Verhindern Sie den Internetzugang auf Kontoebene mithilfe einer Dienststeuerungsrichtlinie

Erstellt von Sergiy Shevchenko (AWS), Sean O'Sullivan (AWS) und Victor Mazeo Whitaker (AWS)

Übersicht

Organizations möchten häufig den Internetzugang für Kontoressourcen einschränken, die privat bleiben sollten. In diesen Konten sollten die Ressourcen in virtuellen privaten Clouds (VPCs) auf keinen Fall auf das Internet zugreifen. Viele Unternehmen entscheiden sich für eine zentralisierte Inspektionsarchitektur. Für den Ost-West-Verkehr (VPC-zu-VPC) in einer zentralen Inspektionsarchitektur müssen Sie sicherstellen, dass die Spoke-Konten und ihre Ressourcen keinen Zugriff auf das Internet haben. Für Nord-Süd-Verkehr (ausgehender und lokaler Internetverkehr) möchten Sie den Internetzugang nur über die Inspektions-VPC zulassen.

Dieses Muster verwendet eine Service Control Policy (SCP), um den Internetzugang zu verhindern. Sie können dieses SCP auf Konto- oder Organisationseinheitsebene (OU) anwenden. Das SCP schränkt die Internetkonnektivität ein, indem es Folgendes verhindert:

• Erstellen oder Anhängen eines IPv4 oder IPv6 Internet-Gateways, das direkten Internetzugriff auf die VPC ermöglicht

• Erstellen oder Annehmen einer VPC-Peering-Verbindung, die möglicherweise indirekten Internetzugang über eine andere VPC ermöglicht

• Erstellen oder Aktualisieren einer AWS Global AcceleratorKonfiguration, die direkten Internetzugriff auf VPC-Ressourcen ermöglichen könnte

Voraussetzungen und Einschränkungen

Voraussetzungen

• Eine oder mehrere AWS-Konten werden als Organisation verwaltet in AWS Organizations.

• Alle Funktionen sind in aktiviert AWS Organizations.

• SCPs sind in der Organisation aktiviert.

• Berechtigungen für:

  • Greifen Sie auf das Verwaltungskonto der Organisation zu.

  • Erstellen SCPs. Weitere Informationen zu den Mindestberechtigungen finden Sie unter SCP erstellen.

  • Ordnen Sie den SCP den Zielkonten oder Organisationseinheiten zu ()OUs. Weitere Informationen zu den Mindestberechtigungen finden Sie unter Dienststeuerungsrichtlinien anhängen und trennen.

Einschränkungen

• SCPs wirken sich nicht auf Benutzer oder Rollen im Verwaltungskonto aus. Sie wirken sich nur auf die Mitgliedskonten Ihrer Organisation aus.

• SCPs betreffen nur AWS Identity and Access Management (IAM-) Benutzer und Rollen, die von Konten verwaltet werden, die Teil der Organisation sind. Weitere Informationen zu SCP-Auswirkungen auf Berechtigungen.

Tools

AWS-Services

• AWS Organizationsist ein Kontoverwaltungsdienst, mit dem Sie mehrere Konten zu einer Organisation AWS-Konten zusammenfassen können, die Sie erstellen und zentral verwalten. In diesem Muster verwenden Sie Richtlinien zur Dienststeuerung (SCPs) in AWS Organizations.

• Amazon Virtual Private Cloud (Amazon VPC) hilft Ihnen dabei, AWS Ressourcen in einem von Ihnen definierten virtuellen Netzwerk bereitzustellen. Dieses virtuelle Netzwerk entspricht einem herkömmlichen Netzwerk, wie Sie es in Ihrem Rechenzentrum betreiben würden, mit den Vorteilen der Verwendung der skalierbaren Infrastruktur von AWS.

Bewährte Methoden

Nachdem Sie dieses SCP in Ihrem Unternehmen eingerichtet haben, stellen Sie sicher, dass Sie es regelmäßig aktualisieren, um alle neuen Funktionen AWS-Services oder Funktionen zu berücksichtigen, die den Internetzugang beeinträchtigen könnten.

