Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Keamanan infrastruktur di Amazon WorkSpaces

Sebagai layanan terkelola, Amazon WorkSpaces dilindungi oleh keamanan jaringan AWS global. Untuk informasi tentang layanan AWS keamanan dan cara AWS melindungi infrastruktur, lihat Keamanan AWS Cloud. Untuk mendesain AWS lingkungan Anda menggunakan praktik terbaik untuk keamanan infrastruktur, lihat Perlindungan Infrastruktur dalam Kerangka Kerja yang AWSDiarsiteksikan dengan Baik Pilar Keamanan.

Anda menggunakan panggilan API yang AWS dipublikasikan untuk mengakses WorkSpaces melalui jaringan. Klien harus mendukung hal-hal berikut:

Selain itu, permintaan harus ditandatangani menggunakan access key ID dan secret access key yang terkait dengan principal IAM. Atau, Anda bisa menggunakan AWS Security Token Service (AWS STS) untuk membuat kredensial keamanan sementara untuk menandatangani permintaan.

Isolasi jaringan

Cloud Privat Virtual (VPC) adalah jaringan virtual dalam area Anda yang diisolasi secara logis dalam AWS Cloud. Anda dapat menerapkan subnet pribadi WorkSpaces di VPC Anda. Untuk informasi selengkapnya, lihat Konfigurasikan VPC untuk WorkSpaces.

Untuk mengizinkan lalu lintas hanya dari rentang alamat tertentu (misalnya, dari jaringan perusahaan Anda), perbarui grup keamanan untuk VPC Anda atau gunakan Grup kontrol akses IP.

Anda dapat membatasi WorkSpace akses ke perangkat tepercaya dengan sertifikat yang valid. Untuk informasi selengkapnya, lihat Batasi WorkSpaces akses ke perangkat tepercaya.

Isolasi pada host fisik

Berbeda WorkSpaces pada inang fisik yang sama diisolasi satu sama lain melalui hypervisor. Seolah-olah WorkSpaces berada di host fisik yang terpisah. Ketika a WorkSpace dihapus, memori yang dialokasikan untuk itu digosok (diatur ke nol) oleh hypervisor sebelum dialokasikan ke yang baru. WorkSpace

Otorisasi pengguna perusahaan

Dengan WorkSpaces, direktori dikelola melalui. AWS Directory Service Anda dapat membuat direktori, yang dikelola secara mandiri untuk pengguna. Atau Anda dapat berintegrasi dengan lingkungan Direktori Aktif yang tersedia sehingga pengguna Anda dapat menggunakan kredensialnya saat ini untuk mendapatkan akses tanpa batas ke sumber daya perusahaan. Untuk informasi selengkapnya, lihat Kelola direktori untuk WorkSpaces.

Untuk lebih mengontrol akses ke Anda WorkSpaces, gunakan otentikasi multi-faktor. Untuk informasi selengkapnya, lihat Cara Mengaktifkan Autentikasi Multi-Faktor untuk Layanan AWS.

Membuat permintaan Amazon WorkSpaces API melalui titik akhir antarmuka VPC

Anda dapat terhubung langsung ke titik akhir Amazon WorkSpaces API melalui titik akhir antarmuka di cloud pribadi virtual (VPC) Anda alih-alih terhubung melalui internet. Saat Anda menggunakan titik akhir antarmuka VPC, komunikasi antara VPC dan titik akhir Amazon WorkSpaces API dilakukan sepenuhnya dan aman di dalam jaringan. AWS

Titik akhir Amazon WorkSpaces API mendukung titik akhir antarmuka Amazon Virtual Private Cloud (Amazon VPC) yang didukung oleh. AWS PrivateLink Masing-masing VPC endpoint diwakili oleh satu atau lebih antarmuka jaringan (juga dikenal sebagai antarmuka jaringan elastis, atau ENI) dengan alamat IP privat di subnet VPC Anda.

