Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comment ? AWS Network Security Manager fonctionne
Utilisez le modèle de ressources AWS Network Security Manager pour concevoir et gérer les protections de sécurité réseau pour les ressources d'un seul compte ou de plusieurs comptes de votre organisation. Ce chapitre explique les cinq types de ressources, la manière dont ils forment une hiérarchie et les concepts clés qui régissent leur comportement.
AWS Modèle de ressources Network Security Manager
AWS Network Security Manager utilise cinq types de ressources organisés selon une hiérarchie de composition :
Les ressources se référencent mutuellement vers le haut dans la hiérarchie. Les règles sont utilisées dans les modèles et les politiques. Les modèles, les règles, ou les deux, sont utilisés dans les politiques. Une étendue fait référence aux ressources que les politiques protègent dans le cadre d'un déploiement.
Les sections suivantes décrivent chaque type de ressource de la hiérarchie.
Règle — Unité atomique de configuration de sécurité du réseau. Il existe deux types de règles : les règles d'inspection du trafic et les règles de configuration du pare-feu. L'inspection du trafic se concentre sur la manière dont le service de sécurité gère le trafic. Une règle de configuration définit les opérations du système en dehors de l'inspection du trafic. La structure d'une règle varie selon le type de pare-feu.
Modèle : groupe de règles ordonné et réutilisable pour un seul type de pare-feu. Utilisez des modèles pour regrouper les règles associées et les partager entre plusieurs politiques. Les modèles sont facultatifs.
Politique — Combine un ensemble ordonné de modèles et de règles avec des paramètres d'application pour un type de pare-feu. Chaque politique comporte une priorité (un chiffre inférieur indique une priorité plus élevée). Lorsque plusieurs politiques protègent la même ressource, la priorité détermine la manière dont les conflits sont résolus. Pour les règles d'inspection du trafic, la priorité détermine l'ordre dans lequel les règles sont agrégées. En ce qui concerne les règles de configuration du pare-feu, la priorité détermine la configuration qui s'applique à chaque ressource et à ses politiques incluses.
Champ d'application — Sélection déclarative des domaines dans lesquels les protections s'appliquent. Une étendue indique les types de ressources à protéger, et vous pouvez éventuellement filtrer les ressources par balise ou attribut de configuration. En mode multicompte, une étendue indique également les comptes ou les unités d'organisation à inclure ou à exclure. En mode compte unique, le champ d'application s'applique au compte lui-même. Le mode d'un scope est corrigé lorsque vous le créez. Vous ne pouvez pas changer d'étendue entre les modes multicompte et compte unique dans les deux sens. Une étendue multicompte ne peut donc jamais devenir une étendue mono-compte, ou l'inverse.
Déploiement : lie une ou plusieurs politiques à un périmètre. La publication d'un déploiement active l'application. AWS Network Security Manager découvre les ressources dans le périmètre, calcule la configuration prévue et corrige éventuellement les ressources désynchronisées.
Pour les limites de composition des ressources, voirAWS Quotas du Network Security Manager.
AWS Cycle de vie, fusion et synchronisation des ressources de Network Security Manager
Les sections suivantes expliquent les comportements et les mécanismes qui régissent le fonctionnement des ressources AWS Network Security Manager une fois que vous les avez créées.
Brouillon et cycle de vie actif
Chaque ressource AWS Network Security Manager, y compris les règles, les modèles, les politiques, les champs d'application et les déploiements, a le statut Brouillon ou Actif :
-
Actif : statut par défaut. La ressource est publiée et peut être utilisée. D'autres ressources peuvent le référencer, et les déploiements qui l'incluent renforcent sa configuration.
-
Brouillon — La ressource est enregistrée mais n'est pas encore active. Les ressources provisoires ne sont pas appliquées et ne peuvent pas être référencées par d'autres ressources. Lorsque vous créez ou mettez à jour une ressource, choisissez Enregistrer le brouillon pour conserver son statut de brouillon.
