Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Sicurezza

Quando crei sistemi sull'infrastruttura AWS, le responsabilità di sicurezza vengono condivise tra te e AWS. Questo modello di responsabilità condivisa riduce il carico operativo perché AWS opera, gestisce e controlla i componenti, tra cui il sistema operativo host, il livello di virtualizzazione e la sicurezza fisica delle strutture in cui operano i servizi. Per ulteriori informazioni sulla sicurezza di AWS, visita AWS Cloud Security.

Ruoli IAM

I ruoli di AWS Identity and Access Management (IAM) consentono ai clienti di assegnare policy e autorizzazioni di accesso granulari a servizi e utenti sul cloud AWS. Questa soluzione crea ruoli IAM che concedono alle funzioni AWS Lambda della soluzione l'accesso per creare risorse regionali.

Amazon CloudFront

Questa soluzione implementa un'interfaccia utente Web ospitata in un bucket Amazon S3, distribuito da Amazon. CloudFront Per contribuire a ridurre la latenza e migliorare la sicurezza, questa soluzione include una CloudFront distribuzione con un'identità di accesso di origine, ossia un CloudFront utente che fornisce l'accesso pubblico ai contenuti del bucket del sito Web della soluzione. Per impostazione predefinita, la CloudFront distribuzione supporta connessioni fino a TLS 1.3, utilizzando la versione di protocollo più elevata supportata dal visualizzatore. Per ulteriori informazioni, consulta Restricting access to an Amazon S3 origin nella Amazon Developer Guide. CloudFront

CloudFront attiva ulteriori mitigazioni di sicurezza per aggiungere intestazioni di sicurezza HTTP a ogni risposta dello spettatore. Per ulteriori informazioni, consulta Aggiungere o rimuovere le intestazioni HTTP nelle risposte. CloudFront

Questa soluzione utilizza il CloudFront certificato predefinito, che ha un protocollo di sicurezza minimo supportato di TLS v1.0. Per imporre l'uso di TLS v1.2 o TLS v1.3, è necessario utilizzare un certificato SSL personalizzato anziché il certificato predefinito. CloudFront Per ulteriori informazioni, consulta Come posso configurare la mia CloudFront distribuzione per l'utilizzo di un certificato. SSL/TLS

Gateway Amazon API

Questa soluzione implementa endpoint Amazon API Gateway ottimizzati per l'edge per fornire API RESTful per la funzionalità di test di carico utilizzando l'endpoint API Gateway predefinito anziché un dominio personalizzato. Per le API ottimizzate per l'edge che utilizzano l'endpoint predefinito, API Gateway utilizza la politica di sicurezza. TLS-1-0 Per ulteriori informazioni, consulta Working with REST APIs nella Amazon API Gateway Developer Guide.

Questa soluzione utilizza il certificato API Gateway predefinito, che ha un protocollo di sicurezza minimo supportato di TLS v1.0. Per imporre l'uso di TLS v1.2 o TLS v1.3, è necessario utilizzare un dominio personalizzato con un certificato SSL personalizzato anziché il certificato API Gateway predefinito. Per ulteriori informazioni, consulta Configurazione di nomi di dominio personalizzati per le API REST.

Gruppo di sicurezza AWS Fargate

Per impostazione predefinita, questa soluzione apre al pubblico la regola in uscita del gruppo di sicurezza AWS Fargate. Se desideri impedire ad AWS Fargate di inviare traffico ovunque, modifica la regola in uscita impostando uno specifico Classless Inter-Domain Routing (CIDR).

Questo gruppo di sicurezza include anche una regola in entrata che consente il traffico locale sulla porta 50.000 verso qualsiasi fonte appartenente allo stesso gruppo di sicurezza. Viene utilizzato per consentire ai contenitori di comunicare tra loro.

Amazon VPC

VPC: un cloud privato virtuale (VPC) basato sul servizio Amazon VPC offre una rete privata e logicamente isolata nel cloud AWS.

