Configurando o AWS Marketplace Vendor Insights - AWS Marketplace
Criar um perfil de segurançaUpload de uma certificaçãoFazer upload de uma autoavaliaçãoHabilite avaliações AWS Audit Manager automatizadas

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurando o AWS Marketplace Vendor Insights

O procedimento a seguir descreve as etapas de alto nível para configurar o AWS Marketplace Vendor Insights em sua lista de AWS Marketplace software como serviço (SaaS).

Para configurar o AWS Marketplace Vendor Insights em sua listagem de SaaS

  1. Criar um perfil de segurança.

  2. (Opcional)Upload de uma certificação.

  3. Fazer upload de uma autoavaliação.

  4. (Opcional) Habilite avaliações AWS Audit Manager automatizadas.

Criar um perfil de segurança

Um perfil de segurança fornece aos compradores uma visão detalhada da postura de segurança do seu produto de software. Um perfil de segurança usa fontes de dados associadas, incluindo autoavaliações, certificações e AWS Audit Manager avaliações automatizadas.

nota

Você pode criar um número limitado de perfis de segurança. Para criar mais perfis de segurança, solicite um aumento de cota. Para obter mais informações, consulte Service Quotas do AWS em Referência geral da AWS.

Para criar um perfil de segurança

  1. Faça login usando um IAM usuário ou função com acesso à conta do AWS Marketplace vendedor.

  2. Escolha Produtos e selecione SaaS para navegar até a página de produtos SaaS.

  3. Escolha um produto.

  4. Escolha a guia Vendor Insights e, em seguida, escolha Entrar em contato com suporte para adicionar o perfil de segurança.

  5. Preencha o formulário e escolha Enviar.

    A equipe de operações do AWS Marketplace vendedor criará o perfil de segurança. Quando o perfil de segurança estiver pronto, será enviada uma mensagem de e-mail de notificação aos destinatários identificados no formulário.

Upload de uma certificação

Uma certificação é uma fonte de dados que fornece evidências da postura de segurança do seu produto em várias dimensões. AWS Marketplace O Vendor Insights oferece suporte às seguintes certificações:

  • RAMPCertificação Fed — valida a conformidade com os padrões de segurança na nuvem do governo dos EUA

  • GDPRrelatório de conformidade — demonstra a adesão aos requisitos do Regulamento Geral de Proteção de Dados (GDPR), protegendo os dados pessoais e os direitos individuais à privacidade

  • HIPAArelatório de conformidade — demonstra a adesão aos regulamentos da Lei de Portabilidade e Responsabilidade de Seguros de Saúde (Health Insurance Portability and Accountability ActHIPAA), protegendo informações de saúde protegidas

  • ISO/IEC 27001 audit report – Confirms compliance with International Organization for Standardization (ISO)/InternationalComissão Eletrotécnica (IEC) 27001, enfatizando os padrões de segurança da informação

  • PCIDSSrelatório de auditoria — Demonstra conformidade com os padrões de segurança definidos pelo Conselho de Padrões PCI de Segurança

  • SOC2 Relatório de auditoria tipo 2 — Confirma a conformidade com os controles de privacidade e segurança de dados do Service Organizational Control (SOC)

Para fazer upload de uma certificação

  1. Na guia Vendor Insights, navegue até a seção Fontes de dados.

  2. Em Certificações, escolha Carregar certificação.

  3. Em Detalhes da certificação, forneça as informações solicitadas e faça o upload da certificação.

  4. (Opcional) Em Tags, adicione novas tags.

    nota

    Para obter informações sobre tags, consulte Como marcar seus AWS recursos no Guia do usuário de AWS recursos de marcação.

  5. Escolha Carregar certificação.

    nota

    A certificação é associada automaticamente ao perfil de segurança atual. Você também pode associar certificações que você já enviou. Na página de detalhes do produto, escolha Associar certificação em Certificações, selecione uma certificação na lista e escolha Associar certificação.

    Depois de fazer o upload da certificação, você pode baixá-la usando o botão Baixar certificação na página de detalhes do produto. Você também pode atualizar os detalhes da certificação usando o botão Atualizar certificação.

