基礎設施 OU – 網路帳戶

通過進行簡短的調查來影響 AWS 安全參考架構（AWS SRA）的 future。

下圖說明在網路帳戶中設定的 AWS 安全服務。 

網路帳戶管理您的應用程式與更廣泛的網際網路之間的閘道。請務必保護雙向介面。網路帳戶會將聯網服務、組態和操作與個別應用程式工作負載、安全和其他基礎設施隔離。此安排不僅限制連線、許可和資料流程，還支援需要在這些帳戶中操作之團隊的職責分離和最低權限。透過將網路流程分為單獨的傳入和傳出虛擬私有雲端 (VPC)，您可以保護敏感基礎設施和流量免遭不必要的存取。傳入網路通常視為風險較高，需要適當的路由、監控和潛在問題緩解措施。這些基礎設施帳戶將從組織管理帳戶和基礎設施 OU 繼承許可防護機制。聯網 (和安全) 團隊會管理此帳戶中的大部分基礎設施。

網路架構

雖然網路設計和細節已超出本文件的範圍，但我們建議您在不同帳戶之間進行網路連線以下三個選項：VPC 對等互連 PrivateLink、AWS 和 AWS Transit Gateway。在其中進行選擇時的重要考量是操作規範、預算和特定頻寬需求。 

• VPC 對等互連 – 連接兩個 VPC 的最簡單方法是使用 VPC 對等互連。連線可實現 VPC 之間的完全雙向連線。位於個別帳戶和 AWS 區域中的 VPC 也可以對等互連。在規模上，當您具有數十至數百個 VPC 時，將其與對等互連會導致形成數百至數千個對等互連的網格，這對於管理和擴展來說可能具有挑戰性。當一個 VPC 中的資源必須與另一個 VPC 中的資源通訊、兩個 VPC 的環境都受到控制和保護，以及要連接的 VPC 數量少於 10 個 (以允許個別管理每個連線) 時，最好使用 VPC 對等互連。

• AWS PrivateLink — 在 VPC、服務和應用程式之間 PrivateLink提供私有連接。您可以在 VPC 中建立自己的應用程式，並將其設定為 PrivateLink支援的服務 (稱為端點服務)。其他 AWS 主體可以使用介面 VPC 端點或 Gateway Load Balancer 端點 (視服務類型而定)，建立從其 VPC 至端點服務的連線。使用時 PrivateLink，服務流量不會通過公開可路由的網絡。 PrivateLink 當您具有用戶端-伺服器設定時，您想要將一或多個取用者 VPC 單向存取服務或服務提供者 VPC 中的一組執行個體提供單向存取權限時使用。當兩個 VPC 中的用戶端和伺服器具有重疊的 IP 位址時，這也是一個不錯的選擇，因為在 PrivateLink 用戶端 VPC 內使用彈性網路介面，因此不會與服務提供者發生 IP 衝突。 

• AWS Transit Gateway — Transit Gateway 提供 hub-and-spoke 設計，可將 VPC 和現場部署網路連接為全受管服務，而無需佈建虛擬設備。AWS 會管理高可用性和可擴展性。傳輸閘道是一種區域資源，可連接相同 AWS 區域內數以千計的 VPC。您可以將混合連線 (VPN 和 AWS Direct Connect 連線) 連接至單一傳輸閘道，從而在一個地方合併和控制 AWS 組織的整個路由組態。傳輸閘道解決了大規模建立和管理多個 VPC 對等互連所涉及的複雜性。它是大多數網路架構的預設值，但圍繞成本、頻寬和延遲的特定需求可能會使 VPC 對等互連更適合您的需求。

傳入 (輸入) VPC

傳入 VPC 旨在接受、檢查和路由應用程式外部啟動的網路連線。根據應用程式的具體情況，您可能會在此 VPC 中看到部分網路位址轉譯 (NAT)。來自此 VPC 的流程日誌將擷取並儲存在日誌存檔帳戶中。

傳出 (輸出) VPC

傳出 VPC 旨在處理從應用程式內啟動的網路連線。根據應用程式的具體情況，您可能會在此 VPC 中看到流量 NAT、AWS 服務特定的 VPC 端點，以及外部 API 端點的託管。來自此 VPC 的流程日誌將擷取並儲存在日誌存檔帳戶中。

