AWS SRA 示例的代码存储库

通过进行简短的调查来影响 AWS 安全参考架构 (AWS SRA) 的未来。

为了帮助您开始构建和实施 AWS SRA 中的指南，本指南附带了一个名为 https://github.com/aws-samples/aws-security-reference-architecture-examples 的基础设施即代码 (IaC) 存储库。此存储库包含的代码可帮助开发人员和工程师部署本文档中介绍的一些指导和架构模式。此代码取自 AWS Professional Services 顾问与客户打交道的第一手经验。这些模板本质上是通用的，它们的目标是说明实现模式，而不是提供完整的解决方案。AWS 服务配置和资源部署故意设置了非常严格的限制。您可能需要修改和定制这些解决方案以适应您的环境和安全需求。

AWS SRA 代码存储库提供了包含 AWS CloudFormation 和 Terraform 部署选项的代码示例。解决方案模式支持两种环境：一种需要 AWS Control Tower，另一种使用没有 AWS Control Tower 的 AWS 组织。此存储库中需要 AWS Control Tower 的解决方案已通过使用 AWS 和 AWS 控制塔定制 (cfcT) 在 AWS 控制塔环境中部署 CloudFormation 和测试。不需要 AWS Control Tower 的解决方案已在 AWS Organizations 环境中使用 AWS 进行了测试 CloudFormation。cfcT 解决方案可帮助客户根据 AWS 最佳实践快速设置安全的多账户 AWS 环境。它通过自动设置环境来运行安全和可扩展的工作负载，同时通过创建帐户和资源来实现初始安全基准，从而帮助节省时间。AWS Control Tower 还提供了一个基准环境，供您开始使用多账户架构、身份和访问管理、治理、数据安全、网络设计和日志记录。AWS SRA 存储库中的解决方案提供了额外的安全配置来实现本文档中描述的模式。

以下是 AWS SRA 存储库中解决方案的摘要。每个解决方案都包含一个包含详细信息的 README.md 文件。 

• CloudTrail 组织解决方案在组织管理账户中创建组织跟踪，并将管理委托给成员账户，例如审计或安全工具账户。此跟踪使用在 Security Tools 账户中创建的客户托管密钥进行加密，并将日志传送到日志存档账户中的 S3 存储桶。或者，也可以为 Amazon S3 和 AWS Lambda 函数启用数据事件。组织跟踪记录 AWS 组织中所有 AWS 账户的事件，同时防止成员账户修改配置。

• GuardDuty 组织解决方案 GuardDuty 通过将管理委托给安全工具账户来支持 Amazon。它在安全工具账户 GuardDuty 中为所有现有和未来的 AWS 组织账户进行配置。还会使用 KMS 密钥对 GuardDuty发现结果进行加密，并发送到日志存档账户中的 S3 存储桶。

• Sec urity Hub 组织解决方案通过将管理委托给安全工具账户来配置 AWS Security Hub。它在安全工具账户中为所有现有和未来的 AWS 组织账户配置 Security Hub。该解决方案还提供了用于在所有账户和区域之间同步已启用的安全标准以及在安全工具账户中配置区域聚合器的参数。将 Security Hub 集中到安全工具账户中，可以跨账户查看安全标准合规情况以及来自 AWS 服务和第三方 AWS 合作伙伴集成的发现。

• Inspector 解决方案在委托管理员（安全工具）账户中为 AWS 组织下的所有账户和受管区域配置 Amazon Inspector。

• Fi re wall Manager 解决方案通过将管理委托给安全工具账户并使用安全组策略和多个 AWS WAF 策略配置防火墙管理器来配置 AWS Firewall Manager 安全策略。安全组策略要求在解决方案部署的 VPC（现有或由解决方案创建）中允许的最大安全组。

• Macie 组织解决方案通过将管理委托给安全工具账户来支持 Amazon Macie。它在安全工具账户中为所有现有和未来的 AWS 组织账户配置 Macie。Macie 进一步配置为将其发现结果发送到使用 KMS 密钥加密的中央 S3 存储桶。

• AWS Config

  • Config Aggregator 解决方案通过将管理委托给安全工具账户来配置 AWS Config 聚合器。然后，该解决方案在安全工具账户中为 AWS 组织中所有现有和未来的账户配置 AWS Config 聚合器。

  • Conformance Pack 组织规则解决方案通过将管理委托给安全工具账户来部署 AWS Config 规则。然后，它在委托的管理员账户中为 AWS 组织中所有现有和未来的账户创建组织合规包。该解决方案配置为部署加密和密钥管理最佳操作实践一致性包示例模板。

  • AWS Config Control Tower 管理账户解决方案在 AWS Control Tower 管理账户中启用 AWS Config，并相应地更新安全工具账户中的 AWS Config 聚合器。该解决方案使用用于启用 AWS Config 的 AWS Control Tower CloudFormation 模板作为参考，以确保与 AWS 组织中的其他账户保持一致。

• IAM

  • A ccess Analyzer 解决方案通过将管理委托给安全工具账户来启用 AWS IAM Access Analyzer。然后，它在安全工具账户中为 AWS 组织中所有现有和未来的账户配置组织级访问分析器。该解决方案还将 Access Analyzer 部署到所有成员账户和区域，以支持分析账户级别的权限。

  • IAM 密码策略解决方案更新 AWS 组织中所有账户的 AWS 账户密码策略。该解决方案提供了用于配置密码策略设置的参数，以帮助您与行业合规性标准保持一致。

• EC2 默认 EBS 加密解决方案在 AWS 组织的每个 AWS 账户和 AWS 区域内启用账户级默认 Amazon EBS 加密。它会强制对您创建的新 EBS 卷和快照进行加密。例如，Amazon EBS 会加密您启动实例时创建的 EBS 卷以及您从未加密的快照中复制的快照。

• S3 封禁账户公共访问解决方案在 AWS 组织中的每个 AWS 账户中启用 Amazon S3 账户级别的设置。Amazon S3 屏蔽公共访问权限特征提供接入点、存储桶和账户设置，帮助您管理对 Amazon S3 资源的公有访问。默认情况下，新存储桶、接入点和对象不允许公有访问。但是，用户可以修改存储桶策略、接入点策略或对象权限以允许公有访问。Amazon S3 阻止公共访问设置会覆盖这些策略和权限，因此您可以限制对这些资源的公开访问。

• Det ec tive Organization 解决方案通过将管理委托给账户（例如审计或安全工具账户），并为所有现有和未来的 AWS 组织账户配置 Detective，从而自动启用 Amazon Detective。

• Shield Advanc ed 解决方案可自动部署 AWS Shield Advanced，从而为您在 AWS 上的应用程序提供增强的 DDoS 保护。

• AMI Bakery Organization 解决方案有助于自动生成和管理标准的、经过强化的 Amazon 系统映像 (AMI) 映像。这可确保您的 AWS 实例的一致性和安全性，并简化部署和维护任务。