Par défaut, AWS Network Security Manager crée des ressources comme actives. Pour créer une ressource en tant que brouillon à l'aide de l'API, définissez le isPublished paramètre sur false lors de l'opération de création ou de mise à jour.
Lorsque vous mettez à jour une ressource, les scénarios suivants s'appliquent :
| État actuel | Action | Résultat |
|---|---|---|
| Ébauche | Choisissez Enregistrer le brouillon | Mettre à jour le brouillon (reste le brouillon) |
| Ébauche | Choisissez Publier | Publier le brouillon (devient actif) |
| Actif | Choisissez Publier | Mettre à jour et rester actif (actif) |
| Actif | Choisissez Enregistrer le brouillon | Créez une superposition de brouillon (devient une ébauche avec une ressource active en dessous) |
Le hasPublishedVersion champ apparaît dans la liste et reçoit des réponses. Ce champ indique si une ressource active publiée existe sous un brouillon. Lorsqu'une ressource a le statut de brouillon et hasPublishedVersion: true qu'un brouillon en attente se trouve au-dessus d'une ressource active publiée en ligne.
Vous ne pouvez pas supprimer une ressource active à laquelle une autre ressource active fait référence.
Gestion des versions
Chaque ressource AWS Network Security Manager, y compris les règles, les modèles, les politiques, les champs d'application et les déploiements, peut être versionnée. Pour créer une version d'une ressource active, sélectionnez la ressource, choisissez Action, puis choisissez Créer un instantané versionné. Les versions ne sont pas créées automatiquement à chaque mise à jour.
AWS Alternative à la CLI
Vous pouvez également créer une version à l'aide de l'opération d'Create{Resource}SnapshotAPI sur une ressource active.
Principales propriétés de la version :
-
Chaque version possède un numéro unique (un entier séquentiel) et un ARN qualifié par version (par exemple
arn:aws:network-security-manager:us-east-1:123456789012:rule:abc123:3,). -
Les versions sont immuables. Ils ne peuvent pas être mis à jour.
-
Vous pouvez créer jusqu'à 10 versions par ressource.
-
Les versions peuvent être étiquetées.
Utilisez les versions pour conserver les variantes de configuration souhaitées. Pour annuler une ressource, lisez une version, puis mettez à jour la ressource active avec la configuration souhaitée pour la version.
Priority-based fusion de politiques
Lorsque plusieurs politiques protègent la même ressource, AWS Network Security Manager fusionne leurs configurations en un seul résultat. Un numéro de priorité inférieur indique une priorité plus élevée (la priorité 1 a priorité sur la priorité 2). Lorsque AWS Network Security Manager fusionne des politiques contenant des règles d'inspection du trafic, la priorité détermine l'ordre dans lequel les règles sont agrégées. Pour les règles de configuration du pare-feu, la politique de priorité la plus élevée détermine la configuration qui s'applique.
AWS Network Security Manager évalue la priorité à deux niveaux, dans l'ordre suivant :
-
Priorité de l'administrateur : AWS Network Security Manager évalue d'abord la priorité de l'administrateur. Une priorité est attribuée à chaque administrateur de l'organisation, comme décrit dansComptes d'administrateur et de membre. Lorsque AWS Network Security Manager fusionne des politiques, il classe une politique d'administrateur plus haut que la politique de compte unique propre à un compte membre. Si une politique d'administrateur et la politique de compte unique d'un compte membre s'appliquent toutes deux à une ressource et à un conflit, la configuration de la politique d'administrateur l'emporte. Un compte de membre ne peut pas se soustraire à une politique d'administrateur, l'annuler ou s'en exempter.
-
Priorité de politique — Au sein de chaque compte, AWS Network Security Manager utilise ensuite la priorité de politique pour résoudre les conflits restants. Les valeurs de priorité des politiques sont des nombres entiers commençant à 1 et doivent être uniques par compte.
Vous définissez la priorité de l'administrateur avec le priority champ obligatoire de l'PutAdminAccountopération, un entier compris entre 1 et 10. Les valeurs de priorité étant uniques, deux administrateurs ne partagent jamais la même priorité et aucune rupture d'égalité n'est requise. Pour plus d'informations, consultez le manuel de référence de l'API AWS Network Security Manager.