檢查 VPC

專用檢查 VPC 提供了一種簡化且集中的方法來管理 VPC (位於相同或不同的 AWS 區域)、網際網路與內部部署網路之間的檢查。對於 AWS SRA，請確保 VPC 之間的所有流量都通過 VPC，並避免將檢查 VPC 用於任何其他工作負載。

AWS Network Firewall

AWS Network Firewall 是適用於您的 VPC、具高可用性的受管網路防火牆服務。它可讓您輕鬆部署和管理具狀態檢查、入侵防禦和偵測以及 Web 篩選，以協助保護 AWS 上的虛擬網路。如需有關設定 Network Firewall 的詳細資訊，請參閱 AWS Network Firewall – VPC 中新的受管防火牆服務部落格文章。

您可以在 VPC 中依可用區域使用防火牆。對於每個可用區域，您選擇一個子網路來託管篩選流量的防火牆端點。可用區域中的防火牆端點可以保護此區域內除其所在子網路之外的所有子網路。根據使用案例和部署模型，防火牆子網路可以是公有或私有子網路。防火牆對流量流程完全透明，且不會執行網路位址轉譯 (NAT)。它會保留來源和目的地地址。在此參考架構中，防火牆端點託管在檢查 VPC 中。從傳入 VPC 至傳出 VPC 的所有流量都將透過此防火牆子網路路由以進行檢查。 

Network Firewall 透過 Amazon CloudWatch 指標即時顯示防火牆活動，並透過將日誌傳送到 Amazon 簡單儲存服務 (Amazon S3) 和 Amazon Data Firehose CloudWatch，提供更高的網路流量可見度。Network Firewall 可與您現有的安全方法互通，包括來自 AWS 合作夥伴的技術。您也可以匯入現有的 Suricata 規則集，這些規則集可能是內部編寫的，也可能是從第三方供應商或開放原始碼平台外部取得的。 

在 AWS SRA 中，Network Firewall 在網路帳戶內使用，因為此服務的以網路控制為中心的功能與帳戶意圖一致。 

設計考量

• AWS Firewall Manager 支援 Network Firewall，因此您可以在整個組織中集中設定和部署 Network Firewall 規則。(如需詳細資訊，請參閱 AWS 文件中的 AWS Network Firewall 政策。) 在您設定 Firewall Manager 時，它會自動建立一個防火牆，其中包含您指定的帳戶和 VPC 中的規則集。它還在包含公有子網路的每個可用區域的專用子網路中部署端點。同時，對集中設定的規則集的任何變更都會在部署的 Network Firewall 防火牆上自動更新至下游。 

• Network Firewall 有多種可用的部署模型。正確的模型取決於您的使用案例和需求。範例如下：

  • 分散式部署模型，其中 Network Firewall 部署到個別 VPC。

  • 集中式部署模型，其中 Network Firewall 部署到集中式 VPC，用於東西向 (VPC 至 VPC) 或南北向 (網際網路輸出和輸入、內部部署) 流量。

  • 合併的部署模型，其中 Network Firewall 部署到集中式 VPC，用於東西向流量和南北向流量的子集。

• 作為最佳實務，請勿使用 Network Firewall 子網路部署任何其他服務。這是因為 Network Firewall 無法檢查來自防火牆子網路內的來源或目的地的流量。

網路存取分析器

網路存取分析器是 Amazon VPC 的一項功能，可識別對您的資源的意外網路存取。您可以使用網路存取分析器來驗證網路分隔、識別可從網際網路存取的資源或只能從可信 IP 地址範圍存取的資源，並驗證您是否對所有網路路徑具有適當的網路控制。

網路存取分析器使用自動推理演算法來分析封包在 AWS 網路中的資源之間可以採取的網路路徑，並產生與您定義之網路存取範圍相符的路徑的調查結果。網路存取分析器會對網路組態執行靜態分析，這表示在此分析過程中不會在網路中傳輸任何封包。

