Diseño de arquitecturas seguras
Qué aprenderá
En este dominio aprenderás el diseño del acceso seguro a los recursos de AWS (roles y políticas de IAM, políticas de control de servicios de AWS Organizations, AWS IAM Identity Center), la protección de las cargas de trabajo (grupos de seguridad y ACL de red, AWS WAF, AWS Shield, Amazon GuardDuty) y la protección de los datos (cifrado con AWS KMS, cifrado de las comunicaciones, control de acceso de S3). Representa el 30 % de la puntuación y es el dominio con mayor peso de los 4.
Puntos clave
- IAM: el inicio de sesión de las personas, con IAM Identity Center; para las aplicaciones, credenciales temporales de roles de IAM en lugar de claves de acceso válidas durante largos periodos
- Privilegio mínimo: las políticas se limitan a las operaciones necesarias y a los ARN de los recursos, y el límite máximo de permisos de toda la organización se fija con políticas de control de servicios
- Red: los grupos de seguridad son reglas solo de permiso a nivel de instancia, y las ACL de red son reglas a nivel de subred en las que también se puede denegar
- Defensa perimetral: los ataques web, con AWS WAF; los ataques DDoS, con AWS Shield; la detección de amenazas, con Amazon GuardDuty
- Cifrado: en reposo, claves de AWS KMS; en las comunicaciones, TLS (certificados de AWS Certificate Manager y la condición aws:SecureTransport)
- Conexión privada: S3 y DynamoDB, con puntos de enlace de gateway; otros servicios y los servicios propios, con AWS PrivateLink
Términos y conceptos
Roles de IAM y credenciales temporales
Un rol de IAM es un mecanismo que entrega credenciales con caducidad a la persona o el servicio que lo asume. Para EC2 se usa un perfil de instancia; para Lambda, un rol de ejecución; y para otra cuenta, un rol cuya asunción se permite mediante la política de confianza. Los daños en caso de filtración son menores que si se distribuyen claves de acceso, y en el examen suele ser la forma de la respuesta correcta.
Políticas de control de servicios (SCP)
Las SCP determinan el límite máximo de permisos que se pueden usar en las cuentas de una organización de AWS Organizations. Ni siquiera el administrador de una cuenta puede ejecutar las operaciones denegadas por una SCP. Como no es un mecanismo que conceda permisos, para las operaciones reales también hace falta el permiso de una política de IAM.
→ AWS Organizations Glosario / → Administración de varias cuentas con Organizations
Grupos de seguridad y ACL de red
Un grupo de seguridad es un cortafuegos que se asocia a instancias y otros recursos; solo se escriben reglas de permiso y el tráfico de retorno se permite automáticamente. Como se puede indicar otro grupo de seguridad como origen, es adecuado para controlar el tráfico entre capas. Una ACL de red se asocia a una subred, evalúa los permisos y las denegaciones por orden de número, y también hay que permitir explícitamente el tráfico de retorno.
Tipos de claves de AWS KMS
En AWS KMS hay claves administradas por el cliente, que crea el usuario y cuya política de claves y rotación automática puede administrar, y claves administradas por AWS, que los servicios de AWS crean y administran en nombre del usuario. Si hay requisitos como decidir uno mismo quién puede usarlas o rastrear con detalle su uso, se eligen las claves administradas por el cliente.
Cuándo usar AWS WAF, AWS Shield y Amazon GuardDuty
AWS WAF inspecciona las solicitudes HTTP delante de CloudFront, ALB y otros recursos, y detiene la inyección de SQL y las grandes cantidades de solicitudes. AWS Shield protege frente a los ataques DDoS: Standard es automático y gratuito, y Advanced incluye consultas a un equipo especializado y compensación de los cargos de uso. Amazon GuardDuty es un servicio que analiza los registros para detectar comunicaciones y operaciones sospechosas, pero no las detiene.
Puntos de enlace de VPC y AWS PrivateLink
Los puntos de enlace de gateway son un mecanismo gratuito que solo se puede usar con S3 y DynamoDB, y añaden una ruta a la tabla de rutas. Los puntos de enlace de interfaz usan AWS PrivateLink y conectan con muchos servicios de AWS y con servicios de VPC de otras empresas mediante direcciones IP privadas, sin pasar por Internet.
→ AWS PrivateLink Glosario / → Conexión privada con PrivateLink