Config を使用してパブリックサブネットの検出属性ベースのアクセスコントロールAWSをデプロイする

作成者: Alberto Menendez (AWS）

[概要]

分散エッジネットワークアーキテクチャは、仮想プライベートクラウド () のワークロードとともに実行されるネットワークエッジセキュリティに依存していますVPCs。これにより、より一般的で一元化されたアプローチと比較して、これまでにないスケーラビリティが得られます。パブリックサブネットをワークロードアカウントにデプロイすることには利点がありますが、アタックサーフェスが増えるため、新たなセキュリティリスクも生じます。Application Load Balancer やゲートウェイなどの Elastic Load Balancing (ELB) リソースのみを、これらの のパブリックサブネットにデプロイすることをお勧めしますVPCs。 NAT専用のパブリックサブネットでロードバランサーとNATゲートウェイを使用すると、インバウンドトラフィックとアウトバウンドトラフィックをきめ細かく制御できます。

パブリックサブネットにデプロイできるリソースのタイプを制限するために、予防的コントロールと検出的コントロールの両方を実装することをお勧めします。属性ベースのアクセスコントロール (ABAC) を使用してパブリックサブネットの予防的コントロールをデプロイする方法の詳細については、「パブリックサブネットの予防的属性ベースのアクセスコントロールをデプロイする」を参照してください。ほとんどの状況で効果的ですが、これらの予防的コントロールは、考えられるすべてのユースケースに対処できるとは限りません。したがって、このパターンは ABACアプローチに基づいて構築され、パブリックサブネットにデプロイされている非準拠リソースに関するアラートを設定するのに役立ちます。このソリューションは、Elastic Network Interface がパブリックサブネットで許可されていないリソースに属するかどうかを確認します。

これを実現するために、このパターンでは AWS Config カスタムルールと を使用しますABAC。カスタムルールは、Elastic Network Interface が作成または変更されるたびに、その設定を処理します。大まかに言えば、このルールは 2 つのアクションを実行して、ネットワークインターフェイスが準拠しているかどうかを判断します。

前提条件と制限

前提条件

アーキテクチャ

ターゲット アーキテクチャ

この図表は、以下を示すものです：

Lambda 関数評価ロジック

次の図は、Elastic Network Interface のコンプライアンスを評価するために Lambda 関数によって適用されるロジックを示しています。

自動化とスケール

このパターンは検出的なソリューションです。また、修復ルールで補完して、準拠していないリソースを自動的に解決することもできます。詳細については、AWS「Config ルールを使用した非準拠リソースの修正」を参照してください。

このソリューションは、次の方法でスケーリングできます。

ツール

ベストプラクティス

カスタム Config AWS ルールを開発するためのその他の例とベストプラクティスについては、 の公式 AWS Config ルールリポジトリを参照してください GitHub。

エピック

関連リソース

AWS ドキュメント

その他のAWSリソース

追加情報

以下は、デモンストレーション目的で提供される Lambda 関数の例です。

import boto3
import json
import os

# Init clients
config_client = boto3.client('config')
ec2_client = boto3.client('ec2')

def lambda_handler(event, context):

    # Init values
    compliance_value = 'NOT_APPLICABLE'
    invoking_event = json.loads(event['invokingEvent'])
    configuration_item = invoking_event['configurationItem']
    
    status = configuration_item['configurationItemStatus']
    eventLeftScope = event['eventLeftScope']

    # First check if the event configuration applies. Ex. resource event is not delete
    if (status == 'OK' or status == 'ResourceDiscovered') and not eventLeftScope:
        compliance_value = evaluate_change_notification_compliance(configuration_item)
    
    
    config_client.put_evaluations(
       Evaluations=[
           {
               'ComplianceResourceType': invoking_event['configurationItem']['resourceType'],
               'ComplianceResourceId': invoking_event['configurationItem']['resourceId'],
               'ComplianceType': compliance_value,
               'OrderingTimestamp': invoking_event['configurationItem']['configurationItemCaptureTime']
           },
       ],
       ResultToken=event['resultToken'])
    
# Function with the logs to evaluate the resource
def evaluate_change_notification_compliance(configuration_item):
    is_in_scope = is_in_scope_subnet(configuration_item['configuration']['subnetId'])
    
    if (configuration_item['resourceType'] != 'AWS::EC2::NetworkInterface') or not is_in_scope:
        return 'NOT_APPLICABLE'

    else:
        alb_condition = configuration_item['configuration']['requesterId'] in ['amazon-elb']
        nlb_condition = configuration_item['configuration']['interfaceType'] in ['network_load_balancer']
        nat_gateway_condition = configuration_item['configuration']['interfaceType'] in ['nat_gateway']

        if alb_condition or nlb_condition or nat_gateway_condition:
            return 'COMPLIANT'
    return 'NON_COMPLIANT'

# Function to check if elastic network interface is in public subnet
def is_in_scope_subnet(eni_subnet):

    subnet_description = ec2_client.describe_subnets(
        SubnetIds=[eni_subnet]
    )

    for subnet in subnet_description['Subnets']:
        for tag in subnet['Tags']:
            if tag['Key'] == os.environ.get('TAG_KEY') and tag['Value'] == os.environ.get('TAG_VALUE'):
                return True
    
    return False