Amazon Inspector 網路連線能力規則提供了相關功能。這些規則產生的調查結果將在應用程式帳戶中使用。網路存取分析器和網路連線能力都使用 AWS Provable Security 計畫的最新技術，並將此技術套用於不同的重點領域。網路連線能力套件特別著重於 EC2 執行個體及其網際網路可存取性。 

網路帳戶定義了控制進出 AWS 環境之流量的關鍵網路基礎設施。需要嚴格監控此流量。在 AWS SRA 中，網路帳戶內使用網路存取分析器來協助識別意外的網路存取、透過網際網路閘道識別可透過網際網路存取的資源，並驗證資源與網際網路閘道之間的所有網路路徑上是否存在適當的網路控制，例如網路防火牆和 NAT 閘道。 

設計考量事項

• 網路存取分析器是 Amazon VPC 的一項功能，可用於任何具有 VPC 的 AWS 帳戶。網路管理員可以取得嚴格作用範圍的跨帳戶 IAM 角色，以驗證每個 AWS 帳戶內是否強制執行核准的網路路徑。

AWS RAM

AWS Resource Access Manager (AWS RAM) 可協助您與其他 AWS 帳戶安全地共用您在一個 AWS 帳戶中建立的 AWS 資源。AWS RAM 提供了一個中心位置來管理資源共用並跨帳戶標準化此體驗。這使得在利用管理和帳單隔離的同時管理資源更加簡單，並減少多帳戶策略提供的影響限制優勢的範圍。如果您的帳戶由 AWS Organizations 管理，AWS RAM 可讓您與組織中的所有帳戶共用資源，或僅與一或多個指定組織單位 (OU) 內的帳戶共用資源。您也可以透過帳戶 ID 與特定 AWS 帳戶共用，無論此帳戶是否屬於組織。您也可以與指定的 IAM 角色和使用者共用部分支援的資源類型。

AWS RAM 可讓您共用不支援 IAM 資源型政策的資源，例如 VPC 子網路和 Route 53 規則。此外，透過 AWS RAM，資源的擁有者可以看到哪些主體可以存取他們已共用的個別資源。IAM 實體可以擷取直接與其共用的資源清單，而這些資源無法使用 IAM 資源政策共用的資源。如果使用 AWS RAM 共用 AWS 組織外部的資源，則會啟動邀請程序。收件人必須先接受邀請，然後再授予對資源的存取權。這提供了額外的制衡。

AWS RAM 由資源擁有者在部署共用資源的帳戶中調用和管理。AWS SRA 中說明的 AWS RAM 的一個常見使用案例是讓網路管理員與整個 AWS 組織共用 VPC 子網路和傳輸閘道。這提供了將 AWS 帳戶和網路管理功能解耦的能力，並協助實現職責分離。如需有關 VPC 共用的詳細資訊，請參閱 AWS 部落格文章 VPC 共用：多重帳戶和 VPC 管理的新方法和 AWS 網路基礎設施白皮書。 

設計考量事項

• 雖然 AWS RAM 即服務僅部署在 AWS SRA 中的網路帳戶內，但它通常會部署在多個帳戶中。例如，您可以將資料湖管理集中至單一資料湖帳戶，然後與 AWS 組織中的其他帳戶共用 AWS Lake Formation 資料型錄資源 (資料庫和資料表)。如需詳細資訊，請參閱 AWS Lake Formation 文件和 AWS 部落格文章使用 AWS Lake Formation 跨 AWS 帳戶安全地共用您的資料。此外，安全管理員可以在建立 AWS 私有 CA 階層時使用 AWS RAM 遵循最佳實務。CA 可以與外部第三方共用，外部第三方可以發行憑證而無需存取 CA 階層。這允許發起組織限制和撤銷第三方存取權。

