Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Monitora ElastiCache i cluster Amazon per la crittografia a riposo
Creato da Susanne Kangnoh (AWS)
Ambiente: produzione | Tecnologie: sicurezza, identità, conformità; database; infrastruttura; native per il cloud | Carico di lavoro: open source |
Servizi AWS: Amazon SNS; Amazon; Amazon CloudWatch ElastiCache |
Riepilogo
Amazon ElastiCache è un servizio Amazon Web Services (AWS) che fornisce una soluzione di caching ad alte prestazioni, scalabile ed economica per la distribuzione di un archivio dati in memoria o un ambiente di cache nel cloud. Recupera i dati da archivi di dati in memoria ad alta velocità e bassa latenza. Questa funzionalità lo rende una scelta popolare per casi d'uso in tempo reale come memorizzazione nella cache, archivi di sessioni, giochi, servizi geospaziali, analisi in tempo reale e accodamento. ElastiCache offre archivi dati Redis e Memcached, entrambi con tempi di risposta inferiori al millisecondo.
La crittografia dei dati aiuta a impedire agli utenti non autorizzati di leggere i dati sensibili disponibili sui cluster Redis e sui sistemi di storage cache associati. Ciò include i dati salvati su supporti persistenti, noti come dati a riposo, e i dati che possono essere intercettati mentre viaggiano attraverso la rete tra client e server di cache, noti come dati in transito.
È possibile abilitare la crittografia a riposo ElastiCache per Redis quando si crea un gruppo di replica, impostando il parametro su true. AtRestEncryptionEnabled Quando questo parametro è abilitato, crittografa il disco durante le operazioni di sincronizzazione, backup e swap e crittografa i backup archiviati in Amazon Simple Storage Service (Amazon S3). Non è possibile abilitare la crittografia a riposo su un gruppo di replica esistente. Quando si crea un gruppo di replica, è possibile abilitare la crittografia a riposo in questi due modi:
Scegliendo l'opzione Default, che utilizza la crittografia a riposo gestita dal servizio.
Utilizzando una chiave gestita dal cliente e fornendo l'ID della chiave o Amazon Resource Name (ARN) da AWS Key Management Service (AWS KMS).
Questo modello fornisce un controllo di sicurezza che monitora le chiamate API e genera un evento Amazon CloudWatch Events sull'CreateReplicationGroupoperazione. Questo evento richiama una funzione AWS Lambda, che esegue uno script Python. La funzione ottiene l'ID del gruppo di replica dall'input JSON dell'evento ed esegue i seguenti controlli per determinare se c'è una violazione della sicurezza:
Verifica se la AtRestEncryptionEnabledchiave esiste.
Se AtRestEncryptionEnabledesiste, controlla il valore per vedere se è vero.
Se il AtRestEncryptionEnabledvalore è impostato su false, imposta una variabile che tiene traccia delle violazioni e invia un messaggio di violazione a un indirizzo e-mail fornito, utilizzando una notifica Amazon Simple Notification Service (Amazon SNS).
Prerequisiti e limitazioni
Prerequisiti
Un account AWS attivo.
Un bucket S3 per caricare il codice Lambda fornito.
Un indirizzo email a cui desideri ricevere le notifiche di violazione.
ElastiCache registrazione abilitata, per l'accesso a tutti i log delle API.
Limitazioni
Questo controllo investigativo è regionale e deve essere distribuito in ogni regione AWS che desideri monitorare.
Il controllo supporta i gruppi di replica in esecuzione in un cloud privato virtuale (VPC).
Il controllo supporta i gruppi di replica che eseguono i seguenti tipi di nodi:
R5, R4, R3
M5, M4, M3
T3, T2
Versioni del prodotto
ElastiCache per Redis versione 3.2.6 o successiva
Architettura
Architettura del workflow
Automazione e scalabilità
Se utilizzi AWS Organizations, puoi utilizzare AWS Cloudformation StackSets per distribuire questo modello in più account che desideri monitorare.