Le résultat combiné de toutes les politiques applicables à une ressource est la configuration effective du pare-feu. AWS Network Security Manager calcule cette configuration, la compare à la configuration réelle de la ressource et signale toute différence sous forme d'état de synchronisation.
En cas de conflit entre les politiques, AWS Network Security Manager compare chaque attribut et applique la valeur de la stratégie de priorité la plus élevée. Si la stratégie de priorité supérieure ne définit aucun attribut, la valeur de stratégie de priorité inférieure s'applique. Une ressource correspondant à la configuration effective est IN_SYNC. Une ressource protégée par une politique de priorité inférieure dont les paramètres ont été remplacés par une politique de priorité supérieure est signalée comme OUT_OF_SYNC pour le déploiement de priorité inférieure. Il s'agit d'un comportement attendu et non d'un échec.
Découverte de ressources avec AWS Config
AWS Network Security Manager découvre les ressources protégées de vos comptes à l'aide d'un enregistreur de configuration AWS Config lié à un service. Cet enregistreur est créé automatiquement dans chaque compte lorsque ce compte entre dans le cadre d'un déploiement. Contrairement à AWS Firewall Manager, vous n'avez pas besoin d'effectuer de configuration supplémentaire. AWS L'utilisation de la configuration par AWS Network Security Manager n'est pas facturée au client AWS Network Security Manager.
Principales caractéristiques de l'enregistreur lié au service :
-
Il est nommé
AWSConfigurationRecorderForNetworkSecurityManager. -
Il est distinct de tout enregistreur de configuration géré par le client dans le compte.
-
Il enregistre uniquement les types de ressources correspondant à vos étendues actives et à vos déploiements.
-
Il n'est pas nécessaire de configurer AWS Config ni de créer un enregistreur de configuration. AWS Network Security Manager gère cela automatiquement. AWS L'utilisation de la configuration par AWS Network Security Manager n'est pas facturée au client.
-
Vous ne pouvez pas modifier ou supprimer l'enregistreur lorsqu'il est en cours d'utilisation. AWS Network Security Manager gère automatiquement son cycle de vie.
Il n'est pas nécessaire d'activer ou de configurer AWS Config manuellement pour que AWS Network Security Manager fonctionne. Le service gère automatiquement la découverte des ressources après la publication d'un déploiement.
Synchronisation et correction
L'application dans AWS Network Security Manager est asynchrone et finalement cohérente. Après avoir publié un déploiement ou lorsqu'une ressource est modifiée, les étapes suivantes se produisent :
-
Découverte des ressources : AWS Network Security Manager découvre les ressources concernées à l'aide d'un enregistreur de AWS configuration lié à un service.
-
Calcul de configuration : pour chaque ressource découverte, AWS Network Security Manager calcule la configuration effective du pare-feu en fusionnant toutes les politiques applicables par priorité.
-
Évaluation de la synchronisation : AWS Network Security Manager compare la configuration effective à la configuration réelle de la ressource et enregistre l'état de synchronisation.
-
Correction (facultatif) : si vous définissez
remediationEnabledcette politique, AWS Network Security Manager corrige les ressources désynchronisées pour qu'elles correspondent à la configuration effective.
Chaque étape est asynchrone. Conséquences pour votre flux de travail :
-
Il y a un délai entre la publication d'un déploiement et la protection des ressources.
-
Il y a un délai entre la création d'une nouvelle ressource dans le champ d'application et sa protection.
-
L'
Last Checkedhorodatage des entrées d'état de synchronisation indique la date à laquelle AWS Network Security Manager a évalué une ressource pour la dernière fois.