AWS Verified Access

AWS Verified Access 可讓您在不使用 VPN 的情況下安全存取企業應用程式。它透過根據預先定義的要求即時評估每個存取請求來改善安全狀態。您可以根據身分資料和裝置狀態，為每個應用程式定義具有條件的唯一存取政策。Verified Access 還可以透過協助管理員有效地設定和監控存取策略，來簡化安全操作。這樣可騰出時間來更新政策、回應安全性和連線事件，以及稽核合規標準。Verified Access 還支援與 AWS WAF 整合，以協助您篩選出 SQL 隱碼攻擊和跨網站指令碼 (XSS) 等常見威脅。已驗證存取與 AWS IAM 身分中心無縫整合，讓使用者能夠透過 SAML 的第三方身分提供者進行驗證 () IdPs。如果您已具有與 OpenID Connect (OIDC) 相容的自訂 IdP 解決方案，Verified Access 還可以透過直接與您的 IdP 連接來對使用者進行身分驗證。Verified Access 會記錄每次存取嘗試，以便您可以快速回應安全事件和稽核請求。驗證存取支援將這些日誌交付到 Amazon 簡單儲存服務 (Amazon S3)、Amazon CloudWatch 日誌和亞馬遜資料 Firehose。

Verified Access 支援兩種常見的企業應用程式模式：內部和面向網際網路。Verified Access 透過使用 Application Load Balancer 或彈性網路介面與應用程式整合。如果您使用的是 Application Load Balancer，則 Verified Access 需要內部負載平衡器。由於 Verified Access 在執行個體層級支援 AWS WAF，因此將 AWS WAF 與 Application Load Balancer 整合的現有應用程式可以將政策從負載平衡器移至 Verified Access 執行個體。企業應用程式表示為 Verified Access 端點。每個端點都與一個 Verified Access 群組關聯，並繼承此群組的存取政策。Verified Access 群組是 Verified Access 端點和群組層級 Verified Access 政策的集合。群組簡化了政策管理，且可讓 IT 管理員設定基準條件。應用程式擁有者可以根據應用程式的敏感度進一步定義精細政策。

在 AWS SRA 中，Verified Access 託管在網路帳戶內。中心 IT 團隊會設定集中管理的組態。例如，他們可以連接身分提供者 (例如 Okta) 和裝置信任提供者 (例如 Jamf) 等信任提供者、建立群組並確定群組層級政策。然後，可以使用 AWS Resource Access Manager (AWS RAM) 與數十、數百或數千個工作負載帳戶共用這些組態。這可讓應用程式團隊管理用於管理其應用程式的基礎端點，而無需其他團隊的額外負荷。AWS RAM 提供了一種可擴展的方式，對託管在不同工作負載帳戶中的企業應用程式利用 Verified Access。

設計考量事項

• 您可以將具有類似安全要求的應用程式的端點分組，以簡化政策管理，然後與應用程式帳戶共用此群組。群組中的所有應用程式都會共用群組政策。如果群組中的某個應用程式因邊緣案例而需要特定政策，您可以為該應用程式套用應用程式層級政策。

Amazon VPC Lattice

Amazon VPC 萊迪思是一種應用程式聯網服務，可連接、監控和保護 service-to-service通訊。服務 (也常稱為微型服務) 是可獨立部署的軟體單位，用以執行特定任務。VPC Lattice 會自動管理跨 VPC 和 AWS 帳戶的服務之間的網路連線和應用程式層路由，而無需您管理基礎網路連線、前端負載平衡器或附屬代理。它提供了全受管應用程式層代理，此代理根據請求特性 (例如路徑和標頭) 提供應用程式層路由。VPC Lattice 內建於 VPC 基礎設施中，因此它可以跨各種運算類型 [例如 Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Elastic Kubernetes Service (Amazon EKS) 和 AWS Lambda] 提供一致的方法。VPC Lattice 還支援藍/綠和金絲雀式部署的加權路由。您可以使用 VPC Lattice 建立具有邏輯界限的服務網路，以自動實作服務探索和連線。VPC 萊迪思與 AWS Identity and Access Management (IAM) 整合，以便使用身份 service-to-service 驗證政策進行身份驗證和授權。

VPC Lattice 與 AWS Resource Access Manager (AWS RAM) 整合，以實現服務和服務網路的共用。AWS SRA 描述了一種分散式架構，在此架構中，開發人員或服務擁有者在其應用程式帳戶中建立 VPC Lattice 服務。服務擁有者會定義接聽程式、路由規則、目標群組以及授權政策。然後，他們與其他帳戶共用服務，並將服務與 VPC Lattice 服務網路關聯。這些網路由網路管理員在網路帳戶中建立並與應用程式帳戶共用。網路管理員會設定服務網路層級授權政策和監控。管理員將 VPC 和 VPC Lattice 服務與一或多個服務網路關聯。如需此分散式架構的詳細逐步解說，請參閱 AWS 部落格文章使用 Amazon VPC Lattice 為您的應用程式建置安全的多帳戶多 VPC 連線。

