et les autorisations nécessaires pour fonctionner CloudFormation StackSets sur votre compte. Créez cette pile dans votre compte vendeur.

  • VendorInsightsOnboardingCFT— Configure les autorisations requises Services AWS et configure les IAM autorisations appropriées. Ces autorisations permettent à AWS Marketplace Vendor Insights de collecter des données pour le produit SaaS exécuté dans votre profil Vendor Insights Comptes AWS et de les afficher sur votre profil AWS Marketplace Vendor Insights. Créez cette pile à la fois dans votre compte vendeur et dans les comptes de production hébergeant votre solution SaaS StackSets.

Créez le VendorInsightsPrerequisiteCFT pile

En exécutant la VendorInsightsPrerequisiteCFT CloudFormation pile, vous configurez IAM les autorisations nécessaires pour commencer à intégrer des ensembles de piles.

Pour créer le VendorInsightsPrerequisiteCFT pile

  1. Consultez et téléchargez le dernier VendorInsightsPrerequisiteCFT.yml fichier depuis le dossier de modèles AWS Samples Repo for Vendor Insights sur le GitHub site Web.

  2. Connectez-vous à l' AWS Management Console aide de votre compte AWS Marketplace vendeur, puis ouvrez la AWS CloudFormation console à l'adresse https://console.aws.amazon.com/cloudformation.

  3. Dans le volet de navigation de la CloudFormation console, choisissez Stacks, puis choisissez Create stack et With new resources (standard) dans la liste déroulante. (Si le volet de navigation n'est pas visible, sélectionnez et développez le volet de navigation dans le coin supérieur gauche.)

  4. Sous Spécifier le modèle, choisissez Charger un fichier modèle. Pour charger le VendorInsightsPrerequisiteCFT.yml fichier que vous avez téléchargé, utilisez Choisir un fichier. Ensuite, sélectionnez Suivant.

  5. Entrez le nom de la pile, puis choisissez Next.

  6. (Facultatif) Configurez les options de pile comme vous le souhaitez.

    Choisissez Suivant.

  7. Sur la page Vérification, vérifiez vos choix. Pour apporter des modifications, choisissez Modifier dans la zone que vous souhaitez modifier. Avant de créer la pile, vous devez cocher les cases d'accusé de réception dans la zone Fonctionnalités.

    Sélectionnez Envoyer.

  8. Une fois la pile créée, choisissez l'onglet Ressources et notez les rôles suivants qui sont créés :

    • AWSVendorInsightsOnboardingStackSetsAdmin

    • AWSVendorInsightsOnboardingStackSetsExecution

Créez le VendorInsightsOnboardingCFT ensemble de piles

En exécutant le VendorInsightsOnboardingCFT CloudFormation stack set, vous définissez les autorisations requises Services AWS et configurez les IAM autorisations appropriées. Cela permet à AWS Marketplace Vendor Insights de collecter des données pour le produit SaaS exécuté dans votre profil Vendor Insights Compte AWS et de les afficher dans votre profil AWS Marketplace Vendor Insights.

Si vous disposez d'une solution à comptes multiples ou si vous avez des comptes vendeur et production distincts, vous devez déployer cette pile sur plusieurs comptes. StackSets vous permettent de le faire à partir du compte de gestion sur lequel vous avez créé les prérequis.

Le stack set est déployé à l'aide d'autorisations autogérées. Pour de plus amples informations, consultez Créer un ensemble de piles avec des autorisations autogérées dans le Guide de l'utilisateur AWS CloudFormation .

Pour créer le VendorInsightsOnboardingCFT ensemble de piles

  1. Consultez et téléchargez le dernier VendorInsightsOnboardingCFT.yml fichier depuis le dossier de modèles AWS Samples Repo for Vendor Insights sur le GitHub site Web.

  2. Connectez-vous à l' AWS Management Console aide de votre compte AWS Marketplace vendeur, puis ouvrez la AWS CloudFormation console à l'adresse https://console.aws.amazon.com/cloudformation..

  3. Dans le volet de navigation de la CloudFormation console, choisissez Create StackSet. (Si le volet de navigation n'est pas visible, sélectionnez et développez le volet de navigation dans le coin supérieur gauche.)

  4. Sous Autorisations, pour le rôle d'administrateur, choisissez IAMle nom du rôle, puis choisissez AWSVendorInsightsOnboardingStackSetsAdminle nom du rôle dans la liste déroulante.

  5. Entrez AWSVendorInsightsOnboardingStackSetsExecution comme nom du rôle IAM d'exécution.

  6. Sous Spécifier le modèle, choisissez Charger un fichier modèle. Pour charger le VendorInsightsOnboardingCFT.yml fichier que vous avez téléchargé, cliquez sur Choisir un fichier, puis sur Suivant.

  7. Fournissez les StackSet paramètres suivants, puis choisissez Next.

    • CreateVendorInsightsAutomatedAssessment— Ce paramètre configure l'évaluation AWS Audit Manager automatique dans votre Compte AWS. Si vous avez des comptes de gestion et de production distincts, cette option ne doit être sélectionnée que pour les comptes de production et non pour le compte de gestion.

    • CreateVendorInsightsIAMRoles— Ce paramètre définit un IAM rôle qui permet à AWS Marketplace Vendor Insights de lire les données d'évaluation dans votre Compte AWS.

    • PrimaryRegion— Ce paramètre définit le principal Région AWS pour votre déploiement SaaS. Il s'agit de la région dans laquelle le compartiment S3 est créé dans votre Compte AWS. Si votre produit SaaS n'est déployé que dans une seule région, cette région est la région principale.

  8. Configurez les StackSet options comme vous le souhaitez. Conservez la configuration d'exécution inactive, puis choisissez Next.

  9. Configurez les options de déploiement. Si vous disposez d'une solution à comptes multiples, vous pouvez configurer le stack set pour le déployer sur plusieurs comptes et régions en une seule opération. Choisissez Suivant.

    Note

    Si vous disposez d'une solution à comptes multiples, nous vous déconseillons de la déployer sur tous les comptes sous la forme d'un ensemble de piles unique. Portez une attention particulière aux paramètres définis à l'étape 7. Vous souhaiterez peut-être activer ou désactiver certains paramètres, en fonction du type de comptes sur lesquels vous effectuez le déploiement. StackSets appliquer les mêmes paramètres à tous les comptes spécifiés dans le cadre d'un seul déploiement. Vous pouvez réduire le temps de déploiement en regroupant les comptes dans une pile, mais vous devez tout de même effectuer plusieurs déploiements pour une solution à comptes multiples.

    Important

    Si vous effectuez un déploiement dans plusieurs régions, la première région que vous listez doit être laPrimaryRegion. Conservez l'option Concurrency des régions comme paramètre par défaut de Sequential.

  10. Sur la page Vérification, vérifiez vos choix. Pour apporter des modifications, choisissez Modifier dans la zone que vous souhaitez modifier. Avant de créer l'ensemble de piles, vous devez cocher la case d'accusé de réception dans la zone Fonctionnalités.

    Sélectionnez Envoyer.

    L'ensemble de piles prend environ 5 minutes par région pour être terminé.