La correction et le nettoyage des ressources sont des paramètres définis au niveau des politiques. Vous configurez chacune d'elles par politique dans l'policyConfigurationobjet.
remediationEnabled-
Spécifie si AWS Network Security Manager corrige automatiquement les ressources non conformes. Lorsque vous activez ce paramètre, AWS Network Security Manager corrige les ressources désynchronisées pour qu'elles correspondent à la configuration effective.
resourcesCleanUp-
Spécifie si AWS Network Security Manager supprime automatiquement les ressources qu'il a créées lorsqu'elles ne sont plus nécessaires. AWS Network Security Manager supprime le pare-feu qu'il a créé lorsque vous supprimez le déploiement ou lorsque le compte ou la ressource devient hors de portée.
Les resourcesCleanUp paramètres remediationEnabled et sont tous deux définis par défaut surfalse. AWS Network Security Manager ne corrige ni ne nettoie les ressources tant que vous n'activez pas ces paramètres. L'policyConfigurationobjet est également validewafConfig, ce qui s'applique aux politiques AWS WAF. Pour plus d'informations, consultez le manuel de référence de l'API AWS Network Security Manager.
Lorsqu'une ressource n'est pas synchronisée, l'état de synchronisation inclut les raisons de la désynchronisation avec des détails par paramètre qui montrent les valeurs attendues par rapport aux valeurs réelles. Les raisons sont classées dans les catégories suivantes :
-
missingFirewall— Aucune protection par pare-feu n'est associée à la ressource. -
invalidFirewall— Un pare-feu existe mais sa configuration est différente de la configuration effective. Cela inclut six compartiments détaillés :incorrectSingleValueConfigurations,missingAppendableConfigurationValues,unexpectedAppendableConfigurationValues,incorrectAppendableConfigurationOrdermissingMergeableConfigurationValues, etunexpectedMergeableConfigurationValues.
Si la correction est activée mais que AWS Network Security Manager ne peut pas réparer une ressource, le remediationIssues champ fournit un messageissueType, une message description du problème et une correctiveAction suggestion de résolution.
AWS Network Security Manager n'évalue pas les paramètres qu'il ne gère pas. Si un champ n'apparaît dans aucune règle contributive, AWS Network Security Manager l'ignore lors de l'évaluation de la synchronisation.
Comptes d'administrateur et de membre
AWS Network Security Manager utilise un modèle de gestion multi-comptes basé sur AWS Organizations :
-
Compte administrateur : compte sur lequel vous créez et gérez les ressources de AWS Network Security Manager (règles, modèles, politiques, champs d'application et déploiements). Vous désignez un ou plusieurs comptes d'administrateur, chacun ayant une priorité comprise entre 1 et 10.
-
Comptes membres : comptes sur lesquels AWS Network Security Manager découvre les ressources, évalue l'état de synchronisation et corrige éventuellement les configurations désynchronisées. AWS Network Security Manager agit sur les comptes des membres par le biais d'un rôle lié à un service. Pour plus d’informations, consultez Service-linked rôle.
Vous pouvez éventuellement étendre la portée de chaque administrateur à un sous-ensemble de comptes, d'unités d'organisation et de types de pare-feu. Utilisez cette fonctionnalité pour déléguer la gestion de domaines spécifiques à différentes équipes.
AWS Network Security Manager est un service régional. Vous créez des ressources et des déploiements par région sans aucune dépendance entre régions.
Service-linked rôle
AWS Network Security Manager utilise un rôle lié au service IAM nommé AWSServiceRoleForNetworkSecurityManager pour agir en votre nom sur les comptes des membres de votre organisation. Ce rôle fait confiance au directeur du network-security-manager.amazonaws.com service. Il utilise la politique NetworkSecurityManagerServiceRolePolicy AWS gérée.
AWS Network Security Manager crée ce rôle automatiquement lorsque vous activez le service, il n'y a donc aucune configuration manuelle. Ce rôle permet à AWS Network Security Manager de gérer les protections AWS WAF et AWS Shield Advanced, de découvrir les ressources protégées via AWS Config et d'effectuer des opérations entre comptes. Pour plus d'informations, consultez Utilisation de rôles liés à un service pour AWS Responsable de la sécurité réseau.