Puoi specificare il tuo VPC nei parametri AWS durante la distribuzione. CloudFormation Il VPC viene utilizzato esclusivamente dalle attività ECS che generano carico; la console web e l'API non sono distribuite all'interno di questo VPC. Se non si specifica un VPC esistente, la soluzione crea un nuovo VPC con la configurazione di rete richiesta. Se si sceglie di utilizzare un VPC esistente, questo deve soddisfare i seguenti requisiti per eseguire correttamente le attività di test di carico.

Requisiti VPC

I requisiti minimi per un VPC da utilizzare con Distributed Load Testing su AWS sono elencati di seguito.

Le sottoreti pubbliche possono soddisfare questi requisiti includendo quanto segue:

Le sottoreti private possono soddisfare questi requisiti tramite l'uso di gateway NAT o endpoint VPC, come descritto di seguito.

Opzione 1: NAT Gateway

Opzione 2: VPC Endpoint

Crea i seguenti endpoint VPC nel tuo VPC:

Potrebbero funzionare anche altre configurazioni VPC.

Configurazione del gruppo di sicurezza

Durante l'implementazione, la soluzione creerà un gruppo di sicurezza all'interno del VPC per consentire il seguente traffico con attività nel cluster ECS:

Stress test di rete

Sei responsabile dell'utilizzo di questa soluzione in base alla Amazon EC2 Testing Policy. La policy copre test di rete ad alto volume eseguiti da istanze Amazon EC2 ad altre istanze Amazon EC2, servizi AWS o endpoint esterni. Questi test sono talvolta denominati stress test, load test o gameday test. Rivedi la politica per comprendere la differenza tra stress test di rete e simulazioni DDoS (che sono vietate su EC2 e trattate separatamente dalla politica sui test di simulazione DDoS) e nota che AWS può ricorrere all'ingegneria del traffico o allo shaping a volumi di traffico elevati. Consulta la pagina delle policy per le soglie e le linee guida attuali prima di eseguire test ad alto volume.

Limitazione dell'accesso all'interfaccia utente pubblica

L'approccio per limitare l'accesso alla console web dipende dall'opzione di distribuzione scelta.

Distribuzione predefinita (CloudFront + S3): per limitare l'accesso all'interfaccia utente pubblica oltre ai meccanismi di autenticazione e autorizzazione forniti da IAM e Amazon Cognito, puoi associare un ACL web AWS WAF alla distribuzione. CloudFront Prendi in considerazione l'utilizzo della soluzione AWS WAF Security Automations, che implementa una serie di regole AWS WAF preconfigurate che filtrano i comuni attacchi basati sul Web. Il modello predefinito CloudFront + S3 non distribuisce automaticamente le risorse WAF.

Distribuzione ALB + ECS Fargate: la soluzione distribuisce automaticamente un ACL web AWS WAF davanti all'ALB con regole gestite che forniscono una protezione di base contro i comuni attacchi basati sul Web. Puoi personalizzare le regole WAF per soddisfare i tuoi requisiti di sicurezza specifici, tra cui l'aggiunta di elenchi di IP-based autorizzazioni o blocchi, restrizioni geografiche, limiti di velocità o gruppi di regole gestiti da AWS aggiuntivi. Per istruzioni su come modificare la configurazione WAF, consulta la sezione sull'integrazione WAF nelle istruzioni di distribuzione.

Sicurezza del server MCP (opzionale)

Se si implementa l'integrazione opzionale del server MCP, la soluzione utilizza Amazon Bedrock AgentCore Gateway per fornire un accesso sicuro ai dati di test di carico per gli agenti di intelligenza artificiale. AgentCore Gateway convalida i token di autenticazione Amazon Cognito per ogni richiesta, in modo che solo gli utenti autorizzati possano accedere al server MCP. Tutte le interazioni con il server MCP utilizzano gli stessi limiti di autorizzazione e gli stessi controlli di accesso della console web.

