Praktik terbaik keamanan untuk Systems Manager

Saat memberikan izin, Anda memutuskan siapa yang mendapatkan izin apa untuk Systems Manager sumber daya mana. Anda mengizinkan tindakan tertentu yang ingin Anda lakukan di sumber daya tersebut. Oleh karena itu, Anda harus memberikan hanya izin yang diperlukan untuk melaksanakan tugas. Menerapkan akses hak istimewa yang terkecil adalah hal mendasar dalam mengurangi risiko keamanan dan dampak yang dapat diakibatkan oleh kesalahan atau niat jahat.

Alat bantu berikut tersedia untuk menerapkan akses hak akses paling rendah:

Jika Anda SSM Agent mengonfigurasi untuk menggunakan proxy, gunakan no_proxy variabel dengan alamat IP layanan metadata instance Manajer Sistem untuk memastikan bahwa panggilan ke Manajer Sistem tidak mengambil identitas layanan proxy.

Untuk informasi selengkapnya, lihat Melakukan konfigurasi SSM Agent untuk menggunakan proxy pada node Linux dan SSM AgentKonfigurasikan untuk menggunakan proxy untuk Windows Server instance.

DalamParameter Store, SecureString parameter adalah data sensitif apa pun yang perlu disimpan dan direferensikan dengan cara yang aman. Jika Anda memiliki data yang tidak ingin pengguna ubah atau referensi dalam teks biasa, seperti kata sandi atau kunci lisensi, buat parameter tersebut menggunakan tipe SecureString data. Parameter Storemenggunakan AWS KMS key in AWS Key Management Service (AWS KMS) untuk mengenkripsi nilai parameter. AWS KMS menggunakan kunci yang dikelola pelanggan atau Kunci yang dikelola AWS saat mengenkripsi nilai parameter. Untuk keamanan maksimal, kami menyarankan untuk menggunakan kunci KMS Anda sendiri. Jika Anda menggunakan Kunci yang dikelola AWS, setiap pengguna dengan izin untuk menjalankan GetParameters tindakan GetParameter dan di akun Anda dapat melihat atau mengambil konten dari semua SecureString parameter. Jika Anda menggunakan kunci yang dikelola pelanggan untuk mengenkripsi keamanan nilai-nilai SecureString, Anda dapat menggunakan kebijakan IAM dan kebijakan kunci untuk mengelola izin untuk mengenkripsi dan mendekripsi parameter.

Lebih sulit untuk menetapkan kebijakan kontrol akses untuk operasi ini saat menggunakan Kunci yang dikelola AWS. Misalnya, jika Anda menggunakan SecureString parameter Kunci yang dikelola AWS untuk mengenkripsi dan tidak ingin pengguna bekerja dengan SecureString parameter, kebijakan IAM pengguna harus secara eksplisit menolak akses ke kunci default.

Untuk informasi selengkapnya, lihat Mengelola akses ke Penyimpanan Parameter parameter menggunakan kebijakan IAM dan Cara AWS Systems ManagerParameter Store Menggunakan AWS KMS di Panduan AWS Key Management Service Pengembang.

Anda dapat memvalidasi input pengguna untuk parameter dalam dokumen Systems Manager (dokumen SSM) dengan mendefinisikan allowedValues dan allowedPattern. Untuk allowedValues, Anda mendefinisikan sebuah array nilai yang diizinkan untuk parameter. Jika pengguna input nilai tidak diperbolehkan, eksekusi gagal untuk memulai. Untuk allowedPattern, Anda menentukan ekspresi reguler yang memvalidasi apakah input pengguna sesuai dengan pola yang ditetapkan untuk parameter. Jika input pengguna tidak cocok dengan pola yang diperbolehkan, eksekusi gagal untuk memulai.

Untuk informasi selengkapnya tentang allowedValues dan allowedPattern, lihat Elemen data dan parameter.

Kecuali kasus penggunaan Anda mengharuskan berbagi publik diizinkan, sebaiknya aktifkan pengaturan blokir berbagi publik untuk dokumen SSM Anda di bagian Preferensi konsol kumpulan dokumen Systems Manager.

Anda dapat menggunakan Amazon VPC untuk meluncurkan AWS sumber daya ke jaringan virtual yang telah Anda tentukan. Jaringan virtual ini sangat mirip dengan jaringan konvensional yang akan Anda operasikan di pusat data Anda sendiri dengan manfaatnya, yaitu menggunakan infrastruktur AWS yang dapat diskalakan.

Dengan menerapkan titik akhir VPC, Anda dapat menghubungkan VPC secara pribadi ke layanan titik akhir yang didukung Layanan AWS dan VPC yang didukung oleh AWS PrivateLink tanpa memerlukan gateway internet, perangkat NAT, koneksi VPN, atau koneksi. AWS Direct Connect Instans di VPC Anda tidak memerlukan alamat IP publik untuk berkomunikasi dengan sumber daya dalam layanan. Lalu lintas antara VPC Anda dan layanan lainnya tidak meninggalkan jaringan Amazon.

Untuk informasi selengkapnya tentang keamanan Amazon VPC, lihat Mening katkan keamanan instans EC2 dengan menggunakan titik akhir VPC untuk Sistem Manajer dan privasi lalu lintas Antarjaringan di Amazon VPC di Panduan Pengguna Amazon VPC.

