Cloud Credential Manager affidabile

Trusted Cloud Credential Manager (TCCM) è un componente di. SCCA È responsabile della gestione delle credenziali. Quando si stabilisce ilTCCM, è importante consentire l'accesso con il minimo privilegio a. SCCA Ciò può essere ottenuto utilizzando i servizi di gestione delle AWS identità e degli accessi. Un componente aggiuntivo di TCCM è una connessione al Virtual Data Center Managed Services (VDMS). È possibile utilizzare questa connessione secondo necessità per accedere AWS Management Console a e gestire ilTCCM.

TCCMÈ una combinazione di tecnologie e standard che regolano l'accesso a AWS. TCCMÈ considerato fondamentale per la maggior parte delle implementazioni perché controlla le autorizzazioni di accesso. La TCCM funzione non è destinata a imporre requisiti univoci di gestione delle identità al fornitore di servizi cloud commerciale ()CSP. TCCMInoltre, non vieta l'uso di soluzioni di federazione CSP DoD o di broker di identità di terze parti per fornire il controllo dell'identità previsto.

I componenti della TCCM politica si basano su una comprensione generale che CSPs offre un sistema di gestione delle identità e degli accessi che consente il controllo dell'accesso ai sistemi cloud. Tali sistemi possono includere la console CSP di accesso e i componenti API del servizio di interfaccia a riga di comando (CLI). A livello base, TCCM devono bloccare le credenziali che possono essere utilizzate per creare reti e altre risorse non autorizzate. TCCMÈ nominato dall'Autorizzatore (AO) incaricato della supervisione dei sistemi IT. Le TCCM politiche stabiliscono la necessità di un modello di accesso con privilegi minimi. Queste policy sono responsabili della fornitura e del controllo delle credenziali degli utenti privilegiati nel cloud commerciale. Questo per rimanere in linea con la DoD Cloud Computing Security Requirements Guide, che riguarda l'implementazione di politiche, piani e procedure per la gestione delle credenziali dell'account del portale. Prima della connessione al Defense Information Systems Network (DISN), DISA convalida l'esistenza del Cloud Credential Management Plan (CCMP) come parte del processo di approvazione della connessione definito nella Connection Process Guide.

La tabella seguente contiene i requisiti minimi per. TCCM Spiega se LZA soddisfa ogni requisito e quali possono essere utilizzati per Servizi AWS soddisfarli.

ID	TCCMrequisiti di sicurezza	AWS tecnologie	Risorse aggiuntive	Coperto da LZA
2.1.4.1	TCCMDeve sviluppare e mantenere un piano di gestione delle credenziali cloud (CCMP) per affrontare l'implementazione di politiche, piani e procedure che verranno applicati alla gestione delle credenziali degli account del titolare della missione nel portale clienti.	N/D	N/D	Non coperto
2.1.4.2	TCCMRaccoglierà, controllerà e archivierà tutti i registri delle attività e gli avvisi del Customer Portal.	AWS CloudTrail CloudWatch Registri Amazon	N/D	Coperto
2.1.4.3	TCCMGarantiscono che gli avvisi del registro delle attività siano condivisi, inoltrati o recuperabili dagli utenti privilegiati del DoD coinvolti in attività e attività. MCP BCP	AWS CloudTrail CloudWatch Log Servizio di notifica semplice Amazon (AmazonSNS) CloudWatch Approfondimenti sui registri	N/D	Coperto
2.1.4.4	Se necessario per la condivisione delle informazioni, TCCM devono creare account di accesso agli archivi di registro per l'accesso ai dati del registro delle attività da parte degli utenti privilegiati che svolgono entrambe le attività. MCP BCP	AWS CloudTrail CloudWatch Log Amazon SNS CloudWatch Approfondimenti sui registri	N/D	Coperto
2.1.4.5	TCCMDovrà recuperare e controllare in modo sicuro le credenziali dell'account del portale clienti prima della connettività dell'applicazione della missione al. DISN	AWS IAM Identity Center	N/D	Coperto
2.1.4.6	TCCMDeve creare, emettere e revocare, se necessario, le credenziali del portale clienti con accesso meno privilegiato in base ai ruoli agli amministratori dell'applicazione e del sistema del proprietario della missione (ad esempio, utenti con privilegi DoD).	AWS Identity and Access Management (IAM) AWS Directory Service for Microsoft Active Directory	N/D	Coperto

 

Per consentire di TCCM soddisfare i requisiti, LZA utilizza il controllo programmatico delle risorse tramite il IAM servizio. È inoltre possibile combinare IAM con AWS Managed Microsoft AD per implementare il Single Sign-On in un'altra directory. Questo collega AWS l'ambiente all'infrastruttura locale con trust di Active Directory.  InLZA, l'implementazione viene implementata con IAM ruoli per l'accesso temporaneo basato sulla sessione, i IAM ruoli sono credenziali di breve durata che aiutano l'organizzazione a soddisfare i requisiti necessari. TCCM

Sebbene LZA implementi l'accesso con privilegi minimi e l'accesso programmatico a breve termine alle AWS risorse, esamina le IAMmigliori pratiche per assicurarti di seguire le linee guida di sicurezza consigliate.

Per ulteriori informazioni sull'implementazione AWS Managed Microsoft AD, consulta la AWS Managed Microsoft ADsezione del workshop Active Directory on AWS Immersion Day.

Il modello di responsabilitàAWS condivisa si applica a TCCM e alLZA. LZASviluppa gli aspetti fondamentali del controllo degli accessi, ma ogni organizzazione è responsabile della configurazione dei propri controlli di sicurezza.