Quick Create für AWS Shield Advanced

Mit Quick Create definieren und implementieren Sie AWS Shield Advanced-Schutzmaßnahmen in einem einzigen geführten Arbeitsablauf. Verwenden Sie Quick Create, wenn Sie den DDoS-Schutz von Richtlinien bis hin zur Bereitstellung in einer Sitzung einrichten möchten.

Um einen AWS Shield Advanced-Schutz mit Quick Create zu definieren und bereitzustellen, führen Sie die folgenden Verfahren der Reihe nach durch.

Um die Richtlinie zu erstellen und Schutzmaßnahmen zu konfigurieren

Führen Sie folgende Schritte aus:

1. Öffnen Sie die AWS Network Security Manager-Konsole unter https://console.aws.amazon.com/network-security-manager/.

2. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

3. Wählen Sie auf der Übersichtsseite die Option Schnelles Erstellen und Bereitstellen aus. Die Seite „Schnelles Erstellen und Bereitstellen“ wird mit mehreren Bereichen angezeigt.

4. Geben Sie im Bereich mit den Richtliniendetails für Name einen Richtliniennamen ein. (Optional) Geben Sie unter Description (Beschreibung) eine Beschreibung ein.

5. Wählen Sie im Bereich Schutzmaßnahmen definieren den Firewalltyp aus, mit dem Sie arbeiten möchten. Wählen Sie AWS Shield Advanced aus.

6. Legen Sie unter Richtlinienkonfiguration im Bereich Schutzmaßnahmen definieren fest, welche automatisierten Aktionen AWS Network Security Manager im Zielbereich durchführt:

   • Bei der Behebung wird die definierte Richtlinie auf alle Ressourcen angewendet, deren Sicherheitsstatus nicht dem gewünschten Status entspricht, den AWS Network Security Manager beschreibt.

   • Die Ressourcenbereinigung löscht den DDoS-Schutz, den AWS Network Security Manager für eine Ressource erstellt hat, wenn die Bereitstellung entfernt wird oder wenn das Konto oder die Ressource außerhalb des Gültigkeitsbereichs liegt.

   • Die DDoS-Lösung für bestehende Kunden bestimmt, wie Konflikte zwischen der Richtlinie, die Sie definieren, und der möglicherweise bereits implementierten Richtlinie gelöst werden. Wählen Sie im Menü eine der folgenden Optionen aus:

     • Bei der Nichtbehebung wird die Behebung aller Ressourcen übersprungen, die bereits über einen DDoS-Schutz verfügen.

     • Override Association ersetzt den vorhandenen DDoS-Schutz durch den von AWS Network Security Manager erstellten DDoS-Schutz.

     • Retrofit passt seine Regeln an jeden vorhandenen DDoS-Schutz an und behält den DDoS-Schutz bei, der mit der Ressource verknüpft ist.

7. Legen Sie im Bereich Richtlinienpriorität die Priorität fest. AWS Network Security Manager bewertet Richtlinien nach ihrer Priorität, um Konflikte zu lösen. Niedrigere Positionen (niedrigere Ganzzahlen) haben eine höhere Priorität.

   Um die Priorität zu bearbeiten, wählen Sie den Wert Position. Erhöhen Sie ihn dann mit den Pfeilen oder geben Sie direkt einen Wert ein. Um die Auswahl zu bestätigen, wählen Sie Bestätigen. Um die Änderung zu verwerfen, wählen Sie Abbrechen.

Um den Geltungsbereich festzulegen

Führen Sie folgende Schritte aus:

1. Definieren Sie im Bereich Umfang festlegen die Gruppe von Ressourcen, für die die Richtlinien gelten. Geben Sie unter Bereichsname einen Namen ein. (Optional) Geben Sie unter Description (Beschreibung) eine Beschreibung ein.

2. Multi-account nur Modus

   Dieser Schritt gilt nur für den Modus mit mehreren Konten. Verwenden Sie im Modus mit mehreren Konten den Unterbereich zur Auswahl von Konten und Organisationseinheiten, um auszuwählen, welche Konten oder Organisationseinheiten ein- oder ausgeschlossen werden sollen. Im Einzelkontenmodus wird dieser Unterbereich nicht in der Konsole angezeigt. Überspringen Sie diesen Schritt also.

