Bezpečné nasazení

Zabezpečení AWS pro vývojáře

Rahul Singh

Technical Product Manager

K čemu slouží checklist

Dvě karty vedle sebe nad panelem nasazení na celou šířku. Levá karta s označením nastavení obsahuje tři konfigurační hodnoty, každou se zelenou fajfkou, a je popsaná jako jedna správná hodnota. Pravá karta s označením otázka obsahuje tři otazníky vedle prázdných přerušovaných polí pro odpověď a je popsaná jako tvoje odpověď. Šipky vedou z obou karet dolů do panelu nasazení.

  • Šest otázek, které si položíš před nasazením
  • Ne šest nastavení, která stačí zapnout
Zabezpečení AWS pro vývojáře

Šest otázek v pořadí požadavku

Ptej se v tomto pořadí

  1. Kdo ověřuje token volajícího?
  2. Jakou identitu AWS kontroluje?

Služba reportů pro tenanty se začíná kreslit jako svislá cesta: uživatel tenanta, pak API Gateway, pak reportovací funkce. Číslované značky jedna a dva označují dvě místa, kam se vztahuje otázka.

Zabezpečení AWS pro vývojáře

Šest otázek v pořadí požadavku

Ptej se v tomto pořadí

  1. Kdo ověřuje token volajícího?
  2. Jakou identitu AWS kontroluje?
  3. Co brání jednomu tenantovi číst řádky jiného?
  4. Kde se uchovává heslo k databázi?

Služba reportů pro tenanty nakreslená jako svislá cesta: uživatel tenanta, API Gateway, reportovací funkce a DynamoDB, se Secrets Manager odbočujícím na stranu. Číslované značky jedna až čtyři označují čtyři místa, kam se vztahuje otázka.

Zabezpečení AWS pro vývojáře

Šest otázek v pořadí požadavku

Ptej se v tomto pořadí

  1. Kdo ověřuje token volajícího?
  2. Jakou identitu AWS kontroluje?
  3. Co brání jednomu tenantovi číst řádky jiného?
  4. Kde se uchovává heslo k databázi?
  5. Kdo drží klíč a kdo ho použil?
  6. Zanechá zítřejší stažení záznam?

Služba reportů pro tenanty nakreslená jako svislá cesta: uživatel tenanta, API Gateway, reportovací funkce, DynamoDB a S3 reporty, se Secrets Manager a klíčem KMS odbočujícími na stranu. Šest číslovaných značek označuje šest míst, kam se vztahuje otázka. Přerušovaná hranice obklopuje celou službu a vede do přerušovaného boxu CloudTrail pod ní.

Zabezpečení AWS pro vývojáře

Odškrtnuté neznamená bezpečné

Tři z této služby

  1. Role, ne klíč: čte každý objekt

Tři číslované fragmenty reportovací služby. V prvním má reportovací funkce zelenou fajfku a oranžový přerušovaný obrys zasahuje přes všechny tři prefixy tenantů v bucketu. Ve druhém je uvnitř funkce zelený filtr tenanta, zatímco na cestě požadavku mimo ni je prázdná oranžová brána. Ve třetím má bucket zelenou fajfku a oranžová přerušovaná cesta od auditora ke spravovanému klíči AWS je před ním zastavena.

Zabezpečení AWS pro vývojáře

Odškrtnuté neznamená bezpečné

Tři z této služby

  1. Role, ne klíč: čte každý objekt
  2. Sloupec tenanta: filtr je ve tvém kódu
  3. Šifrování zapnuté: klíč nelze sdílet

Tři číslované fragmenty reportovací služby. V prvním má reportovací funkce zelenou fajfku a oranžový přerušovaný obrys zasahuje přes všechny tři prefixy tenantů v bucketu. Ve druhém je uvnitř funkce zelený filtr tenanta, zatímco na cestě požadavku mimo ni je prázdná oranžová brána. Ve třetím má bucket zelenou fajfku a oranžová přerušovaná cesta od auditora ke spravovanému klíči AWS je před ním zastavena.