Session Managermenyediakan beberapa metode untuk memulai sesi ke node terkelola Anda. Untuk koneksi yang paling aman, Anda dapat meminta pengguna untuk terhubung menggunakan perintah interaktif metode untuk membatasi interaksi pengguna untuk perintah tertentu atau urutan perintah. Ini membantu Anda mengelola tindakan interaktif yang dapat dilakukan pengguna. Untuk informasi selengkapnya, lihat Memulai sesi (perintah interaktif dan noninteraktif).

Untuk keamanan tambahan, Anda dapat membatasi Session Manager akses ke instans Amazon EC2 tertentu dan dokumen Session Manager sesi tertentu. Anda memberikan atau mencabut Session Manager akses dengan cara ini dengan menggunakan kebijakan AWS Identity and Access Management (IAM). Untuk informasi selengkapnya, lihat Langkah 3: Kontrol akses sesi ke node yang dikelola.

Selama alur kerja di Otomasi, alat diAWS Systems Manager, node Anda mungkin memerlukan izin yang diperlukan untuk eksekusi itu saja tetapi tidak untuk Systems Manager operasi lain. Misalnya, alur kerja Otomasi mungkin memerlukan node untuk memanggil operasi API tertentu atau mengakses AWS sumber daya secara khusus selama alur kerja. Jika panggilan atau sumber daya ini adalah panggilan atau sumber daya yang ingin Anda batasi akses, Anda dapat memberikan izin tambahan sementara untuk node Anda di dalam runbook Otomasi itu sendiri alih-alih menambahkan izin ke profil instance IAM Anda. Pada akhir alur kerja otomatisasi, izin sementara akan dihapus. Untuk informasi selengkapnya, lihat Memberikan izin instans sementara dengan Otomatisasi AWS Systems Manager pada Blog Pengelolaan dan Tata Kelola AWS .

AWS secara teratur merilis versi terbaru dari alat dan plugin yang dapat Anda AWS gunakan dalam Systems Manager operasi Anda. Menjaga sumber daya ini tetap mutakhir memastikan bahwa pengguna dan node di akun Anda memiliki akses ke fungsionalitas dan fitur keamanan terbaru di alat ini.

Identifikasi aset IT Anda adalah aspek penting dari tata kelola dan keamanan. Anda perlu mengidentifikasi semua sumber Systems Manager daya Anda untuk menilai postur keamanan mereka dan mengambil tindakan pada area potensial kelemahan.

Gunakan Editor Tag untuk mengidentifikasi sumber daya yang sensitif terhadap keamanan atau audit, kemudian gunakan tag tersebut saat Anda perlu mencari sumber daya ini. Untuk informasi selengkapnya, lihat Menemukan sumber daya untuk diberi tag di Panduan AWS Resource Groups Pengguna.

Buat grup sumber daya untuk Systems Manager sumber daya Anda. Untuk informasi selengkapnya, lihat Apa itu grup sumber daya?

Pemantauan adalah bagian penting dalam menjaga keandalan, keamanan, ketersediaan, dan kinerja Systems Manager dan AWS solusi Anda. Amazon CloudWatch menyediakan beberapa alat dan layanan untuk membantu Anda memantau Systems Manager dan yang lain Layanan AWS. Untuk informasi selengkapnya, lihat Mengirim log simpul ke CloudWatch Log terpadu (CloudWatch agen) dan Memantau peristiwa Systems Manager dengan Amazon EventBridge.

AWS CloudTrail menyediakan catatan tindakan yang diambil oleh pengguna, peran, atau penggunaSystems Manager. Layanan AWS Dengan menggunakan informasi yang dikumpulkan oleh CloudTrail, Anda dapat menentukan permintaan yang dibuatSystems Manager, alamat IP dari mana permintaan dibuat, siapa yang membuat permintaan, kapan itu dibuat, dan detail tambahan. Untuk informasi selengkapnya, lihat Pencatatan AWS Systems Manager Panggilan API dengan AWS CloudTrail.

AWS Config memungkinkan Anda untuk menilai, mengaudit, dan mengevaluasi konfigurasi sumber AWS daya Anda. AWS Config memantau konfigurasi sumber daya, memungkinkan Anda mengevaluasi konfigurasi yang direkam terhadap konfigurasi aman yang diperlukan. Dengan menggunakan AWS Config, Anda dapat meninjau perubahan konfigurasi dan hubungan antar AWS sumber daya, menyelidiki riwayat konfigurasi sumber daya terperinci, dan menentukan kepatuhan Anda secara keseluruhan terhadap konfigurasi yang ditentukan dalam pedoman internal Anda. Ini dapat membantu Anda menyederhanakan audit kepatuhan, analisis keamanan, manajemen perubahan, dan pemecahan masalah operasional. Untuk informasi lebih lanjut, lihat Menyiapkan AWS Config dengan Konsol tersebut pada Panduan Developer AWS Config . Saat menentukan jenis sumber daya yang akan direkam, pastikan Anda menyertakan Systems Manager sumber daya.

Anda harus secara teratur memeriksa saran keamanan yang diposting Trusted Advisor untuk Anda Akun AWS. Anda dapat melakukan ini secara terprogram menggunakan describe-trusted-advisor-checks.

Selanjutnya, secara aktif memantau alamat email utama yang terdaftar untuk masing-masing alamat email Anda Akun AWS. AWS akan menghubungi Anda, menggunakan alamat email ini, tentang masalah keamanan yang muncul yang mungkin memengaruhi Anda.

AWS masalah operasional dengan dampak luas diposting di Dasbor Kesehatan AWS Layanan. Masalah operasional juga di-posting ke akun individu melalui Personal Health Dashboard. Untuk informasi selengkapnya, lihat Dokumentasi AWS Health.