   Wählen Sie im Unterbereich zur Auswahl von Konten und Organisationseinheiten eine der folgenden Optionen aus:

   • Geltungsbereich für die gesamte AWS Organisation. Es ist keine weitere Definition erforderlich.

   • Geltungsbereich für das gesamte AWS Unternehmen, ausgenommen sind jedoch bestimmte Organisationseinheiten und Konten. Es werden ein Unterbereich „Organisationseinheiten“ und ein Unterbereich „Konten“ angezeigt. Um Organisationseinheiten auszuschließen, wählen Sie Organisationseinheiten hinzufügen. Wählen Sie die Organisationseinheiten in der Organisationsstruktur aus und klicken Sie dann auf Organisationseinheiten hinzufügen. Um einzelne Konten auszuschließen, wählen Sie Konten hinzufügen. Wählen Sie die Konten in der Organisationsstruktur aus und klicken Sie dann auf Konten hinzufügen.

   • Erfassen Sie nicht die gesamte AWS Organisation, sondern beziehen Sie nur bestimmte Organisationseinheiten und Konten ein. Verwenden Sie denselben Mechanismus zum Hinzufügen von Organisationseinheiten und zum Hinzufügen von Konten, um die gewünschten Organisationseinheiten und Konten einzubeziehen.

3. Wählen Sie im Unterbereich Ressourcen für Ressourcentypen alle oder bestimmte AWS Shield Advanced-Ressourcentypen aus. Es stehen eine oder mehrere der folgenden Optionen zur Verfügung:

   • Application Load Balancer

   • CloudFront Verteilung

   • Classic Load Balancer

   • Elastic IP-Adresse

4. Wählen Sie für jeden ausgewählten Ressourcentyp eine der folgenden Optionen, die sich gegenseitig ausschließen:

   • Alle Ressourcen einbeziehen

   • Spezifische Ressourcen einbeziehen

   • Schließen Sie bestimmte Ressourcen aus

5. Wenn Sie Bestimmte Ressourcen einbeziehen wählen, wählen Sie einen der folgenden Ausdruckstypen und erstellen Sie dann die entsprechenden Kombinationen von Tags oder ARNs:

   • Einzelne Kriterien

   • Erfüllen Sie alle Kriterien (UND)

   • Entspricht allen Kriterien (ODER)

   • NICHT

   Alle Ressourcentypen haben die Tag - und ARN-Einschlusskriterien. Wenn Sie Tag wählen, geben Sie einen Schlüssel und optional einen Wert ein. Sie können mehrere Tags identifizieren.

CloudFront Anforderung an die Region

Verwenden Sie zum Schutz der CloudFront Vertriebsressourcen die Region USA Ost (Nord-Virginia) (us-east-1).

Um die Richtlinie zu überprüfen und umzusetzen

Führen Sie folgende Schritte aus:

1. Geben Sie im Bereich Überprüfen und Bereitstellen einen Namen für den Bereitstellungsnamen ein. (Optional) Geben Sie unter Description (Beschreibung) eine Beschreibung ein. Um festzustellen, ob der Inhalt Ihrer Bereitstellung für andere Konten in Ihrer Organisation sichtbar ist, wählen Sie Kontoübergreifende Sichtbarkeit für diese Bereitstellung aktivieren aus.

2. (Optional) Um Ihrer Ressource Tags hinzuzufügen, wählen Sie Neues Tag hinzufügen und geben Sie dann Kombinationen aus Schlüssel und optionalen Werten ein.

3. Um die Richtlinie und den Geltungsbereich zu erstellen und bereitzustellen, wählen Sie Create and deploy aus. Wenn der Vorgang abgeschlossen ist, wird die Seite Bereitstellungen angezeigt, auf der Sie die Details der von AWS Network Security Manager erstellten Elemente sehen können.

Für Bereitstellungen können Gebühren anfallen

Bei einer Bereitstellung werden Netzwerksicherheitsdienste erstellt und an eine geschützte Ressource angehängt. AWS Network Security Manager berechnet Gebühren für geschützte Ressourcen. Die Sicherheitsdienste selbst schützen die Ressource, wofür zusätzliche Gebühren anfallen. Lesen Sie vor der Bereitstellung die Preisseite für AWS Network Security Manager und die Preisseite für AWS Shield Advanced.