Epen

Erstelle das SCP und hänge es an

Aufgabe	Beschreibung	Erforderliche Fähigkeiten
Erstellen Sie das SCP.	Melden Sie sich an der AWS Organizations -Konsole an. Sie müssen sich mit dem Verwaltungskonto der Organisation anmelden. Wählen Sie im linken Bereich Richtlinien aus. Wählen Sie auf der Seite mit den Richtlinien die Option Dienststeuerungsrichtlinien aus. Wählen Sie auf der Seite Service-Kontrollrichtlinien die Option Richtlinie erstellen aus. Geben Sie auf der Seite Neue Dienststeuerungsrichtlinie erstellen einen Richtliniennamen und optional eine Richtlinienbeschreibung ein. (Optional) Fügen Sie Ihrer Richtlinie AWS Tags hinzu. Löschen Sie im JSON-Editor die Platzhalterrichtlinie. Fügen Sie die folgende -Richtlinie in den JSON-Editor ein. { "Version": "2012-10-17", "Statement": [ { "Action": [ "ec2:AttachInternetGateway", "ec2:CreateInternetGateway", "ec2:CreateVpcPeeringConnection", "ec2:AcceptVpcPeeringConnection", "ec2:CreateEgressOnlyInternetGateway" ], "Resource": "*", "Effect": "Deny" }, { "Action": [ "globalaccelerator:Create*", "globalaccelerator:Update*" ], "Resource": "*", "Effect": "Deny" } ] } Wählen Sie Create Policy (Richtlinie erstellen) aus.	AWS-Administrator
Hängen Sie das SCP an.	Wählen Sie auf der Seite Service Control-Richtlinien die Richtlinie aus, die Sie erstellt haben. Klicken Sie in der Registerkarte Ziele auf Anfügen. Wählen Sie die Organisationseinheit oder das Konto aus, an das Sie die Richtlinie anhängen möchten. Möglicherweise müssen Sie das erweitern, OUs um die gewünschte Organisationseinheit oder das gewünschte Konto zu finden. Wählen Sie Richtlinie anfügen aus.	AWS-Administrator

Erstelle das SCP und hänge es an

Aufgabe	Beschreibung	Erforderliche Fähigkeiten
Erstellen Sie das SCP.	Melden Sie sich an der AWS Organizations -Konsole an. Sie müssen sich mit dem Verwaltungskonto der Organisation anmelden. Wählen Sie im linken Bereich Richtlinien aus. Wählen Sie auf der Seite mit den Richtlinien die Option Dienststeuerungsrichtlinien aus. Wählen Sie auf der Seite Service-Kontrollrichtlinien die Option Richtlinie erstellen aus. Geben Sie auf der Seite Neue Dienststeuerungsrichtlinie erstellen einen Richtliniennamen und optional eine Richtlinienbeschreibung ein. (Optional) Fügen Sie Ihrer Richtlinie AWS Tags hinzu. Löschen Sie im JSON-Editor die Platzhalterrichtlinie. Fügen Sie die folgende -Richtlinie in den JSON-Editor ein. { "Version": "2012-10-17", "Statement": [ { "Action": [ "ec2:AttachInternetGateway", "ec2:CreateInternetGateway", "ec2:CreateVpcPeeringConnection", "ec2:AcceptVpcPeeringConnection", "ec2:CreateEgressOnlyInternetGateway" ], "Resource": "*", "Effect": "Deny" }, { "Action": [ "globalaccelerator:Create*", "globalaccelerator:Update*" ], "Resource": "*", "Effect": "Deny" } ] } Wählen Sie Create Policy (Richtlinie erstellen) aus.	AWS-Administrator
Hängen Sie das SCP an.	Wählen Sie auf der Seite Service Control-Richtlinien die Richtlinie aus, die Sie erstellt haben. Klicken Sie in der Registerkarte Ziele auf Anfügen. Wählen Sie die Organisationseinheit oder das Konto aus, an das Sie die Richtlinie anhängen möchten. Möglicherweise müssen Sie das erweitern, OUs um die gewünschte Organisationseinheit oder das gewünschte Konto zu finden. Wählen Sie Richtlinie anfügen aus.	AWS-Administrator

Zugehörige Ressourcen

• AWS Organizations Dokumentation

• Richtlinien zur Servicekontrolle (SCPs)

• Zentralisierte Inspektionsarchitektur mit AWS Gateway Load Balancer und AWS Transit Gateway (AWS Blogbeitrag)