Bonnes pratiques de sécurité pour AWS AppSync

Pour sécuriser AWS AppSync , il ne suffit pas d'actionner quelques leviers ou de configurer la journalisation. Les sections suivantes décrivent les meilleures pratiques en matière de sécurité qui varient en fonction de la manière dont vous utilisez le service.

Comprendre les méthodes d'authentification

AWS AppSync fournit plusieurs méthodes pour authentifier vos utilisateurs auprès de vos API GraphQL. Chaque méthode comporte des compromis en termes de sécurité, d'auditabilité et de facilité d'utilisation.

Les méthodes d'authentification courantes suivantes sont disponibles :

• Les groupes d'utilisateurs Amazon Cognito permettent à votre API GraphQL d'utiliser les attributs utilisateur pour un contrôle d'accès et un filtrage précis.

• Les jetons d'API ont une durée de vie limitée et conviennent aux systèmes automatisés, tels que les systèmes d'intégration continue et l'intégration avec des API externes.

• AWS Identity and Access Management (IAM) convient aux applications internes gérées dans votre Compte AWS.

• OpenID Connect vous permet de contrôler et de fédérer les accès grâce au protocole OpenID Connect.

Pour plus d'informations sur l'authentification et l'autorisation dans AWS AppSync, consultezAutorisation et authentification.

Utiliser le protocole TLS pour les résolveurs HTTP

Lorsque vous utilisez des résolveurs HTTP, veillez à utiliser des connexions sécurisées par TLS (HTTPS) dans la mesure du possible. Pour obtenir la liste complète des certificats TLS approuvés AWS AppSync , consultezAutorités de certification (CA) reconnues parAWS AppSyncpour les points de terminaison HTTPS.

Utilisez des rôles avec le moins d'autorisations possible

Lorsque vous utilisez des résolveurs tels que le résolveur DynamoDB, utilisez des rôles qui fournissent la vue la plus restrictive de vos ressources, tels que vos tables Amazon DynamoDB.

Bonnes pratiques en matière de politique IAM

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer AWS AppSync des ressources dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

• Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

• Accorder les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

• Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

• Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

• Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.