Cloud Custodian을 사용하여 AmazonRDS에 대한 퍼블릭 액세스 차단

작성자: abhay kumar(AWS) 및 Dwarika Patra(AWS)

요약

많은 조직이 여러 클라우드 공급업체에서 워크로드와 서비스를 실행합니다. 이러한 하이브리드 클라우드 환경에서 클라우드 인프라에는 개별 클라우드 공급자가 제공하는 보안 외에도 엄격한 클라우드 거버넌스가 필요합니다. Amazon Relational Database Service(Amazon )와 같은 클라우드 데이터베이스는 액세스 및 권한 취약성이 있는지 모니터링해야 하는 중요한 서비스 중 하나입니다. RDS 보안 그룹을 구성하여 Amazon RDS 데이터베이스에 대한 액세스를 제한할 수 있지만 두 번째 보호 계층을 추가하여 퍼블릭 액세스와 같은 작업을 금지할 수 있습니다. 퍼블릭 액세스가 차단되도록 하면 일반 데이터 보호 규정(GDPR), 건강보험 이전 및 책임에 관한 법률(HIPAA), 미국 국립표준기술연구소(NIST) 및 결제 카드 산업 데이터 보안 표준(PCIDSS) 규정 준수에 도움이 됩니다.

Cloud Custodian은 Amazon 와 같은 Amazon Web Services(AWS) 리소스에 대한 액세스 제한을 적용하는 데 사용할 수 있는 오픈 소스 규칙 엔진입니다RDS. Cloud Custodian을 사용하면 정의된 보안 및 규정 준수 표준에 따라 환경을 검증하는 규칙을 설정할 수 있습니다. Cloud Custodian을 사용하면 보안 정책, 태그 정책, 미사용 리소스의 가비지 수집 및 비용 관리를 준수하도록 지원하여 클라우드 환경을 관리할 수 있습니다. Cloud Custodian을 사용하면 단일 인터페이스를 사용하여 하이브리드 클라우드 환경에서 거버넌스를 구현할 수 있습니다. 예를 들어 Cloud Custodian 인터페이스를 사용하여 AWS 및 Microsoft Azure와 상호 작용하여 AWS Config, AWS 보안 그룹 및 Azure 정책과 같은 메커니즘을 사용하는 노력을 줄일 수 있습니다.

이 패턴은 에서 Cloud CustodianAWS을 사용하여 Amazon RDS 인스턴스에 대한 퍼블릭 액세스 제한을 적용하는 지침을 제공합니다.

사전 조건 및 제한 사항

사전 조건 

아키텍처

대상 기술 스택

대상 아키텍처 

다음 다이어그램은 정책을 Lambda에 배포하고, CreateDBInstance 이벤트를 AWS CloudTrail 시작하고, Amazon 에서 Lambda 함수 설정을 falsePubliclyAccessible로 설정하는 Cloud Custodian을 보여줍니다RDS.

도구

AWS 서비스

기타 도구

에픽

$>aws configure
AWS Access Key ID [None]: <your_access_key_id>
AWS Secret Access Key [None]: <your_secret_access_key>
Default region name [None]:
Default output format [None]:

aws iam create-role --role-name lambda-ex --assume-role-policy-document '{"Version": "2012-10-17","Statement": [{ "Effect": "Allow", "Principal": {"Service": "lambda.amazonaws.com"}, "Action": "sts:AssumeRole"}]}

custodian schema aws.rds

custodian run -dryrun <policy_name>.yaml -s <output_directory>

custodian run -s policy.yaml

관련 리소스

추가 정보

클라우드 관리인 정책 YAML 파일

policies:
  - name: "block-public-access"
    resource: rds
    description: |
      This Enforcement blocks public access for RDS instances.
    mode:
      type: cloudtrail
      events:
        - event: CreateDBInstance # Create RDS instance cloudtrail event
          source: rds.amazonaws.com
          ids: requestParameters.dBInstanceIdentifier
      role: arn:aws:iam::1234567890:role/Custodian-compliance-role
    filters:
      - type: event
        key: 'detail.requestParameters.publiclyAccessible'
        value: true
    actions:
      - type: set-public-access
        state: false

c7n 리소스 rds.py 파일

@actions.register('set-public-access')
 class RDSSetPublicAvailability(BaseAction):
 
     schema = type_schema(
         "set-public-access",
         state={'type': 'boolean'})
     permissions = ('rds:ModifyDBInstance',)
 
     def set_accessibility(self, r):
         client = local_session(self.manager.session_factory).client('rds')
         waiter = client.get_waiter('db_instance_available')
         waiter.wait(DBInstanceIdentifier=r['DBInstanceIdentifier'])
         client.modify_db_instance(
             DBInstanceIdentifier=r['DBInstanceIdentifier'],
             PubliclyAccessible=self.data.get('state', False))
 
 
     def process(self, rds):
         with self.executor_factory(max_workers=2) as w:
             futures = {w.submit(self.set_accessibility, r): r for r in rds}
             for f in as_completed(futures):
                 if f.exception():
                     self.log.error(
                         "Exception setting public access on %s  \n %s",
                         futures[f]['DBInstanceIdentifier'], f.exception())
         return rds

Security Hub 통합

Cloud Custodian을 AWS Security Hub와 통합하여 보안 결과를 보내고 수정 작업을 시도할 수 있습니다. 자세한 내용은 AWS Security Hub와 클라우드 관리인 통합 발표를 참조하세요.