Bewährte Sicherheitsmethoden für AWS AppSync

Bei der Sicherung AWS AppSync geht es um mehr, als nur ein paar Hebel einzuschalten oder die Protokollierung einzurichten. In den folgenden Abschnitten werden bewährte Sicherheitsmethoden behandelt, die je nachdem, wie Sie den Service nutzen, variieren.

Machen Sie sich mit Authentifizierungsmethoden vertraut

AWS AppSync bietet mehrere Möglichkeiten, Ihre Benutzer bei Ihren GraphQL-APIs zu authentifizieren. Jede Methode hat Kompromisse in Bezug auf Sicherheit, Überprüfbarkeit und Benutzerfreundlichkeit.

Die folgenden gängigen Authentifizierungsmethoden sind verfügbar:

• Amazon Cognito Cognito-Benutzerpools ermöglichen es Ihrer GraphQL-API, Benutzerattribute für eine detaillierte Zugriffskontrolle und Filterung zu verwenden.

• API-Token haben eine begrenzte Lebensdauer und eignen sich für automatisierte Systeme wie Continuous Integration-Systeme und die Integration mit externen APIs.

• AWS Identity and Access Management (IAM) eignet sich für interne Anwendungen, die in Ihrem AWS-Konto verwaltet werden.

• OpenID Connect ermöglicht es Ihnen, den Zugriff mit dem OpenID Connect-Protokoll zu kontrollieren und zu föderieren.

Weitere Informationen zur Authentifizierung und Autorisierung in AWS AppSync finden Sie unter. Autorisierung und Authentifizierung

Verwenden Sie TLS für HTTP-Resolver

Achten Sie bei der Verwendung von HTTP-Resolvern darauf, nach Möglichkeit TLS-gesicherte Verbindungen (HTTPS) zu verwenden. Eine vollständige Liste der vertrauenswürdigen TLS-Zertifikate finden Sie unter AWS AppSync . Von anerkannte Zertifizierungsstellen (CA)AWS AppSyncfür HTTPS-Endpunkte

Verwenden Sie Rollen mit den geringstmöglichen Berechtigungen

Wenn Sie Resolver wie den DynamoDB-Resolver verwenden, verwenden Sie Rollen, die die restriktivste Sicht auf Ihre Ressourcen bieten, z. B. Ihre Amazon DynamoDB-Tabellen.

Bewährte Methoden für IAM-Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand AWS AppSync Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

• Beginnen Sie mit AWS verwalteten Richtlinien und wechseln Sie zu Berechtigungen mit den geringsten Rechten — Verwenden Sie die AWS verwalteten Richtlinien, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um Ihren Benutzern und Workloads zunächst Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter AWS -verwaltete Richtlinien oder AWS -verwaltete Richtlinien für Auftrags-Funktionen im IAM-Benutzerhandbuch.

• Anwendung von Berechtigungen mit den geringsten Rechten – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter Richtlinien und Berechtigungen in IAM im IAM-Benutzerhandbuch.

• Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. AWS CloudFormation B. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.

• Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter Richtlinienvalidierung zum IAM Access Analyzer im IAM-Benutzerhandbuch.

• Multi-Faktor-Authentifizierung (MFA) erforderlich — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter Konfigurieren eines MFA-geschützten API-Zugriffs im IAM-Benutzerhandbuch.

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.