Il parametro MCP Server Access Mode controlla cosa possono fare gli agenti AI. Nella ReadOnly modalità predefinita, il server MCP espone solo gli strumenti di lettura. La policy AWS Identity and Access Management (IAM) sulla funzione MCP Server Lambda consente solo GET richieste all'API della soluzione, quindi gli agenti non possono modificare le configurazioni o i risultati dei test. In ReadWrite modalità, gli agenti possono inoltre creare, modificare, eliminare e avviare scenari di test. Scegli ReadWrite solo se il tuo caso d'uso richiede agli agenti di modificare i test.

Rotazione delle credenziali: se connetti un client MCP utilizzando l'autenticazione basata su servizi (da macchina a macchina), la soluzione crea un client per app Amazon Cognito con un segreto client di lunga durata. Sei responsabile della rotazione di quel segreto e della sua archiviazione sicura. Ti consigliamo di ruotarlo almeno ogni 90 giorni. Per le procedure, fate riferimento a Ruotare il segreto del client del server MCP in Usa la soluzione.

Sicurezza della console web ospitata da ALB + ECS Fargate (opzionale)

Se si sceglie l'opzione di distribuzione ALB + ECS Fargate, si applicano le seguenti considerazioni di sicurezza:

Sicurezza headless (porta il tuo server web) (opzionale)

Se scegli l'opzione di distribuzione headless e ospiti la console web sul tuo server web, sei responsabile delle seguenti considerazioni di sicurezza:

Third-party framework di test

Distributed Load Testing on AWS raggruppa tre framework di test di terze parti: Apache JMeter, Grafana k6 e Locust. Secondo il modello di responsabilità condivisa di AWS, sei responsabile di valutare se questi framework e le relative versioni in bundle soddisfano i requisiti di sicurezza della tua organizzazione prima di eseguire i test di carico. La soluzione distribuisce ogni framework senza modifiche e verifica i file binari in bundle utilizzando i checksum SHA512 in fase di compilazione e in fase di esecuzione.

Per dettagli su quando viene installato ogni framework e su come viene effettuato il provisioning, vedi Testing framework provisioning. Fornitura del framework di test

Apache JMeter

La versione in bundle di Apache JMeter presenta vulnerabilità di sicurezza note che non possono essere completamente corrette esternamente senza compromettere la compatibilità con il framework di automazione dei test Taurus e l'ecosistema di plugin JMeter da cui dipende la soluzione. Prima di eseguire i test di carico, consulta gli avvisi di sicurezza di Apache JMeter e valuta se possono causare vulnerabilità di sicurezza per te.

Se hai bisogno di una versione patchata di JMeter, hai due opzioni. Entrambe le opzioni richiedono un archivio di test e sono disponibili solo per il tipo di test JMeter:

Il tipo di test Simple HTTP Endpoint non accetta un archivio di test e pertanto non può sovrascrivere il binario o i plug-in JMeter in dotazione. Se devi eseguire test sugli endpoint HTTP con un JMeter con patch, utilizza il tipo di test JMeter e fornisci uno script JMeter (.jmx) o un archivio .zip che includa i JAR binari o plug-in JMeter con patch.

Grafana k6

k6 è rilasciato sotto licenza. AGPL-3.0 La console web mostra un messaggio di conferma della licenza quando si crea un nuovo test k6. Nessuna vulnerabilità di sicurezza nota è stata identificata nella versione in bundle di k6 al momento del rilascio di questa soluzione. La soluzione non monitora k6 per individuare nuove vulnerabilità su base continuativa; sei responsabile della valutazione di k6 rispetto ai tuoi requisiti di sicurezza durante tutto il suo utilizzo.

Locust

Nessuna vulnerabilità di sicurezza nota è stata identificata nella versione in bundle di Locust al momento del rilascio di questa soluzione. La soluzione non monitora Locust per individuare nuove vulnerabilità su base continuativa; sei responsabile della valutazione di Locust rispetto ai tuoi requisiti di sicurezza durante tutto il suo utilizzo.