    O status da certificação muda para ValidationPendingaté que os detalhes da certificação sejam validados. Um status alternativo aparece durante e após o processamento da fonte de dados:

    • Disponível — A fonte de dados foi carregada e as validações do sistema foram concluídas com êxito.

    • AccessDenied— A referência da fonte externa da fonte de dados não está mais acessível para leitura do AWS Marketplace Vendor Insights.

    • ResourceNotFound— A referência da fonte externa da fonte de dados não está mais disponível VendorInsights para leitura.

    • ResourceNotSupported— A fonte de dados foi carregada, mas a fonte fornecida ainda não é suportada. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

    • ValidationPending— A fonte de dados foi carregada, mas as validações do sistema ainda estão em execução. Não há nenhum item de ação para você neste estágio. O status é atualizado para Disponível, ResourceNotSupported, ou ValidationFailed.

    • ValidationFailed— A fonte de dados foi carregada, mas a validação do sistema falhou por um ou mais motivos. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

Fazer upload de uma autoavaliação

Uma autoavaliação é um tipo de fonte de dados que fornece evidências da postura de segurança do seu produto. AWS Marketplace O Vendor Insights oferece suporte às seguintes autoavaliações:

  • AWS Marketplace Autoavaliação do Vendor Insights

  • Questionário da Iniciativa de Avaliação de Consenso (CAIQ). Para obter mais informações, consulte O que é CAIQ, no site da Cloud Security Alliance.

Para fazer upload de uma autoavaliação

  1. Abra o AWS Marketplace console em https://console.aws.amazon.com/marketplace.

  2. Na guia Vendor Insights, navegue até a seção Fontes de dados.

  3. Em Autoavaliações, escolha Carregar autoavaliação.

  4. Em Detalhes da autoavaliação, preencha as seguintes informações:

    1. Nome: insira um nome para a autoavaliação.

    2. Tipo — Escolha um tipo de avaliação na lista.

      nota

      Se você escolheu Autoavaliação de segurança do Vendor Insights, escolha Baixar modelo para baixar a autoavaliação. Escolha Sim, Não ou N/A para cada resposta na planilha.

  5. Para fazer upload da avaliação concluída, escolha Fazer upload da autoavaliação.

  6. (Opcional) Em Tags, adicione novas tags.

    nota

    Para obter informações sobre tags, consulte Como marcar seus AWS recursos no Guia do usuário de AWS recursos de marcação.

  7. Escolha Carregar autoavaliação.

    nota

    A autoavaliação é associada automaticamente ao perfil de segurança atual. Você também pode associar autoavaliações que já enviou. Na página de detalhes do produto, escolha Associar autoavaliação em Autoavaliações, selecione uma autoavaliação na lista e escolha Associar autoavaliação.

    Depois de fazer o upload de uma autoavaliação, você pode baixá-la usando o botão Baixar autoavaliação na página de detalhes do produto. Você também pode atualizar os detalhes da autoavaliação usando o botão Atualizar autoavaliação.

    O status é atualizado para um dos seguintes:

    • Disponível — A fonte de dados foi carregada e as validações do sistema foram concluídas com êxito.

    • AccessDenied— A referência da fonte externa da fonte de dados não está mais disponível VendorInsights para leitura.

    • ResourceNotFound— A referência da fonte externa da fonte de dados não está mais disponível VendorInsights para leitura.

    • ResourceNotSupported— A fonte de dados foi carregada, mas a fonte fornecida ainda não é suportada. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

    • ValidationPending— A fonte de dados foi carregada, mas as validações do sistema ainda estão em execução. Não há nenhum item de ação para você neste estágio. O status é atualizado para Disponível, ResourceNotSupported, ou ValidationFailed.

    • ValidationFailed— A fonte de dados foi carregada, mas a validação do sistema falhou por um ou mais motivos. Para obter detalhes sobre o erro de validação, consulte a mensagem de status.

