Вопрос или проблема
У нас более 50 аккаунтов в организации AWS. Мы специально удерживали производственные и непроизводственные рабочие нагрузки (среды) в отдельных аккаунтах. Некоторые критики говорят, что это увеличивает управленческую нагрузку, и мы должны объединить все эти среды в один аккаунт, а затем использовать теги, политики/роли IAM/VPC и т. д., чтобы разделить разные среды в одном аккаунте AWS. Какова лучшая практика с точки зрения безопасности, зная, что наша организация находится в сфере здравоохранения/бионаук/биотехнологий.
Наилучшей практикой безопасности AWS является организация различных рабочих нагрузок в отдельных аккаунтах. Это явно включает разделение рабочих нагрузок разработки, тестирования и производства в разных аккаунтах.
Преимущества включают возможность применения различных требований к соблюдению норм к различным рабочим нагрузкам (например, производственная может быть более защищенной) и тот факт, что аккаунты AWS представляют собой жесткую границу (компрометация аккаунта разработки не должна влиять на производство).
AWS Organizations и AWS Control Tower – это 2 сервиса, которые значительно упрощают управление несколькими аккаунтами. В сочетании с эффективной автоматизацией не должно быть значительной (если вообще есть) управленческой нагрузки для реализации стратегии многократного аккаунта.
Тот факт, что вы находитесь в сфере здравоохранения, не делает вас особенным; правила IAM и подобные вещи должны оставаться последовательными для каждой отрасли.
Безопасность за счет удобства обходится безопасности. (Кредит: Avid ♦️)
В вашем случае большая безопасность (сохранение их отдельно) достигается за счет увеличения управленческой нагрузки.
Но если вы вынуждены их объединить, убедитесь, что вы соблюдаете Лучшие практики управления идентификацией и доступом (IAM) от AWS, как вы сами предложили:
-
Используйте временные учетные данные.
-
Требуйте многофакторной аутентификации (MFA).
-
Обеспечьте безопасность учетных данных вашего корневого пользователя и не используйте их для повседневных задач.
-
Регулярно меняйте ключи доступа для случаев использования, которые требуют долгосрочных учетных данных.
Как можно найти в документации AWS, например, в статье IAM выше.
Ответ или решение
Сочетание непроизводственных и производственных сред в AWS для организации в сфере здравоохранения
Ваш вопрос о целесообразности объединения непроизводственных и производственных сред в едином аккаунте AWS требует внимательного анализа, особенно с учетом специфики работы вашей организации в области здравоохранения, биотехнологий и смежных областей. Ниже представлены аргументы в пользу сохранения раздельных аккаунтов, а также рекомендации в случае необходимости объединения.
Причины для поддержания раздельных аккаунтов
-
Безопасность и соответствие требованиям: Разделение сред в разных аккаунтах создает жесткую границу между непроизводственными и производственными окружениями. В случае компрометации непроизводственного аккаунта доступ к производственным данным остается защищенным, что критически важно в здравоохранении, где соблюдение стандартов, таких как HIPAA, становится обязательным.
-
Разные требования к compliance: Производственные среды чаще подвержены строгим требованиям по безопасности и соответствию, чем непроизводственные. Ваша организация может реализовать более жесткие политики доступа и ведения журналов для производственной среды, что невозможно при их объединении.
-
Управление доступом: Наличие отдельных аккаунтов позволяет применять различные политики IAM, упростив управление доступом. Тем самым вы снижаете риск ошибок при назначении прав доступа к критически важным ресурсам.
-
Упрощение аудита и мониторинга: Процесс мониторинга и аудита значительно упрощается, когда каждый аккаунт соответствует определенной среде. Это позволяет более эффективно отслеживать и управлять инцидентами безопасности.
Управление множеством аккаунтов
Использование AWS Organizations и AWS Control Tower может значительно упростить управление множеством аккаунтов. Эти инструменты позволяют:
-
Автоматизировать процессы управления: Создание и настройка аккаунтов, управление политиками и ресурсами можно автоматизировать, что минимизирует затраты времени и усилий.
-
Управление едиными политиками: Определение общих стратегий безопасности и конфигурации для всех аккаунтов позволяет поддерживать согласованность и стандартизацию.
Рекомендации на случай объединения аккаунтов
Если вам все-таки необходимо объединить непроизводственные и производственные среды в одном аккаунте, следуйте следующим рекомендациям:
-
Применение временных учетных данных: Используйте временные учетные данные для доступа к ресурсам, чтобы минимизировать риски компрометации по сравнению с постоянными ключами.
-
Обязательная многофакторная аутентификация (MFA): Настройка MFA для всех пользователей обеспечит дополнительный уровень защиты для доступа к критическим ресурсам.
-
Принцип наименьших привилегий: Следуйте принципу предоставления минимально необходимых прав доступа для пользователей и сервисов, чтобы избежать ненужного риска.
-
Защита учетной записи администратора: Не используйте учетные данные корневого пользователя для повседневных задач, чтобы предотвратить потенциальные риски.
-
Регулярная ротация ключей доступа: Для тех случаев, когда необходимо использовать долгосрочные учетные данные, регулярно меняйте ключи доступа, чтобы повысить безопасность.
Заключение
Объединение непроизводственных и производственных сред в AWS может показаться упрощением управления, но оно влечет за собой риски, особенно для организаций, работающих в сфере здравоохранения. Сохраняя раздельные аккаунты, вы обеспечиваете более высокий уровень безопасности и соответствия требованиям. Если ситуация требует объединения, используйте предложенные меры безопасности, чтобы минимизировать потенциальные риски.
Ваш безопасный и эффективный подход к архитектуре облака не должен пренебрегать лучшими практиками, а значит, важно взвешивать все риски и преимущества на каждом этапе разработки стратегии.