Keamanan

Saat Anda membangun sistem pada infrastruktur AWS, tanggung jawab keamanan dibagi antara Anda dan AWS. Model tanggung jawab bersama ini mengurangi beban operasional Anda karena AWS mengoperasikan, mengelola, dan mengontrol komponen termasuk sistem operasi host, lapisan virtualisasi, dan keamanan fisik fasilitas tempat layanan beroperasi. Untuk informasi selengkapnya tentang keamanan AWS, kunjungi Pusat Keamanan AWS.

Akses sumber daya

Peran IAM

Peran IAM memungkinkan pelanggan untuk menetapkan kebijakan akses terperinci dan izin ke layanan dan pengguna di AWS Cloud. Beberapa peran diperlukan untuk menjalankan Workload Discovery di AWS dan menemukan sumber daya di akun AWS.

Amazon Cognito

Amazon Cognito digunakan untuk mengautentikasi akses dengan kredensyal yang berumur pendek dan kuat yang memberikan akses ke komponen yang dibutuhkan oleh Workload Discovery di AWS.

Akses jaringan

Amazon VPC

Workload Discovery di AWS diterapkan dalam VPC Amazon dan dikonfigurasi sesuai dengan praktik terbaik untuk memberikan keamanan dan ketersediaan tinggi. Untuk detail tambahan, lihat Praktik terbaik Keamanan untuk VPC Anda. Titik akhir VPC memungkinkan transit non-internet antar layanan dan dikonfigurasi jika tersedia.

Grup keamanan digunakan untuk mengontrol dan mengisolasi lalu lintas jaringan antara komponen yang diperlukan untuk menjalankan Workload Discovery di AWS.

Kami menyarankan Anda meninjau grup keamanan dan membatasi akses lebih lanjut sesuai kebutuhan setelah penerapan aktif dan berjalan.

Amazon CloudFront

Solusi ini menerapkan UI konsol web yang dihosting di bucket Amazon S3 yang didistribusikan oleh Amazon. CloudFront Dengan menggunakan fitur identitas akses asal, konten bucket Amazon S3 ini hanya dapat diakses melalui. CloudFront Untuk informasi selengkapnya, lihat Membatasi akses ke asal Amazon S3 di Panduan Pengembang CloudFront Amazon.

CloudFront mengaktifkan mitigasi keamanan tambahan untuk menambahkan header keamanan HTTP ke setiap respons penampil. Untuk detail tambahan, lihat Menambahkan atau menghapus header HTTP dalam CloudFront tanggapan.

Solusi ini menggunakan CloudFront sertifikat default yang memiliki protokol keamanan minimum yang didukung TLS v1.0. Untuk menegakkan penggunaan TLS v1.2 atau TLS v1.3, Anda harus menggunakan sertifikat SSL kustom alih-alih sertifikat default. CloudFront Untuk informasi lebih lanjut, lihat Bagaimana cara mengonfigurasi CloudFront distribusi saya untuk menggunakan sertifikat SSL/TLS.

Konfigurasi aplikasi

AWS AppSync

Penemuan Beban Kerja di AWS APIs GraphQL memiliki validasi permintaan yang disediakan oleh AWS AppSync sesuai dengan spesifikasi GraphQL. Selanjutnya, otentikasi dan otorisasi diimplementasikan menggunakan IAM dan Amazon Cognito, yang menggunakan JWT yang disediakan oleh Amazon Cognito ketika pengguna berhasil mengautentikasi di UI web.

AWS Lambda

Secara default, fungsi Lambda dikonfigurasi dengan versi stabil terbaru dari runtime bahasa. Tidak ada data sensitif atau rahasia yang dicatat. Interaksi layanan dilakukan dengan hak istimewa yang paling tidak diperlukan. Peran yang menentukan hak istimewa ini tidak dibagi antar fungsi.

OpenSearch Layanan Amazon

Domain OpenSearch Layanan Amazon dikonfigurasi dengan kebijakan akses yang membatasi akses untuk menghentikan permintaan yang tidak ditandatangani yang dibuat ke kluster Layanan. OpenSearch Ini terbatas pada satu fungsi Lambda.

Kluster OpenSearch Layanan dibangun dengan node-to-node enkripsi yang diaktifkan untuk menambahkan lapisan perlindungan data tambahan di atas fitur keamanan OpenSearch Layanan yang ada.