Habilite avaliações AWS Audit Manager automatizadas

AWS Marketplace O Vendor Insights usa vários Serviços da AWS para coletar automaticamente evidências para seu perfil de segurança.

Você precisa do seguinte Serviços da AWS e dos recursos para avaliações automatizadas:

  • AWS Audit Manager— Para simplificar a configuração do AWS Marketplace Vendor Insights, usamos AWS CloudFormation Stacks e StackSets, que cuidam do provisionamento e configuração dos recursos necessários. O conjunto de pilhas cria uma avaliação automatizada contendo controles que são preenchidos automaticamente pelo AWS Config.

    Para obter mais informações sobre AWS Audit Manager, consulte o Guia AWS Audit Manager do usuário.

  • AWS Config— O conjunto de pilhas implanta um pacote de AWS Config conformidade para configurar as regras necessárias. AWS Config Essas regras permitem que a avaliação automatizada do Audit Manager reúna evidências ao vivo de outras Serviços da AWS pessoas implantadas Conta da AWS nela. Para obter mais informações sobre os AWS Config recursos, consulte o Guia do AWS Config desenvolvedor.

    nota

    Você pode notar um aumento na atividade em sua conta durante o mês inicial de gravação em AWS Config comparação com os meses subsequentes. Durante o processo inicial de inicialização, AWS Config revise todos os recursos da sua conta que você selecionou para AWS Config gravar.

    Se você executar cargas de trabalho efêmeras, poderá observar um aumento na atividade ao registrar AWS Config as alterações de configuração associadas à criação e exclusão desses recursos temporários. Um workload efêmero é um uso temporário de recursos de computação que são carregados e executados quando necessário.

    Exemplos de cargas de trabalho efêmeras incluem instâncias spot do Amazon Elastic Compute Cloud (EC2Amazon), trabalhos EMR na Amazon AWS Auto Scaling e. AWS Lambda Para evitar o aumento da atividade decorrente da execução de cargas de trabalho efêmeras, você pode executar esses tipos de cargas de trabalho em uma conta separada, desativada. AWS Config Essa abordagem evita o aumento do registro de configurações e das avaliações de regras.

  • Amazon S3: o conjunto de pilhas cria os seguintes dois buckets do Amazon Simple Storage Service (Amazon S3):

    • vendor-insights-stack-set-output-bucket- {número da conta} — Esse bucket contém saídas da execução do conjunto de pilhas. A equipe de operações do AWS Marketplace vendedor usa os resultados para concluir seu processo automatizado de criação da fonte de dados.

    • vendor-insights-assessment-reports-bucket- {account number} — AWS Audit Manager publica relatórios de avaliação neste bucket do Amazon S3. Para obter mais informações sobre a publicação de relatórios de avaliação, consulte Relatórios de avaliação no Guia do usuário do AWS Audit Manager .

      Para obter mais informações sobre os recursos do Amazon S3, consulte o Guia do usuário da Amazon S3.

  • IAM— O conjunto de pilhas de integração fornece as seguintes AWS Identity and Access Management (IAM) funções em sua conta:

    • Quando o modelo VendorInsightsPrerequisiteCFT.yml é implantado, ele cria a função de administrador AWSVendorInsightsOnboardingStackSetsAdmin e a função de execução AWSVendorInsightsOnboardingStackSetsExecution. O conjunto de pilhas usa a função de administrador para implantar as pilhas necessárias em várias Regiões da AWS simultaneamente. A função de administrador assume a função de execução para implantar as pilhas principais e aninhadas necessárias como parte do processo de configuração do AWS Marketplace Vendor Insights. Para obter mais informações sobre permissões autogerenciadas, consulte Conceder permissões autogerenciadas no Guia do usuário do AWS CloudFormation .

    • A AWSVendorInsightsRole função fornece ao AWS Marketplace Vendor Insights acesso para ler as avaliações nos AWS Audit Manager recursos. AWS Marketplace O Vendor Insights exibe as evidências encontradas nas avaliações em seu perfil do AWS Marketplace Vendor Insights.

