Verifique se os novos clusters do Amazon Redshift têm endpoints necessários SSL

Criado por Priyanka Chaudhary () AWS

Ambiente: produção

Tecnologias: segurança, identidade, conformidade; Analytics

AWSserviços: AWS CloudTrail; Amazon CloudWatch Events; Amazon Redshift; Amazon; Lambda SNS AWS

Resumo

Esse padrão fornece um CloudFormation modelo do Amazon Web Services (AWS) que notifica você automaticamente quando um novo cluster do Amazon Redshift é lançado sem endpoints do Secure Sockets Layer SSL ().

O Amazon Redshift é um serviço de data warehouse em escala de petabytes totalmente gerenciado baseado na nuvem. Ele foi projetado para armazenamento e análise de conjuntos de dados em grande escala. Ele também é usado para realizar migrações de banco de dados em grande escala. Por motivos de segurança, o Amazon Redshift oferece suporte SSL para criptografar a conexão entre o aplicativo cliente do SQL servidor do usuário e o cluster do Amazon Redshift. Para configurar seu cluster para exigir uma SSL conexão, você define o require_SSL parâmetro como true no grupo de parâmetros associado ao cluster durante a execução.

O controle de segurança fornecido com esse padrão monitora as API chamadas do Amazon Redshift em AWS CloudTrail registros e inicia um evento Amazon CloudWatch Events para o CreateCluster,, ModifyClusterRestoreFromClusterSnapshot, e. CreateClusterParameterGroupModifyClusterParameterGroupAPIs Quando o evento detecta um delesAPIs, ele chama o AWS Lambda, que executa um script Python. A função Python analisa o CloudWatch evento para os eventos listados. CloudTrail Quando um cluster do Amazon Redshift é criado, modificado ou restaurado a partir de um snapshot existente, um novo grupo de parâmetros é criado para o cluster ou um grupo de parâmetros existente é modificado, a função verifica o parâmetro require_SSL do cluster. Se o valor do parâmetro forfalse, a função enviará uma notificação do Amazon Simple Notification Service (AmazonSNS) ao usuário com as informações relevantes: o nome do cluster Amazon Redshift, a AWS região, a AWS conta e o Amazon Resource Name (ARN) para Lambda de onde essa notificação foi originada.

Pré-requisitos e limitações

Pré-requisitos

• Uma conta da AWS ativa.

• Uma nuvem privada virtual (VPC) com um grupo de sub-redes de cluster e um grupo de segurança associado.

Limitações

• Esse controle de segurança é regional. Você deve implantá-lo em cada AWS região que deseja monitorar.

Arquitetura

Arquitetura de destino

Automação e escala

• Se você estiver usando AWSOrganizations, poderá usar o AWSCloudformation StackSets para implantar esse modelo em várias contas que deseja monitorar.

Ferramentas

AWSserviços

• AWS CloudFormation— AWS CloudFormation ajuda você a modelar e configurar seus AWS recursos, provisioná-los de forma rápida e consistente e gerenciá-los durante todo o ciclo de vida. Você pode usar um modelo para descrever seus recursos e as dependências deles, além de inicializá-los e configurá-los juntos como uma pilha, em vez de gerenciar recursos individualmente.

• Amazon CloudWatch Events — O Amazon CloudWatch Events fornece um fluxo quase em tempo real de eventos do sistema que descrevem mudanças nos AWS recursos.

• AWSLambda — O AWS Lambda é um serviço de computação que oferece suporte à execução de código sem provisionar ou gerenciar servidores.

• Amazon Redshift: o Amazon Redshift é um serviço de data warehouse em escala de petabytes totalmente gerenciado na nuvem.

• Amazon S3: o Amazon Simple Storage Service (Amazon S3) é um serviço de armazenamento de objetos. Você pode utilizar o Amazon S3 para armazenar e recuperar qualquer volume de dados, a qualquer momento, de qualquer lugar na web. 

• Amazon SNS — O Amazon Simple Notification Service (AmazonSNS) coordena e gerencia a entrega ou o envio de mensagens entre editores e clientes, incluindo servidores web e endereços de e-mail. Os assinantes recebem todas as mensagens publicadas nos tópicos para os quais eles se inscrevem, e todos os assinantes em um tópico recebem as mesmas mensagens.

Código

Esse padrão inclui os seguintes anexos:

• RedshiftSSLEndpointsRequired.zip: o código Lambda para o controle de segurança.

• RedshiftSSLEndpointsRequired.yml— O CloudFormation modelo que configura o evento e a função Lambda.

Épicos

Configurar o bucket do S3

Tarefa	Descrição	Habilidades necessárias
Definir o bucket do S3.	No console do Amazon S3, escolha ou crie um bucket do S3 para hospedar o arquivo .zip do código do Lambda. Esse bucket do S3 deve estar na mesma AWS região do cluster do Amazon Redshift que você deseja monitorar. O nome de um bucket do S3 é globalmente exclusivo e o namespace é compartilhado por todas as contas. AWS O nome do bucket do S3 não pode incluir barras iniciais.	Arquiteto de nuvem
Fazer o upload do código do Lambda.	Faça upload do arquivo .zip do código do Lambda fornecido na seção Anexos no bucket do S3.	Arquiteto de nuvem

Implante o CloudFormation modelo

Tarefa	Descrição	Habilidades necessárias
Inicie o AWS CloudFormation modelo.	Abra o AWS CloudFormation console na mesma AWS região do seu bucket do S3 e implante o modelo RedshiftSSLEndpointsRequired.yml anexado. Para obter mais informações sobre a implantação AWS CloudFormation de modelos, consulte Criação de uma pilha no AWS CloudFormation console na CloudFormation documentação.	Arquiteto de nuvem
Preencher os parâmetros no modelo.	Ao iniciar o modelo, você será solicitado a fornecer as seguintes informações: Bucket S3: especifique o bucket que você criou ou selecionou no primeiro épico. É onde que você fez o upload do código do Lambda anexado (arquivo .zip). Chave do S3: especifique a localização do arquivo .zip do Lambda em seu bucket do S3 (por exemplo, nome do arquivo.zip ou controles/nome do arquivo.zip). Não inclua barras iniciais. E-mail de notificação: forneça um endereço de e-mail ativo no qual você deseja receber SNS notificações da Amazon. Nível de registro em log do Lamba: especifique o nível de registro em log e a frequência da função do Lambda. Use Informações para registrar em log mensagens informativas detalhadas sobre o progresso, Erro para eventos de erro que ainda permitiriam a continuidade da implantação e Aviso sobre situações potencialmente prejudiciais.	Arquiteto de nuvem

Confirmar a assinatura

Tarefa	Descrição	Habilidades necessárias
Confirmar a assinatura.	Quando o CloudFormation modelo é implantado com sucesso, ele envia um e-mail de assinatura para o endereço de e-mail que você forneceu. Você deve confirmar essa assinatura de e-mail para começar a receber notificações de violação.	Arquiteto de nuvem

Recursos relacionados

• Criar um bucket do S3 (documentação do Amazon S3)

• Upload de arquivos para um bucket do S3 (documentação do Amazon S3)

• Criação de uma pilha no AWS CloudFormation console (AWS CloudFormation documentação)

• Criando uma regra de CloudWatch eventos que é acionada em uma AWS API chamada usando AWS CloudTrail (documentação) AWS CloudTrail

• Criar um cluster do Amazon Redshift (documentação do Amazon Redshift)

• Configurando opções de segurança para conexões (documentação do Amazon Redshift)

Anexos

Para acessar o conteúdo adicional associado a este documento, descompacte o seguinte arquivo: attachment.zip