設計考量事項

• 根據您組織的服務操作模式或服務網路可見性，網路管理員可以共用其服務網路，並為服務擁有者提供控制權，以將其服務和 VPC 與這些服務網路關聯。或者，服務擁有者可以共用其服務，網路管理員可以將服務與服務網路關聯。

  只有當用戶端位於與相同服務網路關聯的 VPC 中時，用戶端才可以將請求傳送至與該服務網路關聯的服務。周遊 VPC 對等互連或傳輸閘道的用戶端流量將遭拒。

邊緣安全

邊緣安全通常需要三種類型的保護：安全內容交付、網路和應用程式層保護以及分散式阻斷服務 (DDoS) 緩解措施。資料、影片、應用程式和 API 等內容必須快速且安全地交付，使用建議版本的 TLS 來加密端點之間的通訊。內容也應透過簽章的 URL、簽章的 Cookie 和字符身分驗證進行存取限制。應用程式層級安全應旨在控制機器人流量、阻止 SQL 隱碼攻擊或跨網站指令碼 (XSS) 等常見攻擊模式，並提供 Web 流量可見性。在邊緣，DDoS 緩解措施提供了重要的防禦層，可確保關鍵任務業務營運和服務的持續可用性。應保護應用程式和 API 免受 SYN 洪水攻擊、UDP 洪水攻擊或其他反射攻擊，並具有內嵌緩解措施以阻止基本網路層攻擊。

AWS 提供了多種服務，可協助提供從核心雲端至 AWS 網路邊緣的安全環境。Amazon CloudFront、AWS Certificate Manager (ACM)、AWS Shield、AWS WAF 和 Amazon Route 53 共同合作，協助建立靈活的分層安全範圍。透過 Amazon CloudFront，內容、API 或應用程式可以透過 HTTPS 交付，方法是使用 TLSv1.3 來加密和保護檢視器用戶端與. CloudFront 您可以使用 ACM 建立自訂 SSL 憑證，並免費將其部署到 CloudFront 發行版。ACM 會自動處理憑證續約。AWS Shield 是一項受管 DDoS 防護服務，有助於保護在 AWS 上執行的應用程式。它提供動態偵測和自動內嵌緩解措施，可最大限度地減少應用程式停機時間和延遲。AWS WAF 可讓您建立規則來根據特定條件 (IP 地址、HTTP 標頭和內文或自訂 URI)、常見 Web 攻擊和普遍的機器人來篩選 Web 流量。Route 53 是一種可用性高、可擴展性強的 DNS Web 服務。Route 53 會將使用者請求連接至在 AWS 上或內部部署執行的網際網路應用程式。AWS SRA 透過使用託管在網路帳戶內的 AWS Transit Gateway 採用集中式網路輸入架構，因此邊緣安全基礎設施也集中在此帳戶中。

Amazon CloudFront

Amazon CloudFront 是一種安全的內容交付網路 (CDN)，可針對常見網路層和傳輸 DDoS 嘗試提供固有保護。您可以使用 TLS 憑證交付內容、API 或應用程式，且進階 TLS 功能會自動啟用。您可以使用 ACM 建立自訂 TLS 憑證，並在檢視者之間強制執行 HTTPS 通訊 CloudFront，如 ACM 一節稍後所述。您還可以要求 CloudFront 與您的自訂原始伺服器之間的通訊在傳輸過程中實作 end-to-end加密。對於此案例，您必須在原始伺服器上安裝 TLS 憑證。如果您的原始伺服器是彈性負載平衡器，您可以使用 ACM 產生的憑證或由第三方憑證授權機構 (CA) 驗證並匯入至 ACM 的憑證。如果 S3 儲存貯體網站端點用作的來源 CloudFront，則您無法設定 CloudFront 為在原始伺服器上使用 HTTPS，因為 Amazon S3 不支援網站端點的 HTTPS。但是，您仍然可以在檢視者和 CloudFront. 之間需要 HTTPS。) 對於支援安裝 HTTPS 憑證的所有其他原始伺服器，您必須使用可信第三方 CA 簽署的憑證。

