Livrer en toute sécurité

Sécurité AWS pour les développeurs

Rahul Singh

Technical Product Manager

À quoi sert la checklist

Deux cartes côte à côte au-dessus d'une barre de déploiement plein écran. La carte de gauche, « setting », contient trois valeurs de configuration chacune avec une coche verte, légendée « one right value ». La carte de droite, « question », contient trois points d'interrogation à côté d'emplacements de réponse en pointillés, légendée « your answer ». Des flèches partent des deux cartes vers la barre de déploiement.

  • Six questions, à poser avant de livrer
  • Pas six réglages à activer
Sécurité AWS pour les développeurs

Six questions, dans l'ordre de la requête

Posez-les dans cet ordre

  1. Qui vérifie le jeton de l'appelant ?
  2. Quelle identité AWS contrôle-t-il ?

Le service de rapports locataires esquissé en chemin vertical : utilisateur locataire, puis API Gateway, puis la fonction de rapport. Des marqueurs numérotés un et deux indiquent où chaque question s'applique.

Sécurité AWS pour les développeurs

Six questions, dans l'ordre de la requête

Posez-les dans cet ordre

  1. Qui vérifie le jeton de l'appelant ?
  2. Quelle identité AWS contrôle-t-il ?
  3. Qu'est-ce qui empêche un locataire de lire les lignes d'un autre ?
  4. Où vit le mot de passe de la base ?

Le service de rapports locataires en chemin vertical : utilisateur locataire, API Gateway, fonction de rapport et DynamoDB, avec Secrets Manager en branche latérale. Des marqueurs 1 à 4 indiquent où chaque question s'applique.

Sécurité AWS pour les développeurs

Six questions, dans l'ordre de la requête

Posez-les dans cet ordre

  1. Qui vérifie le jeton de l'appelant ?
  2. Quelle identité AWS contrôle-t-il ?
  3. Qu'est-ce qui empêche un locataire de lire les lignes d'un autre ?
  4. Où vit le mot de passe de la base ?
  5. Qui détient la clé, et qui l'a utilisée ?
  6. Le téléchargement de demain laissera-t-il une trace ?

Le service de rapports locataires en chemin vertical : utilisateur locataire, API Gateway, fonction de rapport, DynamoDB et rapports S3, avec Secrets Manager et une clé KMS en branches latérales. Six marqueurs numérotés indiquent où chaque question s'applique. Une limite en pointillés entoure l'ensemble du service et alimente un encadré CloudTrail en pointillés en dessous.

Sécurité AWS pour les développeurs

Coché ne veut pas dire sûr

Trois issues de ce service

  1. Rôle, pas clé : lit chaque objet

Trois fragments numérotés du service de rapport. 1) La fonction de rapport a une coche verte et un contour orange en pointillés couvre les trois préfixes locataires du bucket. 2) Un filtre locataire vert est dans la fonction tandis qu'une barrière orange vide est sur le chemin de requête à l'extérieur. 3) Le bucket a une coche verte et un chemin orange en pointillés depuis un auditeur vers la clé gérée par AWS est arrêté avant.

Sécurité AWS pour les développeurs

Coché ne veut pas dire sûr

Trois issues de ce service

  1. Rôle, pas clé : lit chaque objet
  2. Colonne locataire : le filtre est dans votre code
  3. Chiffrement activé : la clé ne peut pas être partagée

Trois fragments numérotés du service de rapport. 1) La fonction de rapport a une coche verte et un contour orange en pointillés couvre les trois préfixes locataires du bucket. 2) Un filtre locataire vert est dans la fonction tandis qu'une barrière orange vide est sur le chemin de requête à l'extérieur. 3) Le bucket a une coche verte et un chemin orange en pointillés depuis un auditeur vers la clé gérée par AWS est arrêté avant.

Sécurité AWS pour les développeurs

L'écart qu'une config ne montre pas

Un encadré externe « granted » contenant deux boîtes internes qui ne se recoupent pas. Une boîte verte pleine « used » contient trois actions IAM appelées par le rôle. Une boîte orange en pointillés « never called » contient trois actions IAM jamais appelées.

  • Correct le jour d'écriture : chaque action alors appelée par le service
Sécurité AWS pour les développeurs

L'écart qu'une config ne montre pas

Un encadré externe « granted » contenant deux boîtes internes qui ne se recoupent pas. Une boîte verte pleine « used » contient trois actions IAM appelées par le rôle. Une boîte orange en pointillés « never called » contient trois actions IAM jamais appelées.

  • Correct le jour d'écriture : chaque action alors appelée par le service
  • Trop large aujourd'hui : la moitié qu'il n'appelle plus
  • La correction : accorder ce que quatre-vingt-dix jours de trail montrent en usage
Sécurité AWS pour les développeurs

Consignez la raison, pas le réglage

Deux faces d'un même choix

  • La valeur définie par votre code
  • La raison de ce choix

Une ligne de configuration, étiquetée dans le dépôt, au-dessus d'un encadré vide en pointillés « why » légendé « not written down ». Une flèche descend vers une fiche verte avec quatre champs : chose, rejected, would change if, et date.

Sécurité AWS pour les développeurs

Consignez la raison, pas le réglage

Deux faces d'un même choix

  • La valeur définie par votre code
  • La raison de ce choix
  • Écrit et validé : une décision
  • Laissé sans doc : une mauvaise surprise

Une ligne de configuration, étiquetée dans le dépôt, au-dessus d'un encadré vide en pointillés « why » légendé « not written down ». Une flèche descend vers une fiche verte avec quatre champs : chose, rejected, would change if, et date.

Sécurité AWS pour les développeurs

Mêmes questions, nouveaux appelants

Trois lignes sous deux en-têtes, acteur et appelant, associant chaque acteur à l'appelant qu'il déclenche : une personne avec une session navigateur (atténuée comme cas connu), un commit avec un pipeline, et une requête avec un agent. Tous convergent vers une porte bleue « one gate » avec trois marqueurs numérotés.

  • Workload identity : une identité pour un appelant qui n'est pas une personne
Sécurité AWS pour les développeurs

Mêmes questions, nouveaux appelants

Trois lignes sous deux en-têtes, acteur et appelant, associant chaque acteur à l'appelant qu'il déclenche : une personne avec une session navigateur (atténuée comme cas connu), un commit avec un pipeline, et une requête avec un agent. Tous convergent vers une porte bleue « one gate » avec trois marqueurs numérotés.

  • Workload identity : une identité pour un appelant qui n'est pas une personne
  • Toujours trois questions : une identité qu'AWS peut vérifier, un périmètre pas plus large que la tâche, une trace de ce qui a été fait
  • Ce qui change : l'appelant
Sécurité AWS pour les développeurs

Prochaine étape

Deux bandes empilées. La bande supérieure, « the account », contient quatre cases égales : GuardDuty, Security Hub, AWS Config et Organizations. Sous un séparateur en pointillés, la bande inférieure, « your service », contient les six marqueurs numérotés vus plus tôt.

  • Votre service : les six questions
  • Le compte au-dessus : GuardDuty, Security Hub, AWS Config, Organizations
Sécurité AWS pour les développeurs

Passons à la pratique !

Sécurité AWS pour les développeurs

Preparing Video For Download...