    • Isso AWSVendorInsightsOnboardingDelegationRole fornece ao AWS Marketplace Vendor Insights acesso para listar e ler objetos no vendor-insights-stack-set-output-bucket bucket. Esse recurso permite que a equipe de operações do AWS Marketplace catálogo ajude você a configurar um perfil do AWS Marketplace Vendor Insights.

    • A AWSAuditManagerAdministratorAccess função fornece acesso administrativo para ativar ou desativar AWS Audit Manager, atualizar configurações e gerenciar avaliações, controles e estruturas. Você ou sua equipe podem assumir essa função para realizar ações para avaliações automatizadas no AWS Audit Manager.

Para permitir avaliações AWS Audit Manager automatizadas, você deve implantar as pilhas de integração.

Implantar as pilhas de integração

Para simplificar a configuração do AWS Marketplace Vendor Insights, usamos AWS CloudFormation Stacks e StackSets, que cuidam do provisionamento e configuração dos recursos necessários. Se você tiver várias contas ou várias soluções Região da AWS SaaS, StackSets permita que você implante as pilhas de integração a partir de uma conta de gerenciamento central.

Para obter mais informações sobre CloudFormation StackSets, consulte Trabalhando com AWS CloudFormation StackSets no Guia AWS CloudFormation do Usuário.

AWS Marketplace A configuração do Vendor Insights exige que você use os seguintes CloudFormation modelos:

  • VendorInsightsPrerequisiteCFT— Configura a função e as permissões de administrador necessárias para execução CloudFormation StackSets em sua conta. Crie essa pilha na sua conta de vendedor.

  • VendorInsightsOnboardingCFT— Configura o necessário Serviços da AWS e configura as IAM permissões apropriadas. Essas permissões permitem que o AWS Marketplace Vendor Insights reúna dados do produto SaaS em execução no Contas da AWS seu e exiba os dados no AWS Marketplace seu perfil do Vendor Insights. Crie essa pilha na sua conta de vendedor e nas contas de produção que estão hospedando sua solução SaaS por meio de. StackSets

Crie o VendorInsightsPrerequisiteCFT stack (pilha)

Ao executar a VendorInsightsPrerequisiteCFT CloudFormation pilha, você configura IAM permissões para começar a integrar conjuntos de pilhas.

Para criar o VendorInsightsPrerequisiteCFT stack (pilha)

  1. Analise e baixe o VendorInsightsPrerequisiteCFT.yml arquivo mais recente da pasta de modelos do AWS Samples Repo for Vendor Insights no GitHub site.

  2. Faça login em AWS Management Console usando sua conta de AWS Marketplace vendedor e abra o AWS CloudFormation console em https://console.aws.amazon.com/cloudformation.

  3. No painel de navegação do CloudFormation console, escolha Pilhas e, em seguida, escolha Criar pilha e Com novos recursos (padrão) no menu suspenso. (Se o painel de navegação não estiver visível, no canto superior esquerdo, selecione e expanda o painel de navegação.)

  4. Em Especificar modelo, escolha Fazer upload de um arquivo de modelo. Para carregar o arquivo VendorInsightsPrerequisiteCFT.yml que você baixou, use Escolher arquivo. Em seguida, escolha Próximo.

  5. Insira um nome para a pilha e escolha Avançar.

  6. (Opcional) Configure as opções de pilha conforme desejar.

    Escolha Próximo.

  7. Na página Analisar, examine suas escolhas. Para fazer as alterações, escolha Editar na área em que você deseja alterar. Antes de criar a pilha, você deve marcar as caixas de seleção de confirmação na área Capacidades.

    Selecione Enviar.