CloudFront 提供多種選項來保護和限制對您內容的存取。例如，它可以透過使用簽章的 URL 和簽章的 Cookie 來限制對您的 Amazon S3 原始伺服器的存取。如需詳細資訊，請參閱 CloudFront文件中的設定安全存取和限制對內容的存取。

AWS SRA 說明了網路帳戶中的集中式 CloudFront 分佈，因為它們與使用 Transit Gateway 實作的集中式網路模式保持一致。透過在網路帳戶中部署和管理 CloudFront 散佈，您可以獲得集中式控制的好處。您可以在一個位置管理所有 CloudFront 分發，這使得控制訪問，配置設置和監控所有帳戶的使用情況變得更加容易。此外，您可以從一個集中式帳戶管理 ACM 憑證、DNS 記 CloudFront錄和記錄。

設計考量

• 或者，您可以在應用程式帳戶中部署 CloudFront 為應用程式的一部分。在這個案例中，應用程式小組會決定如何部署 CloudFront 散發、決定適當的快取原則，並負責管理、稽核及監視 CloudFront散佈。透過將 CloudFront 分配分配到多個帳戶，您可以從額外的服務配額中受益。作為另一個好處，您可以使用固有 CloudFront的自動化來源存取身分識別 (OAI) 和來源存取控制 (OAC) 組態來限制對 Amazon S3 來源的存取。

• 當您通過 CDN（例如）傳遞 Web 內容時 CloudFront，您必須阻止觀眾繞過 CDN 並直接訪問您的來源內容。若要達到此原始存取限制，您可以使用 CloudFront 和 AWS WAF 新增自訂標頭並驗證標頭，然後再將請求轉寄到自訂原始伺服器。如需此解決方案的詳細說明，請參閱 AWS 安全部落格文章：如何使用 AWS WAF 和 AWS Secrets Manager 來增強 Amazon CloudFront 原始安全性。另一種方法是僅限制與 Application Load Balancer 相關聯的安全性群組中的 CloudFront 前置詞清單。這將有助於確保只有 CloudFront 分發可以訪問負載平衡器。

AWS WAF

AWS WAF 是一種 Web 應用程式防火牆，可協助保護 Web 應用程式免受 Web 入侵程式侵擾，例如可能影響應用程式可用性、危害安全性或耗用過多資源的常見漏洞和機器人。它可以與亞馬遜 CloudFront 分發、Amazon API 閘道 REST API、Application Load Balancer、AWS AppSync GraphQL API、Amazon Cognito 使用者集區和 AWS 應用程式執行器服務整合。

AWS WAF 使用 Web 存取控制清單 (ACL) 來保護一組 AWS 資源。Web ACL 是一組規則，定義檢查條件以及 Web 請求滿足條件時要採取的關聯動作 (阻止、允許、計數或執行機器人控制功能)。AWS WAF 提供一組受管規則，可針對常見應用程式漏洞提供保護。這些規則由 AWS 和 AWS 合作夥伴策劃和管理。AWS WAF 還提供了強大的規則語言來編寫自訂規則。您可以使用自訂規則來撰寫符合您特定需求的檢查條件。範例包括 IP 限制、地理限制以及更適合您的特定應用程式行為的受管規則的自訂版本。

AWS WAF 為常見和目標機器人以及帳戶接管保護 (ATP) 提供了一組智慧型分層受管規則。使用機器人控制功能和 ATP 規則群組時，您需要支付訂閱費用和流量檢查費用。因此，我們建議您先監控流量，然後再決定要使用什麼。您可以使用 AWS WAF 主控台上免費提供的機器人管理和帳戶接管儀表板來監控這些活動，然後決定是否需要智慧型分層 AWS WAF 規則群組。