Zabezpečení AWS pro vývojáře

Mezera, kterou konfigurace neukáže

Jeden vnější box s označením přiděleno obsahuje dva vnitřní boxy, které se nepřekrývají. Plný zelený box s označením použito obsahuje tři IAM akce, které role volala. Přerušovaný oranžový box s označením nikdy nevoláno obsahuje tři IAM akce, které nikdy nevolala.

  • Správné v den vytvoření: každá akce, kterou tehdy služba volala
Zabezpečení AWS pro vývojáře

Mezera, kterou konfigurace neukáže

Jeden vnější box s označením přiděleno obsahuje dva vnitřní boxy, které se nepřekrývají. Plný zelený box s označením použito obsahuje tři IAM akce, které role volala. Přerušovaný oranžový box s označením nikdy nevoláno obsahuje tři IAM akce, které nikdy nevolala.

  • Správné v den vytvoření: každá akce, kterou tehdy služba volala
  • Dnes příliš široké: polovina, kterou přestala volat
  • Řešení: přiděl to, co ukazuje devadesátidenní záznam používání
Zabezpečení AWS pro vývojáře

Zapiš důvod, ne nastavení

Dvě poloviny jedné volby

  • Hodnota, kterou nastaví tvůj kód
  • Důvod tohoto nastavení

Konfigurační řádek s označením v repozitáři se nachází nad prázdným přerušovaným boxem s označením proč a popiskem nezapsáno. Šipka z něj vede dolů do zelené karty záznamu se čtyřmi popsanými poli: vybráno, zamítnuto, změnil bych, pokud a datum.

Zabezpečení AWS pro vývojáře

Zapiš důvod, ne nastavení

Dvě poloviny jedné volby

  • Hodnota, kterou nastaví tvůj kód
  • Důvod tohoto nastavení

 

  • Zapsané a odsouhlasené: rozhodnutí
  • Nezdokumentované: překvapení

Konfigurační řádek s označením v repozitáři se nachází nad prázdným přerušovaným boxem s označením proč a popiskem nezapsáno. Šipka z něj vede dolů do zelené karty záznamu se čtyřmi popsanými poli: vybráno, zamítnuto, změnil bych, pokud a datum.

Zabezpečení AWS pro vývojáře

Stejné otázky, noví volající

Tři řádky pod dvěma nadpisy, aktér a volající, z nichž každý spojuje aktéra s volajícím, kterého uvádí do pohybu: osoba s relací prohlížeče, zobrazená ztlumeně jako známý případ, commit s pipeline a požadavek s agentem. Všechny tři se sbíhají do jedné modré brány s popiskem jedna brána, obsahující tři číslované značky.

  • Identita pracovní zátěže: identita pro volajícího, který není osobou
Zabezpečení AWS pro vývojáře

Stejné otázky, noví volající

Tři řádky pod dvěma nadpisy, aktér a volající, z nichž každý spojuje aktéra s volajícím, kterého uvádí do pohybu: osoba s relací prohlížeče, zobrazená ztlumeně jako známý případ, commit s pipeline a požadavek s agentem. Všechny tři se sbíhají do jedné modré brány s popiskem jedna brána, obsahující tři číslované značky.

  • Identita pracovní zátěže: identita pro volajícího, který není osobou
  • Stejné tři otázky: identita, kterou AWS dokáže ověřit, rozsah ne širší než úkol a záznam o tom, co udělala
  • Co se změnilo: volající
Zabezpečení AWS pro vývojáře

Co bude dál

Dva pásy nad sebou. Horní pás s označením účet obsahuje čtyři stejné boxy: GuardDuty, Security Hub, AWS Config a Organizations. Pod přerušovanou linkou dolní pás s označením tvoje služba obsahuje stejných šest číslovaných značek použitých dříve ve videu.

  • Tvoje služba: šest otázek
  • Účet nad ní: GuardDuty, Security Hub, AWS Config, Organizations
Zabezpečení AWS pro vývojáře

Pojďme cvičit!

Zabezpečení AWS pro vývojáře

Preparing Video For Download...