Gerenciador de credenciais de nuvem confiável

O Trusted Cloud Credential Manager (TCCM) é um componente doSCCA. É responsável pelo gerenciamento de credenciais. Ao estabelecer oTCCM, é importante permitir o acesso com privilégios mínimos ao. SCCA Isso pode ser feito usando serviços de gerenciamento de AWS identidade e acesso. Um componente adicional do TCCM é uma conexão com o Virtual Data Center Managed Services (VDMS). Você pode usar essa conexão conforme necessário para acessar o AWS Management Console e gerenciar TCCM o.

TCCMÉ uma combinação de tecnologias e padrões que regem o acesso a. AWS O TCCM é considerado essencial para a maioria das implementações porque controla as permissões de acesso. A TCCM função não se destina a impor requisitos exclusivos de gerenciamento de identidade ao provedor comercial de serviços em nuvem (CSP). TCCMTambém não proíbe o uso da federação do CSP DoD ou de soluções de corretor de identidade de terceiros para fornecer o controle de identidade pretendido.

Os componentes da TCCM política são baseados em um entendimento geral que CSPs oferece um sistema de gerenciamento de identidade e acesso que permite o controle do acesso aos sistemas em nuvem. Esses sistemas podem incluir o console CSP de acesso e os componentes API de serviço da interface de linha de comando (CLI). No nível básico, é TCCM necessário bloquear as credenciais que podem ser usadas para criar redes não autorizadas e outros recursos. TCCMÉ nomeado pelo Oficial Autorizador (AO) encarregado de supervisionar os sistemas de TI. As TCCM políticas estabelecem a necessidade de um modelo de acesso com privilégios mínimos. Essas políticas são responsáveis pelo fornecimento e controle de credenciais de usuários privilegiados na nuvem comercial. Isso é para se manter alinhado com o Guia de Requisitos de Segurança de Computação em Nuvem do DoD, que aborda a implementação de políticas, planos e procedimentos para gerenciar suas credenciais de conta do portal. Antes da conexão com a Rede de Sistemas de Informação de Defesa (DISN), DISA valida a existência do Plano de Gerenciamento de Credenciais de Nuvem (CCMP) como parte do processo de aprovação de conexão definido no Guia do Processo de Conexão.

A tabela a seguir contém os requisitos mínimos para TCCM o. Ele explica se o LZA atende a cada requisito e qual Serviços da AWS você pode usar para atender a esses requisitos.

ID	TCCMrequisitos de segurança	AWS tecnologias	Recursos adicionais	Coberto por LZA
2.1.4.1	Eles TCCM devem desenvolver e manter um Plano de Gerenciamento de Credenciais em Nuvem (CCMP) para abordar a implementação de políticas, planos e procedimentos que serão aplicados ao gerenciamento de credenciais da conta do portal do cliente do proprietário da missão.	N/D	N/D	Não coberto
2.1.4.2	Eles TCCM devem coletar, auditar e arquivar todos os registros de atividades e alertas do Portal do Cliente.	AWS CloudTrail CloudWatch Registros da Amazon	N/D	Coberto
2.1.4.3	Isso TCCM deve garantir que os alertas do registro de atividades sejam compartilhados, encaminhados ou recuperáveis por usuários privilegiados do DoD envolvidos em atividades e atividades. MCP BCP	AWS CloudTrail CloudWatch Logs Serviço de notificação simples da Amazon (AmazonSNS) CloudWatch Informações sobre registros	N/D	Coberto
2.1.4.4	TCCMDevem, conforme necessário para o compartilhamento de informações, criar contas de acesso ao repositório de registros para acesso aos dados do registro de atividades por usuários privilegiados que realizam ambas MCP as BCP atividades.	AWS CloudTrail CloudWatch Logs Amazon SNS CloudWatch Informações sobre registros	N/D	Coberto
2.1.4.5	Eles TCCM devem recuperar e controlar com segurança as credenciais da conta do portal do cliente antes da conectividade do aplicativo da missão com o. DISN	AWS IAM Identity Center	N/D	Coberto
2.1.4.6	Eles TCCM devem criar, emitir e revogar, conforme necessário, as credenciais menos privilegiadas do portal do cliente com base em funções para administradores de aplicativos e sistemas do proprietário da missão (ou seja, usuários privilegiados do DoD).	AWS Identity and Access Management (IAM) AWS Directory Service for Microsoft Active Directory	N/D	Coberto

 

Para permitir que o atenda TCCM aos requisitos, ele LZA usa o controle programático dos recursos por meio do IAM serviço. Além disso, você pode combinar IAM com AWS Managed Microsoft AD para implementar o login único em outro diretório. Isso vincula seu AWS ambiente à sua infraestrutura local com relações de confiança do Active Directory.  NoLZA, a implementação é implantada com IAM funções de acesso temporário baseado em sessão. As IAM funções são credenciais de curta duração que ajudam sua organização a atender aos requisitos necessários. TCCM

Embora LZA implemente o acesso com privilégios mínimos e o acesso programático de curto prazo aos AWS recursos, analise as IAMmelhores práticas para garantir que você siga as diretrizes de segurança recomendadas.

Para obter mais informações sobre a implementação AWS Managed Microsoft AD, consulte a AWS Managed Microsoft ADseção do workshop do Active Directory no Dia AWS da Imersão.

O modelo de responsabilidade AWS compartilhada se aplica ao TCCM e aoLZA. Ele LZA constrói os aspectos fundamentais do controle de acesso, mas cada organização é responsável pela configuração de seus controles de segurança.