Strumenti
Servizi AWS
Amazon ElastiCache — Amazon ElastiCache semplifica la configurazione, la gestione e la scalabilità di ambienti di cache in memoria distribuiti nel cloud AWS. Fornisce una cache in memoria ad alte prestazioni, ridimensionabile ed economica, eliminando al contempo la complessità associata alla distribuzione e alla gestione di un ambiente di cache distribuito. ElastiCache funziona con entrambi i motori Redis e Memcached.
AWS CloudFormation: AWS ti CloudFormation aiuta a modellare e configurare le tue risorse AWS, effettuarne il provisioning in modo rapido e coerente e gestirle per tutto il loro ciclo di vita. Puoi utilizzare un modello per descrivere le tue risorse e le loro dipendenze e lanciarle e configurarle insieme come uno stack, invece di gestire le risorse singolarmente. Puoi gestire e fornire stack su più account AWS e regioni AWS.
AWS Cloudwatch Events — Amazon CloudWatch Events offre un flusso quasi in tempo reale di eventi di sistema che descrivono i cambiamenti nelle risorse AWS. CloudWatch Events viene a conoscenza dei cambiamenti operativi man mano che si verificano e intraprende le azioni correttive necessarie, inviando messaggi per rispondere all'ambiente, attivando funzioni, apportando modifiche e acquisendo informazioni sullo stato.
AWS Lambda: AWS Lambda è un servizio di elaborazione che supporta l'esecuzione di codice senza effettuare il provisioning o la gestione di server. Lambda esegue il codice solo quando necessario e passa automaticamente da poche richieste al giorno a migliaia al secondo. Verrà addebitato soltanto il tempo di calcolo consumato e non verrà addebitato alcun costo quando il codice non è in esecuzione.
Amazon SNS — Amazon Simple Notification Service (Amazon SNS) coordina e gestisce l'invio di messaggi tra editori e clienti, inclusi server Web e indirizzi e-mail. I sottoscrittori ricevono tutti gli stessi messaggi pubblicati sugli argomenti ai quali sono hanno effettuato la sottoscrizione.
Codice
Questo modello include un allegato con due file:
ElasticCache-EncryptionAtRest.zipè un file compresso che include il controllo di sicurezza (codice Lambda).elasticache_encryption_at_rest.ymlè un CloudFormation modello che implementa il controllo di sicurezza.
Vedi la sezione Epics per informazioni su come usare questi file.
Epiche
| Attività | Descrizione | Competenze richieste |
|---|---|---|
| Carica il codice in un bucket S3. | Crea un nuovo bucket S3 o usa un bucket S3 esistente per caricare il file allegato | Architetto del cloud |
| Implementa il CloudFormation modello. | Apri la console Cloudformation nella stessa regione AWS del bucket S3 e distribuisci il | Architetto del cloud |
| Attività | Descrizione | Competenze richieste |
|---|---|---|
| Fornisci il nome del bucket S3. | Inserisci il nome del bucket S3 che hai creato o selezionato nella prima epic. Questo bucket S3 contiene il file.zip per il codice Lambda e deve trovarsi nella stessa regione AWS del CloudFormation modello e della risorsa che verranno valutati. | Architetto del cloud |
| Fornisci la chiave S3. | Fornisci la posizione del file.zip del codice Lambda nel tuo bucket S3, senza barre iniziali (ad esempio o). | Architetto del cloud |
| Fornisci un indirizzo email. | Fornisci un indirizzo email attivo a cui desideri ricevere le notifiche di violazione. | Architetto del cloud |
| Specificare un livello di registrazione. | Specificare il livello di registrazione e la verbosità. | Architetto del cloud |
| Attività | Descrizione | Competenze richieste |
|---|---|---|
| Conferma l'iscrizione via e-mail. | Quando il CloudFormation modello viene distribuito correttamente, invia un messaggio e-mail di sottoscrizione all'indirizzo e-mail fornito. Per ricevere notifiche, devi confermare questa sottoscrizione e-mail. | Architetto del cloud |
Risorse correlate
Creazione di uno stack sulla CloudFormation console AWS ( CloudFormation documentazione AWS)
Crittografia At-Rest ElastiCache per Redis (documentazione Amazon ElastiCache )
Allegati
