Processus de création standard pour AWS Shield Advanced

Avec le processus de création standard, vous configurez chaque composant de AWS Shield Advanced (politiques, champs d'application et déploiements) individuellement pour un contrôle total. Utilisez cette approche lorsque vous souhaitez créer des composants réutilisables et les combiner selon vos besoins.

Une politique AWS Shield Advanced est simple et ne contient pas de règles, de groupes de règles ou de modèles. Lorsque vous appliquez cette politique, AWS Network Security Manager crée une protection DDoS AWS Shield Advanced dans chaque compte concerné. Pour plus d'informations sur le fonctionnement de AWS Network Security Manager, consultezComment ? AWS Network Security Manager fonctionne.

Pour créer une stratégie (console)

Procédez comme suit :

1. Connectez-vous à la console AWS de gestion à l'aide de votre compte d'administrateur AWS Network Security Manager, puis ouvrez la console AWS Network Security Manager à l'adresse https://console.aws.amazon.com/network-security-manager/.

   Configuration du compte administrateur

   Pour plus d'informations sur la configuration d'un compte administrateur AWS Network Security Manager, consultezConfiguration AWS Responsable de la sécurité réseau.

2. Dans le volet de navigation, choisissez AWS Network Security Manager, puis Overview.

3. Dans le volet Vue d'ensemble, choisissez Create policy. Entrez un nom et une description facultative, puis choisissez un type de pare-feu (dans ce cas, AWS Shield Advanced).

4. Dans le volet Priorité des politiques, définissez la priorité. AWS Network Security Manager évalue les politiques en fonction de leur priorité afin de résoudre les conflits. Les positions inférieures (nombres entiers inférieurs) ont une priorité plus élevée.

   Pour modifier la priorité, choisissez la valeur de position. Puis incrémentez-le à l'aide des flèches ou entrez directement une valeur. Pour confirmer la sélection, choisissez Confirmer. Pour annuler la modification, choisissez Annuler.

5. Dans le volet de configuration des politiques, déterminez les actions automatisées que AWS Network Security Manager exécute dans le périmètre ciblé :

   • La correction applique la politique définie à toutes les ressources dont l'état de sécurité ne correspond pas à l'état souhaité décrit par AWS Network Security Manager.

   • Le nettoyage des ressources supprime la protection DDoS créée par AWS Network Security Manager pour une ressource lorsque le déploiement est supprimé ou lorsque le compte ou la ressource est hors de portée.

   • La résolution des attaques DDoS par les clients existants détermine la manière de résoudre les conflits entre la politique que vous définissez et celle qui est peut-être déjà déployée. Dans le menu, choisissez l'une des options suivantes :

     • Aucune correction n'ignore la correction des ressources déjà protégées contre les attaques DDoS.

     • L'association Override remplace la protection DDoS existante par la protection DDoS créée par AWS Network Security Manager.

     • Retrofit adapte ses règles à chaque protection DDoS existante et conserve la protection DDoS associée à la ressource.

Pour créer un scope (console)

Procédez comme suit :

1. Dans le volet Détails de l'étendue, entrez un nom de portée et une description facultative.

2. Multi-account mode uniquement

   Cette étape s'applique uniquement au mode multi-comptes. En mode multicompte, utilisez le sous-volet de sélection des comptes et des unités organisationnelles pour choisir les comptes ou les unités d'organisation à inclure ou à exclure. En mode compte unique, ce sous-volet n'apparaît pas dans la console. Ignorez donc cette étape.

   Dans le volet de sélection du compte et de l'unité organisationnelle, choisissez l'une des trois méthodes de contrôle de l'étendue administrative :

   • Portée à AWS l'ensemble de l'organisation (toutes les unités d'organisation et tous les comptes) — Aucune autre définition n'est requise.

   • Portez sur AWS l'ensemble de l'organisation, mais excluez des unités d'organisation et des comptes spécifiques : deux sous-volets apparaissent, l'un pour les unités organisationnelles et l'autre pour les comptes. Choisissez Ajouter des unités d'organisation pour ouvrir la fenêtre Ajouter des unités organisationnelles, puis choisissez Ajouter des unités d'organisation. Pour ajouter des comptes individuels, dans le sous-volet Comptes, choisissez Ajouter des comptes, sélectionnez les comptes, puis choisissez Ajouter des comptes.

   • Ne vous limitez pas à AWS l'ensemble de l'organisation, incluez uniquement des unités d'organisation et des comptes spécifiques. Utilisez les mêmes sous-volets pour ajouter des unités d'organisation ou des comptes.

3. Sélectionnez ensuite les ressources dans le sous-volet Ressources. Dans la zone de sélection des types de ressources, sélectionnez tous les types de ressources AWS Shield Advanced ou certains d'entre eux. Pour AWS Shield Advanced, les options sont l'une ou l'ensemble des options suivantes :

   • Application Load Balancer

   • CloudFront Distribution

   • Equilibreur de charge classique

   • Adresse IP Elastic

4. Pour chaque type de ressource sélectionné, choisissez l'une des options mutuellement exclusives suivantes :

   • Inclure toutes les ressources

   • Inclure des ressources spécifiques

   • Exclure des ressources spécifiques

5. Si vous choisissez Inclure des ressources spécifiques, sélectionnez l'un des types d'expression suivants :

   • Critères uniques

   • Correspond à tous les critères (ET)

   • Répondez à tous les critères (OU)

   • NON

6. Chaque type d'expression prend en charge un ou plusieurs critères d'inclusion et ARN, ce qui vous permet de créer des combinaisons de balises ou d'ARN. Tous les types de ressources prennent en charge les critères d'inclusion des balises et des ARN. Si vous choisissez Tag, identifiez une clé et une valeur facultative. Vous pouvez identifier plusieurs balises.

CloudFront Exigence de région

Pour protéger les ressources de CloudFront distribution, utilisez la région USA Est (Virginie du Nord) (us-east-1).

Pour créer un déploiement (console)

Un déploiement lie vos politiques à un périmètre et active leur application. AWS Network Security Manager applique ensuite vos protections DDoS AWS Shield Advanced aux ressources concernées.

Procédez comme suit :

1. Sur la page Vue d'ensemble, dans le volet Vue d'ensemble, choisissez Créer un déploiement.

2. Choisissez la politique que vous souhaitez déployer.

3. Choisissez l'étendue qui définit les comptes et les ressources auxquels AWS Network Security Manager applique la politique.

4. Dans Nom du déploiement, entrez un nom. (Facultatif) Sous Description, entrez une description.

5. (Facultatif) Pour rendre le déploiement visible pour les autres comptes de votre organisation, sélectionnez Activer la visibilité entre comptes pour ce déploiement.

6. (Facultatif) Pour ajouter des balises, choisissez Ajouter une nouvelle balise, puis entrez les combinaisons clé et valeur facultatives.

7. Choisissez Create and deploy (Créer et déployer). La page Déploiements apparaît, où vous pouvez voir les détails de ce que AWS Network Security Manager a créé.

Les déploiements peuvent entraîner des frais

Un déploiement crée des services de sécurité réseau et les associe à une ressource protégée. AWS Network Security Manager facture les ressources protégées. Les services de sécurité eux-mêmes protègent la ressource, ce qui entraîne des frais supplémentaires. Avant de procéder au déploiement, consultez la page de tarification de AWS Network Security Manager et la page de tarification de AWS Shield Advanced.