Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Praktik terbaik keamanan Amazon SQS
AWS menyediakan banyak fitur keamanan untuk Amazon SQS, yang harus Anda tinjau dalam konteks kebijakan keamanan Anda sendiri. Berikut ini adalah praktik terbaik keamanan preventif untuk Amazon SQS.
catatan
Panduan implementasi khusus yang diberikan adalah untuk kasus penggunaan umum dan implementasi. Kami menyarankan agar Anda melihat praktik terbaik ini dalam konteks kasus penggunaan, arsitektur, dan model ancaman spesifik Anda.
Topik
- Pastikan antrian tidak dapat diakses publik
- Menerapkan akses hak istimewa yang paling rendah
- Gunakan peran IAM untuk aplikasi dan AWS layanan yang memerlukan akses Amazon SQS
- Menerapkan enkripsi sisi server
- Menegakkan enkripsi data saat transit
- Pertimbangkan untuk menggunakan titik akhir VPC untuk mengakses Amazon SQS
Pastikan antrian tidak dapat diakses publik
Kecuali Anda secara eksplisit meminta siapa pun di internet untuk dapat membaca atau menulis ke antrian Amazon SQS Anda, Anda harus memastikan bahwa antrian Anda tidak dapat diakses publik (dapat diakses oleh semua orang di dunia atau oleh pengguna yang diautentikasi). AWS
-
Hindari pembuatan kebijakan dengan
Principaldiatur ke"". -
Hindari penggunaan wildcard (
*). Sebagai gantinya, beri nama pengguna tertentu.
Menerapkan akses hak istimewa yang paling rendah
Saat Anda memberikan izin, Anda memutuskan siapa yang menerimanya, untuk antrian izin, dan tindakan API tertentu yang ingin Anda izinkan untuk antrian ini. Menerapkan hak istimewa paling sedikit penting untuk mengurangi risiko keamanan dan mengurangi efek kesalahan atau niat jahat.
Ikuti saran keamanan standar pemberian hak istimewa paling rendah. Artinya, hanya berikan izin yang diperlukan untuk melakukan tugas tertentu. Anda dapat menerapkan ini menggunakan kombinasi kebijakan keamanan.
Amazon SQS menggunakan model produsen-konsumen, yang membutuhkan tiga jenis akses akun pengguna:
-
Administrator — Akses untuk membuat, memodifikasi, dan menghapus antrian. Administrator juga mengontrol kebijakan antrian.
-
Produser — Akses untuk mengirim pesan ke antrian.
-
Konsumen — Akses untuk menerima dan menghapus pesan dari antrian.
Untuk informasi selengkapnya, lihat bagian berikut:
Gunakan peran IAM untuk aplikasi dan AWS layanan yang memerlukan akses Amazon SQS
Untuk aplikasi atau AWS layanan seperti Amazon EC2 untuk mengakses antrian Amazon SQS, mereka harus menggunakan kredensyal yang AWS valid dalam permintaan API mereka. AWS Karena kredensyal ini tidak diputar secara otomatis, Anda tidak boleh menyimpan AWS kredensyal secara langsung di aplikasi atau instans EC2.
Anda harus menggunakan peran IAM untuk mengelola kredensyal sementara untuk aplikasi atau layanan yang perlu mengakses Amazon SQS. Saat Anda menggunakan peran, Anda tidak perlu mendistribusikan kredensyal jangka panjang (seperti nama pengguna, kata sandi, dan kunci akses) ke instans atau AWS layanan EC2 seperti. AWS Lambda Sebagai gantinya, peran menyediakan izin sementara yang dapat digunakan aplikasi saat mereka melakukan panggilan ke AWS sumber daya lain.
Untuk informasi selengkapnya, lihat IAM Role dan Skenario Umum untuk Peran: Pengguna, Aplikasi, dan Layanan di Panduan Pengguna IAM.
Menerapkan enkripsi sisi server
Untuk mitigasi masalah kebocoran data, gunakan enkripsi saat istirahat untuk mengenkripsi pesan menggunakan kunci yang disimpan di lokasi berbeda dari lokasi yang menyimpan pesan Anda. Enkripsi sisi server (SSE) menyediakan enkripsi data saat istirahat. Amazon SQS mengenkripsi data Anda pada tingkat pesan saat menyimpannya, dan mendekripsi pesan untuk Anda saat Anda mengaksesnya. SSE menggunakan kunci yang dikelola di AWS Key Management Service. Selama Anda mengautentikasi permintaan Anda dan memiliki izin akses, tidak ada perbedaan antara mengakses antrian terenkripsi dan tidak terenkripsi.
Untuk informasi selengkapnya, lihat Enkripsi saat istirahat di Amazon SQS dan Manajemen Amazon SQS Key.
Menegakkan enkripsi data saat transit
Tanpa HTTPS (TLS), penyerang berbasis jaringan dapat menguping lalu lintas jaringan atau memanipulasinya, menggunakan serangan seperti. man-in-the-middle Izinkan hanya koneksi terenkripsi melalui HTTPS (TLS) menggunakan aws:SecureTransportkondisi dalam kebijakan antrian untuk memaksa permintaan menggunakan SSL.
Pertimbangkan untuk menggunakan titik akhir VPC untuk mengakses Amazon SQS
Jika Anda memiliki antrian yang harus dapat berinteraksi dengan Anda tetapi yang sama sekali tidak boleh diekspos ke internet, gunakan titik akhir VPC untuk mengantri akses hanya ke host dalam VPC tertentu. Anda dapat menggunakan kebijakan antrian untuk mengontrol akses ke antrian dari titik akhir VPC Amazon tertentu atau dari VPC tertentu.
Titik akhir Amazon SQS VPC menyediakan dua cara untuk mengontrol akses ke pesan Anda:
-
Anda dapat mengontrol permintaan, pengguna, atau grup yang diizinkan melalui titik akhir VPC tertentu.
-
Anda dapat mengontrol titik akhir VPC atau VPC mana yang memiliki akses ke antrian Anda menggunakan kebijakan antrian.
Lihat informasi yang lebih lengkap di Titik akhir Amazon Virtual Private Cloud untuk Amazon SQS dan Membuat kebijakan VPC endpoint Amazon untuk Amazon SQS.