在 AWS SRA 中，AWS WAF 已與 CloudFront 網路帳戶整合。在此組態中，WAF 規則處理發生在邊緣節點而不是 VPC 內。這樣可篩選更接近請求內容的最終使用者的惡意流量，並有助於限制惡意流量進入您的核心網路。

您可以透過設定對 S3 儲存貯體的跨帳戶存取權，將完整的 AWS WAF 日誌傳送到日誌存檔帳戶中的 S3 儲存貯體。如需詳細資訊，請參閱關於此主題的 AWS Re:Post 文章。

設計考量

• 作為在網路帳戶中集中部署 AWS WAF 的替代方案，透過在應用程式帳戶中部署 AWS WAF 可以更好地滿足部分使用案例。例如，當您在應用程式帳戶中部署 CloudFront 分發或具有面向公開的應用程式負載平衡器時，或者如果您在 Web 應用程式前面使用 Amazon API Gateway，則可以選擇此選項。如果您決定在每個應用程式帳戶中部署 AWS WAF，則請使用 AWS Firewall Manager 從集中式安全工具帳戶管理這些帳戶中的 AWS WAF 規則。

• 您也可以在該 CloudFront 層新增一般 AWS WAF 規則，並在區域資源 (例如應用程式負載平衡器或 API 閘道) 新增其他應用程式專屬 AWS WAF 規則。

AWS Shield

AWS Shield 是一項受管 DDoS 防護服務，可保護在 AWS 上執行的應用程式。Shield 有兩個層級：Shield Standard 和 Shield Advanced。Shield Standard 為所有 AWS 客戶提供針對最常見基礎設施 (第 3 層和第 4 層) 事件的保護，無需額外付費。Shield Advanced 針對受保護的 Amazon 彈性運算雲端 (Amazon EC2)、Elastic Load Balancing (ELB)、亞馬遜、AWS Global Accelerator 和 Route 53 託管區域上的應用程式為目標的未經授權事件提供更複雜的自動緩解措施。 CloudFront如果您擁有高可見度的網站，或者容易遭受頻繁的 DDoS 攻擊，則可以考慮 Shield Advanced 提供的其他功能。

您可以使用 Shield 進階自動應用程式層 DDoS 緩解功能，將 Shield Advanced 設定為自動回應，以減輕受保護 CloudFront 分發和應用程式負載平衡器的應用程式層 (第 7 層) 攻擊。在您啟用此功能時，Shield Advanced 會自動產生自訂 AWS WAF 規則以防禦 DDoS 攻擊。Shield Advanced 還可讓您存取 AWS Shield 回應團隊 (SRT)。您可以隨時聯絡 SRT，為您的應用程式或在主動 DDoS 攻擊期間建立和管理自訂緩解措施。如果您希望 SRT 主動​​監控受保護的資源，並在 DDoS 嘗試期間與您聯絡，請考慮啟用主動參與功能。

設計考量

• 如果您在應用程式帳戶 (例如 Amazon、應用程式負載平衡器或 Network Load Balancer) 中有任何面向網際網路資源的工作負載 CloudFront，請在應用程式帳戶中設定 Shield Advanced，並將這些資源新增至防護。您可以使用 AWS Firewall Manager 來大規模設定這些選項。

• 如果資料流程中有多個資源 (例如 Application Load Balancer 前面的 CloudFront 分佈)，請僅使用入口點資源做為受保護的資源。這將確保您不會為兩個資源支付兩次 Shield 資料傳出 (DTO) 費用。

• Shield 高級記錄您可以在 Amazon 監控的指標 CloudWatch。(如需詳細資訊，請參閱 AWS 文件中的 AWS Shield Advanced 指標和警示。) 設定 CloudWatch 警示，以便在偵測到 DDoS 事件時接收 SNS 通知至您的安全中心。在可疑的 DDoS 事件中，請透過提出支援票證並為其指派最高優先順序，來聯絡 AWS Enterprise Support 團隊。處理此事件時，Enterprise Support 團隊將包括 Shield 回應團隊 (SRT)。此外，您可以預先設定 AWS Shield 參與 Lambda 函數，來建立支援票證並向 SRT 團隊傳送電子郵件。