Titik akhir antarmuka VPC menghubungkan VPC Anda langsung ke titik akhir Amazon WorkSpaces API tanpa gateway internet, perangkat NAT, koneksi VPN, atau koneksi. AWS Direct Connect Instans di VPC Anda tidak memerlukan alamat IP publik untuk berkomunikasi dengan titik akhir WorkSpaces Amazon API.

Anda dapat membuat titik akhir antarmuka untuk terhubung ke Amazon WorkSpaces dengan perintah AWS Management Console or AWS Command Line Interface (AWS CLI). Untuk instruksi, lihat Membuat Titik Akhir Antarmuka.

Setelah Anda membuat titik akhir VPC, Anda dapat menggunakan contoh perintah CLI berikut yang menggunakan endpoint-url parameter untuk menentukan titik akhir antarmuka ke titik akhir Amazon API: WorkSpaces

aws workspaces copy-workspace-image --endpoint-url VPC_Endpoint_ID.workspaces.Region.vpce.amazonaws.com

aws workspaces delete-workspace-image --endpoint-url VPC_Endpoint_ID.api.workspaces.Region.vpce.amazonaws.com

aws workspaces describe-workspace-bundles --endpoint-url VPC_Endpoint_ID.workspaces.Region.vpce.amazonaws.com  \
   --endpoint-name Endpoint_Name \
   --body "Endpoint_Body" \
   --content-type "Content_Type" \
       Output_File

Jika Anda mengaktifkan nama host DNS privat untuk VPC endpoint, Anda tidak perlu menentukan titik akhir URL. Nama host DNS Amazon WorkSpaces API yang digunakan CLI dan Amazon WorkSpaces SDK secara default (https://api.workspaces. Region .amazonaws.com) menyelesaikan ke titik akhir VPC Anda.

Titik akhir Amazon WorkSpaces API mendukung titik akhir VPC di AWS semua Wilayah di mana Amazon VPC dan Amazon tersedia. WorkSpaces Amazon WorkSpaces mendukung panggilan ke semua API publiknya di dalam VPC Anda.

Untuk mempelajari selengkapnya tentang AWS PrivateLink, lihat AWS PrivateLink dokumentasi. Untuk harga VPC endpoints, lihat Harga VPC. Untuk mempelajari selengkapnya tentang VPC dan titik akhir, lihat Amazon VPC.

Untuk melihat daftar titik akhir Amazon WorkSpaces API menurut Wilayah, lihat Titik Akhir WorkSpaces API.

Membuat kebijakan titik akhir VPC untuk Amazon WorkSpaces

Anda dapat membuat kebijakan untuk titik akhir Amazon VPC untuk Amazon WorkSpaces untuk menentukan hal berikut:

Untuk informasi selengkapnya, lihat Mengontrol Akses ke Layanan dengan VPC Endpoint dalam Panduan Pengguna Amazon VPC.

Contoh kebijakan titik akhir VPC berikut menetapkan bahwa semua pengguna yang memiliki akses ke titik akhir antarmuka VPC diizinkan untuk memanggil titik akhir yang dihosting Amazon bernama. WorkSpaces ws-f9abcdefg

{
     "Statement": [
         {
             "Action": "workspaces:*",
             "Effect": "Allow",
             "Resource": "arn:aws:workspaces:us-west-2:1234567891011:workspace/ws-f9abcdefg",
             "Principal": "*"
         }
     ]
}

Dalam contoh ini, tindakan berikut ditolak:

Hubungkan jaringan pribadi Anda ke VPC

Untuk memanggil Amazon WorkSpaces API melalui VPC Anda, Anda harus terhubung dari instance yang ada di dalam VPC, atau menghubungkan jaringan pribadi Anda ke VPC Anda dengan menggunakan () atau. AWS Virtual Private Network AWS VPN AWS Direct Connect Untuk informasi selengkapnya, lihat Koneksi VPN di Panduan Pengguna Amazon Virtual Private Cloud. Untuk informasi tentang AWS Direct Connect, lihat Membuat hubungan di Panduan Pengguna AWS Direct Connect.