使用 AWS Config 部署公有子網路的偵測屬性型存取控制

由 Alberto Menendez 建立 （AWS）

Summary

分散式邊緣網路架構依賴於與虛擬私有雲端 （） 中的工作負載一起執行的網路邊緣安全性VPCs。相較於更常見、集中的方法，這提供了前所未有的可擴展性。雖然在工作負載帳戶中部署公有子網路可以帶來好處，但它也會帶來新的安全風險，因為它會增加攻擊面。建議您僅部署 Elastic Load Balancing （ELB） 資源，例如 Application Load Balancer 或這些 公有子網路中的NAT閘道VPCs。在專用公有子網路中使用負載平衡器和NAT閘道，可協助您針對傳入和傳出流量實作精細的控制。

建議您同時實作預防性和偵測性控制項，以限制可部署在公有子網路中的資源類型。如需使用屬性型存取控制 （ABAC） 部署公有子網路的預防性控制項的詳細資訊，請參閱部署公有子網路的預防性屬性型存取控制 。雖然對大多數情況有效，但這些預防性控制可能無法解決所有可能的使用案例。因此，此模式以 ABAC方法為基礎，可協助您設定有關部署在公有子網路中不合規資源的提醒。解決方案會檢查彈性網路介面是否屬於公有子網路中不允許的資源。

為了達成此目標，此模式使用 AWSConfig 自訂規則 和 ABAC。自訂規則會在建立或修改彈性網路介面時處理其組態。在高層級上，此規則會執行兩個動作，以判斷網路介面是否合規：

先決條件和限制

先決條件

架構

目標架構

此圖展示了以下要點：

Lambda 函數評估邏輯

下圖顯示 Lambda 函數套用的邏輯，以評估彈性網路介面的合規性。

自動化和擴展

此模式是一種偵測性解決方案。您也可以使用修復規則來補充它，以自動解決任何不合規的資源。如需詳細資訊，請參閱使用 Config Rules AWS 修復不合規資源。

您可以透過以下方式擴展此解決方案：

工具

最佳實務

如需開發自訂 Config AWS 規則的更多範例和最佳實務，請參閱 上的官方 AWS Config 規則儲存庫 GitHub。

史詩

相關資源

AWS 文件

其他AWS資源

其他資訊

以下是為示範目的而提供的 Lambda 函數範例。

import boto3
import json
import os

# Init clients
config_client = boto3.client('config')
ec2_client = boto3.client('ec2')

def lambda_handler(event, context):

    # Init values
    compliance_value = 'NOT_APPLICABLE'
    invoking_event = json.loads(event['invokingEvent'])
    configuration_item = invoking_event['configurationItem']
    
    status = configuration_item['configurationItemStatus']
    eventLeftScope = event['eventLeftScope']

    # First check if the event configuration applies. Ex. resource event is not delete
    if (status == 'OK' or status == 'ResourceDiscovered') and not eventLeftScope:
        compliance_value = evaluate_change_notification_compliance(configuration_item)
    
    
    config_client.put_evaluations(
       Evaluations=[
           {
               'ComplianceResourceType': invoking_event['configurationItem']['resourceType'],
               'ComplianceResourceId': invoking_event['configurationItem']['resourceId'],
               'ComplianceType': compliance_value,
               'OrderingTimestamp': invoking_event['configurationItem']['configurationItemCaptureTime']
           },
       ],
       ResultToken=event['resultToken'])
    
# Function with the logs to evaluate the resource
def evaluate_change_notification_compliance(configuration_item):
    is_in_scope = is_in_scope_subnet(configuration_item['configuration']['subnetId'])
    
    if (configuration_item['resourceType'] != 'AWS::EC2::NetworkInterface') or not is_in_scope:
        return 'NOT_APPLICABLE'

    else:
        alb_condition = configuration_item['configuration']['requesterId'] in ['amazon-elb']
        nlb_condition = configuration_item['configuration']['interfaceType'] in ['network_load_balancer']
        nat_gateway_condition = configuration_item['configuration']['interfaceType'] in ['nat_gateway']

        if alb_condition or nlb_condition or nat_gateway_condition:
            return 'COMPLIANT'
    return 'NON_COMPLIANT'

# Function to check if elastic network interface is in public subnet
def is_in_scope_subnet(eni_subnet):

    subnet_description = ec2_client.describe_subnets(
        SubnetIds=[eni_subnet]
    )

    for subnet in subnet_description['Subnets']:
        for tag in subnet['Tags']:
            if tag['Key'] == os.environ.get('TAG_KEY') and tag['Value'] == os.environ.get('TAG_VALUE'):
                return True
    
    return False