AWS Certificate Manager

AWS Certificate Manager (ACM) 可讓您佈建、管理和部署公有和私有 TLS 憑證，以便與 AWS 服務和內部連線的資源搭配使用。使用 ACM，您可以快速申請憑證、將憑證部署到 ACM 整合的 AWS 資源上，例如 Elastic Load Balancing 負載平衡器、Amazon CloudFront 分發和 Amazon API Gateway 上的 API，並讓 ACM 處理憑證續約。在您請求 ACM 公有憑證時，無需產生金鑰對或憑證簽署請求 (CSR)、將 CSR 提交給憑證授權機構 (CA)，也無需在收到憑證時上傳並安裝憑證。ACM 還提供匯入第三方 CA 發行的 TLS 憑證並使用 ACM 整合服務進行部署的選項。當您使用 ACM 管理憑證時，會使用強式加密和金鑰管理最佳事務來安全地保護和儲存憑證私有金鑰。使用 ACM，佈建公有憑證無需額外付費，且 ACM 可管理續約程序。

ACM 在網路帳戶中用來產生公用 TLS 憑證，而 CloudFront 發行版則會使用這個憑證來建立檢視者與 CloudFront. 如需詳細資訊，請參閱CloudFront 文件。

設計考量事項

• 對於面向外部的憑證，ACM 必須與為其佈建憑證的資源駐留在相同帳戶中。憑證不能跨帳戶共用。

Amazon Route 53

Amazon Route 53 是一種可用性高、可擴展性強的 DNS Web 服務。您可以使用 Route 53 執行以下三個主要功能：網域註冊、DNS 路由和運作狀態檢查。

您可以使用 Route 53 做為 DNS 服務，將網域名稱對應至 EC2 執行個體、S3 儲存貯體、 CloudFront 分發和其他 AWS 資源。AWS DNS 伺服器的分散式性質有助於確保您的最終使用者一致地路由至您的應用程式。Route 53 流量流程和路由控制等功能可協助您提高可靠性。如果您的主要應用程式端點不可用，您可以設定容錯移轉以將使用者重新路由至替代位置。Route 53 Resolver 透過 AWS Direct Connect 或 AWS 受管 VPN 為您的 VPC 和內部部署網路提供遞迴 DNS。

透過將 AWS Identity and Access Management (IAM) 服務與 Route 53 搭配使用，您可以對可以更新 DNS 資料的使用者進行精細分級的控制。您可以啟用 DNS 安全延伸 (DNSSEC) 簽署，讓 DNS 解析程式驗證 DNS 回應是否來自 Route 53，並且尚未遭到竄改。

Route 53 Resolver DNS 防火牆為來自 VPC 的傳出 DNS 請求提供保護。這些請求會通過 Route 53 Resolver 進行網域名稱解析。DNS 防火牆保護的主要用途是協助防止 DNS 洩漏您的資料。透過 DNS 防火牆，您可以監控和控制應用程式可查詢的網域。您可以拒絕存取您已知行為不良的網域，並允許所有其他查詢通過。或者，您可以拒絕對除明確信任網域之外的所有網域的存取。您也可以使用 DNS 防火牆來封鎖對私人託管區域 (共用或本機) 中資源 (包括 VPC 端點名稱) 的解析請求。它也可以封鎖對公有或私有 EC2 執行個體名稱的請求。

依預設，Route 53 解析器會作為每個 VPC 的一部分建立。在 AWS SRA 中，Route 53 在網路帳戶中主要用於 DNS 防火牆功能。 

設計考量事項

• DNS 防火牆和 AWS Network Firewall 都提供網域名稱篩選功能，但是用於不同類型的流量。您可以將 DNS 防火牆和 Network Firewall 一起使用，針對兩個不同的網路路徑上的應用程式層流量設定網域型篩選。

  • DNS 防火牆針對從 VPC 內的應用程式透過 Route 53 Resolver 傳遞的傳出 DNS 查詢提供篩選功能。您也可以設定 DNS 防火牆，將查詢的自訂回應傳送至封鎖的網域名稱。

  • Network Firewall 同時提供網路層和應用程式層流量的篩選功能，但是沒有 Route 53 Resolver 所實現的查詢可見性。