  8. Depois que a pilha for criada, escolha a guia Recursos e anote as seguintes funções que são criadas:

    • AWSVendorInsightsOnboardingStackSetsAdmin

    • AWSVendorInsightsOnboardingStackSetsExecution

Crie o VendorInsightsOnboardingCFT conjunto de pilhas

Ao executar o conjunto de VendorInsightsOnboardingCFT CloudFormation pilhas, você configura as IAM permissões necessárias Serviços da AWS e configura as apropriadas. Isso permite que o AWS Marketplace Vendor Insights reúna dados do produto SaaS em execução no Conta da AWS seu e os exiba no seu perfil do Vendor Insights. AWS Marketplace

Se você tiver uma solução de várias contas ou se tiver contas de vendedor e de produção separadas, deverá implantar essa pilha em várias contas. StackSets permitem que você faça isso a partir da conta de gerenciamento na qual você criou a pilha de pré-requisitos.

O conjunto de pilhas é implantado usando permissões autogerenciadas. Para obter mais informações, consulte Criar um conjunto de pilhas com permissões autogerenciadas no Guia do usuário do AWS CloudFormation .

Para criar o VendorInsightsOnboardingCFT conjunto de pilhas

  1. Analise e baixe o VendorInsightsOnboardingCFT.yml arquivo mais recente da pasta de modelos do AWS Samples Repo for Vendor Insights no GitHub site.

  2. Faça login no AWS Management Console usando sua conta de AWS Marketplace vendedor e abra o AWS CloudFormation console em https://console.aws.amazon.com/cloudformation..

  3. No painel de navegação CloudFormation do console, escolha Criar StackSet. (Se o painel de navegação não estiver visível, no canto superior esquerdo, selecione e expanda o painel de navegação.)

  4. Em Permissões, para a função de administrador, escolha o nome da IAM função e, em seguida, escolha AWSVendorInsightsOnboardingStackSetsAdmino nome da função no menu suspenso.

  5. Insira AWSVendorInsightsOnboardingStackSetsExecution como nome da função de IAM execução.

  6. Em Especificar modelo, escolha Fazer upload de um arquivo de modelo. Para carregar o arquivo VendorInsightsOnboardingCFT.yml que você baixou, use Escolher arquivo e escolha Avançar.

  7. Forneça os StackSet parâmetros a seguir e escolha Avançar.

    • CreateVendorInsightsAutomatedAssessment— Este parâmetro configura a avaliação AWS Audit Manager automatizada em seu Conta da AWS. Se você tiver contas de gerenciamento e de produção separadas, essa opção deverá ser selecionada somente para contas de produção e não para a conta de gerenciamento.

    • CreateVendorInsightsIAMRoles— Esse parâmetro fornece uma IAM função que permite que o AWS Marketplace Vendor Insights leia os dados da avaliação em seu Conta da AWS.

    • PrimaryRegion: esse parâmetro define a Região da AWS primária para sua implantação de SaaS. Essa é a região em que o bucket do S3 é criado no seu Conta da AWS. Se seu produto de SaaS for implantado em apenas uma região, essa região será a região principal.

  8. Configure as StackSet opções conforme desejar. Mantenha a configuração de Execução como Inativa e escolha Avançar.

  9. Configure as opções de implantação. Se você tiver uma solução de várias contas, poderá configurar o conjunto de pilhas para ser implantado em várias contas e regiões como uma única operação. Escolha Próximo.

    nota

    Se você tiver uma solução para várias contas, não recomendamos implantá-la em todas as contas como um único conjunto de pilhas. Preste muita atenção aos parâmetros definidos na etapa 7. Talvez você queira habilitar ou desabilitar alguns parâmetros, dependendo do tipo de conta em que você está implantando. StackSets aplique os mesmos parâmetros a todas as contas especificadas em uma única implantação. Você pode reduzir o tempo de implantação agrupando contas em um conjunto de pilhas, mas ainda precisa implantar várias vezes para uma solução de várias contas.

    Importante

    Se você estiver implantando em várias regiões, a primeira região que listar deve ser a PrimaryRegion. Deixe a opção Concorrência de região como a configuração padrão de Sequencial.

  10. Na página Analisar, examine suas escolhas. Para fazer as alterações, escolha Editar na área em que você deseja alterar. Antes de criar o conjunto de pilhas, você deve marcar a caixa de seleção de confirmação na área Capacidades.

    Selecione Enviar.

    O conjunto de pilhas leva cerca de cinco minutos por região para ser concluído.