パブリックサブネットに予防的属性ベースのアクセスコントロールをデプロイする

作成者: Joel Alfredo Nunez Gonzalez (AWS) と Samuel Ortega Sancho (AWS）

[概要]

一元化されたネットワークアーキテクチャでは、検査およびエッジ仮想プライベートクラウド (VPCs) は、インターネットとの間で送受信されるトラフィックなど、すべてのインバウンドトラフィックとアウトバウンドトラフィックを集中させます。ただし、これによりボトルネックが発生したり、AWSサービスクォータの制限に達する可能性があります。ネットワークエッジセキュリティをワークロードと共にデプロイすることで、より一般的で一元化されたアプローチと比較して、前例のないスケーラビリティVPCsが得られます。これは分散型エッジアーキテクチャと呼ばれます。

パブリックサブネットをワークロードアカウントにデプロイすることには利点がありますが、アタックサーフェスが増えるため、新たなセキュリティリスクも生じます。Application Load Balancer やゲートウェイなどの Elastic Load Balancing (ELB) リソースのみを、これらの のパブリックサブネットにデプロイすることをお勧めしますVPCs。 NAT専用のパブリックサブネットでロードバランサーとNATゲートウェイを使用すると、インバウンドトラフィックとアウトバウンドトラフィックをきめ細かく制御できます。

属性ベースのアクセスコントロール (ABAC) は、部門、ジョブロール、チーム名などのユーザー属性に基づいてきめ細かなアクセス許可を作成する方法です。詳細については、ABACAWS「」を参照してください。ABAC は、ワークロードアカウントのパブリックサブネットにガードレールを提供できます。これにより、アプリケーションチームは、」インフラストラクチャのセキュリティを損なうことなく機敏に対応できます。

このパターンでは、AWSIdentity and Access Management （SCP) の Organizations および ポリシーにサービスコントロールポリシー () ABACを通じて を実装することで、パブリックサブネットを保護する方法について説明しますIAM。 AWS https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.htmlSCP を組織のメンバーアカウントまたは組織単位 (OU) に適用します。これらのABACポリシーにより、ユーザーはターゲットサブネットにNATゲートウェイをデプロイし、EC2インスタンスやElastic Network Interface などの他の Amazon Elastic Compute Cloud (Amazon EC2) リソースをデプロイできなくなります。  

前提条件と制限

前提条件

制約事項

アーキテクチャ

ターゲットテクノロジースタック

ターゲット アーキテクチャ

自動化とスケール

パブリックサブネットを保護するために、対応するAWSタグを適用する必要があります。を適用した後SCP、NATゲートウェイは、権限のあるユーザーが SubnetType:IFA タグを持つサブネットで作成できる唯一の Amazon EC2リソースです。 (IFA はインターネット向けアセット を意味します）。は、インスタンスやElastic Network Interface などの他の Amazon EC2リソースの作成SCPを防止します。これらのタグがパブリックサブネットに適切に適用されるように、 AutomationAdminRoleロールを引き受ける CI/CD パイプラインを使用してVPCリソースを作成することをお勧めします。

ツール

AWS サービス

エピック

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::000000000000:root"
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

関連リソース

AWS ドキュメント

その他のAWSリファレンス

追加情報

以下のサービスコントロールポリシーは、このアプローチを組織でテストするために使用できる例です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyVPCActions",
      "Effect": "Deny",
      "Action": [
        "ec2:CreateVPC",
        "ec2:CreateRoute",
        "ec2:CreateSubnet",
        "ec2:CreateInternetGateway",
        "ec2:DeleteVPC",
        "ec2:DeleteRoute",
        "ec2:DeleteSubnet",
        "ec2:DeleteInternetGateway"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:*"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "AllowNATGWOnIFASubnet",
      "Effect": "Deny",
      "NotAction": [
        "ec2:CreateNatGateway",
        "ec2:DeleteNatGateway"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:subnet/*"
      ],
      "Condition": {
        "ForAnyValue:StringEqualsIfExists": {
          "aws:ResourceTag/SubnetType": "IFA"
        },
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "DenyChangesToAdminRole",
      "Effect": "Deny",
      "NotAction": [
        "iam:GetContextKeysForPrincipalPolicy",
        "iam:GetRole",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListInstanceProfilesForRole",
        "iam:ListRolePolicies",
        "iam:ListRoleTags"
      ],
      "Resource": [
        "arn:aws:iam::*:role/AutomationAdminRole"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "allowbydefault",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}