Implemente controles de acesso preventivos baseados em atributos para sub-redes públicas

Criado por Joel Alfredo Nunez Gonzalez () e Samuel Ortega Sancho () AWS AWS

Resumo

Em arquiteturas de rede centralizadas, a inspeção e as nuvens privadas virtuais de borda (VPCs) concentram todo o tráfego de entrada e saída, como o tráfego de e para a Internet. No entanto, isso pode criar gargalos ou resultar no alcance dos limites das cotas de AWS serviço. A implantação da segurança de ponta da rede junto com as cargas de trabalho VPCs fornece uma escalabilidade sem precedentes em comparação com a abordagem centralizada mais comum. Isso é chamado de arquitetura de borda distribuída.

Embora a implantação de sub-redes públicas em contas de workload possa oferecer benefícios, ela também introduz novos riscos de segurança, pois aumenta a superfície de ataque. Recomendamos que você implante somente recursos do Elastic Load Balancing (ELB), como Application Load Balancers, ou NAT gateways nas sub-redes públicas desses. VPCs O uso de balanceadores de carga e NAT gateways em sub-redes públicas dedicadas ajuda a implementar um controle refinado do tráfego de entrada e saída.

O controle de acesso baseado em atributos (ABAC) é a prática de criar permissões refinadas com base nos atributos do usuário, como departamento, função e nome da equipe. Para obter mais informações, consulte ABAC para AWS. ABACpode fornecer grades de proteção para sub-redes públicas em contas de carga de trabalho. Isso ajuda as equipes de aplicativos a serem ágeis, sem comprometer a segurança da infraestrutura.

Esse padrão descreve como ajudar a proteger sub-redes públicas implementando por ABAC meio de uma política de controle de serviço (SCP) em AWS Organizations e políticas em AWS Identity and Access Management (IAM). Você aplica o SCP a uma conta de membro de uma organização ou a uma unidade organizacional (OU). Essas ABAC políticas permitem que os usuários implantem NAT gateways nas sub-redes de destino e os impedem de implantar outros recursos do Amazon Elastic Compute Cloud (EC2Amazon), EC2 como instâncias e interfaces de rede elástica.  

Pré-requisitos e limitações

Pré-requisitos

Limitações

Arquitetura

Pilha de tecnologias de destino

Arquitetura de destino

Automação e escala

Para ajudar a proteger sub-redes públicas, as AWStags correspondentes devem ser aplicadas. Depois de aplicar oSCP, os NAT gateways são o único tipo de EC2 recurso da Amazon que usuários autorizados podem criar em sub-redes que têm a tag. SubnetType:IFA (IFAsignifica ativos voltados para a Internet.) SCPIsso impede a criação de outros EC2 recursos da Amazon, como instâncias e interfaces de rede elásticas. Recomendamos que você use um pipeline de CI/CD que assuma a AutomationAdminRole função de criar VPC recursos para que essas tags sejam aplicadas adequadamente às sub-redes públicas.

Ferramentas

AWSserviços

Épicos

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::000000000000:root"
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

Recursos relacionados

AWSdocumentação

AWSReferências adicionais

Mais informações

A política de controle de serviço a seguir é um exemplo que você pode usar para testar essa abordagem em sua organização.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyVPCActions",
      "Effect": "Deny",
      "Action": [
        "ec2:CreateVPC",
        "ec2:CreateRoute",
        "ec2:CreateSubnet",
        "ec2:CreateInternetGateway",
        "ec2:DeleteVPC",
        "ec2:DeleteRoute",
        "ec2:DeleteSubnet",
        "ec2:DeleteInternetGateway"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:*"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "AllowNATGWOnIFASubnet",
      "Effect": "Deny",
      "NotAction": [
        "ec2:CreateNatGateway",
        "ec2:DeleteNatGateway"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:subnet/*"
      ],
      "Condition": {
        "ForAnyValue:StringEqualsIfExists": {
          "aws:ResourceTag/SubnetType": "IFA"
        },
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "DenyChangesToAdminRole",
      "Effect": "Deny",
      "NotAction": [
        "iam:GetContextKeysForPrincipalPolicy",
        "iam:GetRole",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListInstanceProfilesForRole",
        "iam:ListRolePolicies",
        "iam:ListRoleTags"
      ],
      "Resource": [
        "arn:aws:iam::*:role/AutomationAdminRole"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:PrincipalARN": ["arn:aws:iam::*:role/AutomationAdminRole"]
        }
      }
    },
    {
      "Sid": "allowbydefault",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}